스미싱(문자 피싱)은 이제 어설픈 맞춤법 실수를 하지 않습니다. 그래도 패턴은 정해져 있어요.
단골 유형
- 택배 — "주소 불일치로 배송 보류" + 링크. 명절 전 성수기에 폭증
- 부고·청첩장 — 모르는 번호로 온 부고 링크는 거의 전부 스미싱입니다
- 공공기관 사칭 — 건강검진 결과, 교통 과태료, 지원금 신청 안내
- 가족 사칭 — "엄마 나 폰 액정 깨져서 이 번호로 연락해" → 원격제어 앱 설치 유도로 이어짐
원칙은 하나입니다
문자 속 링크는 누르지 않는다. 택배가 궁금하면 택배사 앱을 직접 열고, 과태료가 궁금하면 정부24·경찰청 이파인에 직접 로그인해 확인하면 됩니다. 진짜 안내라면 공식 앱과 사이트에도 반드시 떠 있어요. 그리고 어떤 경우에도 문자로 유도된 앱 설치 파일(apk)은 악성이라고 보면 됩니다.
이미 눌렀다면 — 순서대로
- ① 링크만 눌렀고 아무것도 입력하지 않았다면: 크게 걱정할 단계는 아닙니다. 낯선 앱이 설치됐는지 확인하고 있으면 삭제
- ② 정보를 입력했거나 앱을 설치했다면: 인터넷을 끊고 → 다른 기기에서 주요 비밀번호 변경 → 통신사에 소액결제 차단 요청
- ③ 돈이 빠져나갔다면: 즉시 112 — 계좌 지급정지를 요청할 수 있습니다
- ④ 명의도용이 걱정되면: 엠세이퍼(msafer.or.kr)에서 내 명의로 개통된 회선 확인, 페이인포(payinfo.or.kr)에서 계좌·대출 내역 확인
- 스팸·스미싱 신고 상담은 118(한국인터넷진흥원)
대상별 — 이런 분이 특히 조심
- 부모님·시니어 — 가족 사칭("폰 깨졌어, 이 번호로")과 원격제어 앱 유도가 집중 타깃이에요. 가족끼리 "돈·인증 요구는 반드시 영상통화로 확인" 규칙을 미리 정해두면 확실합니다.
- 안드로이드 사용자 — 문자로 앱 설치파일(apk)을 심는 수법은 주로 안드로이드입니다. 설정에서 '출처를 알 수 없는 앱 설치 차단'을 켜두세요. (아이폰도 링크·정보입력형 피싱은 똑같이 조심)
- 자영업자·직장인 — 세금계산서·과태료·정부지원금·채용 사칭이 많아요. 업무 문자일수록 링크 대신 공식 사이트에 직접 로그인해 확인하세요.
가족 단톡방에 이 글 하나 공유해두면, 부모님 세대의 사고 확률이 실제로 낮아집니다.
가짜를 가려내는 신호 — 발신번호는 믿지 마세요
"번호가 멀쩡한데?"는 판단 기준이 못 됩니다. 발신번호는 조작(변작)이 가능해서 진짜 기관 번호처럼 보이게 만들 수 있고, 반대로 진짜 안내가 낯선 번호로 오기도 해요. 번호 대신 문자의 내용과 요구사항을 보세요. 즉 "누가 보냈나"가 아니라 "나에게 뭘 시키나"를 보는 게 핵심입니다. 아래 신호가 두 개 이상 겹치면 사실상 확정이라고 봐도 돼요.
- 국제발신 표시 — 국내 기관·택배사의 안내가 국제발신으로 올 이유가 없습니다
- 단축 주소나 낯선 주소의 링크 — 링크가 들어 있다는 것 자체를 경계 신호로 보는 게 안전합니다
- 시간을 재촉하는 문구 — "오늘까지", "미조치 시 불이익" 같은 압박은 생각할 틈을 없애려는 장치예요
- 내 이름과 정보를 아는 척 — 유출된 정보로 신뢰를 사는 수법이라, 나를 안다고 해서 진짜인 게 아닙니다
- 평소 오던 안내와 다른 형식 — 늘 앱 알림으로 오던 것이 갑자기 문자 링크로 오면 일단 의심하세요
기관과 기업이 '절대 하지 않는 것'
수법을 다 외울 필요 없이, 이 목록 하나면 대부분 걸러집니다. 아래 요구가 나오는 순간 가짜라고 판단하고 대화를 끊으세요. 진짜인지 궁금하면 그 문자가 아니라 공식 채널에서 확인하면 됩니다. 이 목록은 수법이 바뀌어도 오래 가는 기준이라, 가족 단톡방에 그대로 옮겨 적어둘 만해요.
- 문자 속 링크로 앱을 설치하라고 안내하지 않습니다
- 비밀번호, 인증번호, 카드번호를 문자나 전화로 요구하지 않습니다
- 수사기관·금융기관은 현금 인출, 이체, "안전한 계좌"로 옮기기를 요구하지 않습니다
- 과태료·검진 결과 같은 개인 안내를 출처 불명 링크로만 보내지 않습니다
- 절차를 비밀로 하라고("가족에게도 말하지 마세요") 요구하지 않습니다 — 비밀 유지를 시키는 순간 사기입니다
수법의 구조가 진화하고 있습니다
요즘은 링크가 아예 없는 변형도 많습니다. 링크 차단이 늘어나자 사람을 직접 움직이는 쪽으로 옮겨간 거예요. 형태가 달라도 목적은 같습니다 — 나를 통화나 대화로 끌어들이는 것. 그래서 "이상한 링크만 안 누르면 된다"는 방어만으로는 부족해졌어요.
- 전화 유도형 — 링크 없이 "문의는 이 번호로"만 남겨 전화를 걸게 만든 뒤, 상담원을 사칭해 원격제어 앱 설치나 이체를 유도합니다
- 회신 유도형 — "수신 거부는 회신"처럼 답장을 시켜서 살아 있는 번호인지 확인하고, 다음 공격 대상 목록에 올립니다
- 메신저 전환형 — 문자로 시작해 메신저 친구 추가로 옮겨간 뒤, 투자·부업을 미끼로 몇 주씩 길게 이어갑니다
- 대응은 전부 같습니다 — 회신하지 말고, 걸지 말고, 확인이 필요하면 공식 대표번호를 직접 검색해서 거세요. 문자에 적힌 번호는 확인 수단이 아닙니다
미리 해두는 예방 설정
당한 뒤의 대처보다 확실한 건 문이 열리지 않게 잠가두는 것입니다. 아래는 한 번만 설정하면 그 뒤로는 손댈 일 없이 계속 작동하는 것들이에요. 내 폰을 정리한 김에 부모님 폰도 같이 설정해드리면 더 좋습니다.
- 통신사의 스팸 차단 부가서비스가 켜져 있는지 확인하기 — 대부분 무료로 제공됩니다
- 문자 앱의 스팸 신고 기능을 적극 사용하기 — 나도 지키고 다음 사람도 지킵니다
- 엠세이퍼에서 휴대폰 신규 개통 제한 서비스를 신청해두면 명의도용 개통을 원천 차단할 수 있어요
- 스마트폰 운영체제와 문자 앱을 최신 버전으로 유지하기 — 알려진 보안 허점을 막는 가장 기본적인 예방입니다
- 피해가 의심되는 문자와 통화 기록은 지우지 말고 캡처로 보관하기 — 신고와 피해 구제 절차에서 증거가 됩니다