피싱 메일은 겉모습이 점점 정교해지고 있습니다. 회사 로고와 서명, 정돈된 문장까지 갖춰서 언뜻 봐서는 진짜와 구분하기 어렵습니다. 그래도 메일이라는 형식에는 숨기기 어려운 흔적이 남습니다. 보낸 사람의 실제 주소, 첨부파일의 확장자, 그리고 요청의 성격입니다. 이 세 가지를 순서대로 보는 습관을 들이면 상당수의 피싱 메일을 걸러 낼 수 있습니다.
보낸 사람: 표시 이름이 아니라 실제 주소
메일 목록에 보이는 보낸 사람 이름은 누구나 자유롭게 정할 수 있는 표시 이름입니다. 은행 고객센터라고 적혀 있어도 실제 발송 주소는 전혀 다를 수 있습니다. 메일을 연 뒤 보낸 사람 이름을 누르거나 마우스를 올리면 꺾쇠 괄호 안에 실제 주소가 나타납니다.
- @ 뒤의 도메인이 해당 회사의 공식 도메인과 정확히 일치하는지 확인합니다.
- 공식 회사가 무료 메일 서비스 주소로 결제나 보안 안내를 보내는 경우는 드뭅니다.
- 숫자 0과 영문 o, 영문 l과 숫자 1처럼 닮은 글자로 바꾼 도메인을 조심합니다.
- 답장 버튼을 눌렀을 때 받는 사람 주소가 보낸 주소와 다르게 바뀌는지도 살펴봅니다.
첨부파일: 열기 전에 확장자부터
첨부파일은 열기 전에 파일 이름의 마지막 점 뒤를 봐야 합니다. 그 부분이 실제 파일 형식을 알려 줍니다. 윈도 파일 탐색기는 기본 설정에서 확장자를 숨기는 경우가 있으니, 보기 메뉴에서 파일 확장명 표시를 켜 두는 것을 권합니다.
- exe, scr, bat, js, vbs처럼 실행되는 형식은 이름이 문서처럼 보여도 열지 않습니다.
- 견적서.pdf.exe처럼 점이 두 번 들어간 이중 확장자는 문서로 위장한 실행 파일일 가능성이 매우 큽니다.
- 암호가 걸린 압축 파일과 그 암호를 본문에 함께 적어 보냈다면, 보안 검사를 피하려는 의도일 수 있습니다.
- html이나 htm 첨부파일은 열면 로그인 화면처럼 꾸민 페이지가 뜨는 경우가 있어 주의합니다.
- 매크로를 켜야 내용이 보인다고 안내하는 문서는 매크로를 켜지 말고 그대로 닫습니다.
아는 사람에게서 온 메일이라도 평소와 다른 첨부파일이 있다면, 메일 답장이 아닌 전화나 메신저로 직접 보낸 게 맞는지 물어보세요. 상대방 계정이 도용되어 발송된 메일일 수 있습니다.
내용: 급한 결제와 계정 정지 압박
피싱 메일의 문장은 대개 시간 압박을 담고 있습니다. 결제가 실패했으니 오늘 안에 카드 정보를 갱신하지 않으면 서비스가 중지된다거나, 해외에서 로그인이 감지되어 계정을 잠갔다는 식입니다. 이런 문구를 보면 메일 속 버튼을 누르지 말고, 즐겨찾기나 공식 앱으로 직접 들어가 같은 알림이 있는지 확인하세요. 실제로 문제가 있다면 공식 사이트의 내 정보나 알림 메뉴에도 표시되어 있을 가능성이 높습니다.
메일 안의 링크는 마우스를 올려 실제 연결 주소를 미리 볼 수 있습니다. 버튼에 적힌 글자와 실제 주소가 다르면 누르지 마세요. 휴대폰에서는 링크를 길게 누르면 주소를 확인할 수 있는 경우가 많습니다.
휴대폰 메일 앱에서 더 꼼꼼히 봐야 하는 이유
휴대폰 메일 앱은 화면이 좁아 보낸 사람의 표시 이름만 보여 주는 경우가 많습니다. 이름을 한 번 눌러야 실제 주소가 나타나니, 결제나 계정 관련 메일이라면 이 한 번의 터치를 습관으로 만들어 두세요. 첨부파일 역시 미리 보기 화면에서는 아이콘만 보이거나 긴 파일 이름의 뒷부분이 잘려 확장자가 가려질 수 있습니다.
휴대폰에서 판단이 서지 않는 메일은 첨부파일을 저장하거나 다른 앱으로 공유하지 말고, 컴퓨터에서 다시 열어 주소와 파일 이름을 자세히 살펴보세요. 넓은 화면에서는 작은 화면에서 놓쳤던 부분이 훨씬 잘 보입니다.
의심 메일을 받았을 때 할 일
- 링크와 첨부파일을 누르지 않은 채 메일 서비스의 스팸 신고나 피싱 신고 기능을 씁니다.
- 회사 메일로 받았다면 사내 보안 담당 부서의 신고 절차를 따릅니다.
- 이미 정보를 입력했다면 해당 계정 비밀번호를 공식 사이트에서 즉시 바꿉니다.
의심 메일을 지우기 전에 가족이나 동료에게도 같은 메일이 왔는지 물어보는 것도 좋습니다. 여러 사람에게 똑같은 내용이 동시에 왔다면 불특정 다수에게 뿌린 피싱일 가능성이 더 커지고, 주변 사람들도 미리 조심할 수 있습니다.
메일 속 버튼 대신 링크모음에 저장해 둔 공식 사이트로 직접 들어가 확인하는 것만으로도 대부분의 피싱 함정을 피할 수 있습니다.
메일 피싱의 목적은 결국 가짜 사이트로 데려가는 것입니다. 공식 주소는 전체 링크에서, 주소를 읽는 요령은 안전 가이드에서 미리 익혀 두면 메일에 무슨 내용이 적혀 있든 내가 아는 사이트 바로가기로만 접속하는 습관을 지킬 수 있습니다.