이메일 피싱 스캠 구분법, 발신자 주소부터 확인하라

사진: Stephen Phillips – Hostreviews.co.uk (Unsplash)

발신자 이름과 실제 주소는 다르다

이메일 클라이언트는 보통 발신자 이름만 크게 보여주고 실제 이메일 주소는 작게 표시하거나 아예 숨긴다. 발신자 이름이 “네이버” 또는 회사명으로 뜨더라도 그 옆이나 아래 실제 주소를 펼쳐보면 전혀 관계없는 외부 도메인인 경우가 많다.

PC 웹메일에서는 발신자 이름을 클릭하거나 마우스를 올리면 실제 주소가 뜨고, 모바일 앱에서는 발신자 영역을 한 번 눌러야 전체 주소가 펼쳐지는 경우가 대부분이다. 이 한 번의 확인 습관만으로 눈속임형 피싱의 상당수를 걸러낼 수 있다.

도메인 자체를 흉내 내는 수법도 있다

발신자 이름 위조보다 더 정교한 방식은 도메인 자체를 진짜와 비슷하게 만드는 것이다. 알파벳 하나를 숫자로 바꾸거나(naver.com → naver.corn), 실제 도메인 뒤에 문자열을 덧붙이거나(naver.com.security-check.net), 전혀 다른 도메인이지만 로그인 페이지 디자인만 똑같이 베끼는 방식이 대표적이다.

이런 유사 도메인은 빠르게 훑으면 진짜처럼 보이도록 만들어졌기 때문에, 의심스러운 메일일수록 도메인 철자를 한 글자씩 또박또박 확인하는 편이 안전하다. 특히 로그인이나 결제 정보를 입력하라는 링크가 있다면 메일 안의 링크를 바로 누르지 말고, 평소 쓰던 즐겨찾기나 검색으로 직접 공식 사이트에 들어가 확인하는 게 원칙이다.

메일 자체가 알려주는 위험 신호

구글 지메일이나 네이버 메일 같은 주요 서비스는 자체적으로 발신 도메인의 인증 여부(SPF·DKIM·DMARC라는 이메일 인증 기술을 활용)를 검사해, 인증에 실패한 메일에는 “이 메일은 안전하지 않을 수 있습니다” 같은 경고 문구를 메일 상단에 자동으로 붙여준다. 발신자 도메인이 진짜처럼 보여도 이 경고가 떠 있다면 스푸핑(발신자 위조) 메일일 가능성이 높다는 뜻이므로 무시하지 않는 게 좋다.

문법이나 맞춤법이 어색한 것도 여전히 유효한 신호다. 국내 기업을 사칭한 메일인데 번역기를 돌린 듯한 어색한 문장, 존댓말과 반말이 섞인 문장이 보인다면 의심할 이유가 하나 더 생긴 것이다. 다만 최근에는 이런 오류 없이 정교하게 작성된 피싱 메일도 늘고 있어, 문법만으로 안전하다고 판단하지는 말아야 한다.

사진: Jonas Leupe (Unsplash)

의심스러운 메일을 받았을 때

링크를 누르기 전에 마우스를 링크 위에 올려두면(모바일에서는 길게 눌러보면) 실제로 연결되는 주소가 화면 하단이나 팝업으로 뜬다. 이 주소가 메일에 적힌 링크 설명과 다르다면 클릭하지 않는 게 맞다. 첨부파일도 발신자를 확신할 수 없다면 열지 않는 편이 안전한데, 실행 파일(.exe)이나 매크로가 포함된 문서 파일은 특히 주의가 필요하다.

의심되는 메일은 열람만으로 큰 문제가 생기는 경우는 드물지만, 이미 링크를 눌러 정보를 입력했다면 즉시 해당 계정의 비밀번호를 변경하고 2단계 인증을 켜야 한다. 국내에서는 한국인터넷진흥원(KISA) 118 상담센터로 신고하거나 이용 중인 메일 서비스의 스팸 신고 기능을 이용하면 된다.

자주 묻는 질문

회사 이메일 주소도 스미싱처럼 위조될 수 있나요?

문자 메시지를 이용한 스미싱 문자 구분법과 달리 이메일 피싱은 도메인 위조·발신자 스푸핑 방식이 다양해 회사 이메일도 얼마든지 사칭 대상이 된다. 문자와 이메일 둘 다 발신 정보를 눈으로 확인하는 습관이 필요하다는 점은 같다.

아는 사람 이메일에서 이상한 링크가 왔어요, 안전한가요?

지인이나 동료의 계정이 이미 해킹당해 발송됐을 가능성이 있다. 평소와 다른 어투나 갑작스러운 송금·링크 요청이라면 다른 연락 수단으로 본인에게 직접 확인하는 게 안전하다.

피싱 메일을 열기만 해도 위험한가요?

본문을 읽는 것만으로 감염되는 경우는 흔치 않지만, 이미지 자동 로드나 첨부파일 실행이 감염 경로가 될 수 있다. 발신자가 불확실한 메일은 이미지 표시나 첨부파일 다운로드를 자동으로 허용하지 않는 설정을 켜두는 게 좋다.

마무리

이메일 피싱은 갈수록 정교해지고 있지만, 발신자 주소를 펼쳐보고 링크 주소를 미리 확인하는 두 가지 습관만으로도 상당수를 걸러낼 수 있다. 조금이라도 의심스러운 메일은 클릭 대신 공식 채널로 직접 확인하는 쪽을 택하는 게 안전하다.