피싱 사이트 구별법: 비슷한 도메인에서 확인할 7가지

피싱 사이트 구별법은 로고가 어색한지 찾는 요령이 아닙니다. 요즘 가짜 사이트는 정상 HTTPS를 쓰고 실제 서비스와 비슷한 화면을 보여주며, 검색 광고·문자·메일·QR 코드에서 자연스럽게 이어지기도 합니다. 화면을 오래 관찰하기보다 누가 왜 이 주소를 보냈는지, 실제 등록 도메인이 무엇인지, 지금 요구하는 행동이 예상한 절차와 맞는지를 차례로 대조해야 합니다.

낯선 링크라고 모두 위험한 것은 아니며, 주소 하나만 보고 범죄 여부를 확정할 수도 없습니다. 중요한 것은 입력·결제·설치 전에 위험 신호를 찾고, 의심되면 받은 링크를 벗어나 평소 쓰던 앱이나 대표 주소에서 같은 절차를 다시 시작하는 것입니다. URL의 각 부분을 나누는 기초가 필요하다면 웹주소 구조를 읽는 방법을 먼저 참고하세요.

피싱 사이트는 허술한 복사본만을 뜻하지 않습니다

피싱 페이지의 목적은 방문자가 스스로 비밀번호, 인증번호, 카드 정보나 개인정보를 건네게 만드는 데 있습니다. 화면이 조잡하면 쉽게 멈추지만, 실제 사이트의 이미지와 문구를 가져와 익숙한 로그인 흐름처럼 꾸미면 판단 시간이 짧아집니다. 공격자는 완벽한 사이트 전체를 만들 필요도 없습니다. 사용자가 정보를 입력하는 한 화면만 그럴듯하게 보이면 목적을 달성할 수 있습니다.

정상 서비스도 외부 결제사, 통합 로그인, 고객지원 도구와 연결되므로 도메인이 한 번 바뀌었다는 사실만으로 가짜라고 할 수 없습니다. 반대로 공식 로고와 HTTPS가 모두 있어도 피싱일 수 있습니다. 그래서 어디서 왔는가, 어디에 도착했는가, 무엇을 요구하는가를 서로 연결해 읽어야 합니다.

피싱 사이트 구별법 7가지를 한눈에 비교하세요

일곱 항목은 점수를 더해 자동 판정하는 표가 아닙니다. 예를 들어 정상적인 비밀번호 재설정 메일은 긴급하게 느껴질 수 있지만 사용자가 방금 요청했고 공식 앱에서도 같은 상태를 확인할 수 있습니다. 반면 문장이 자연스럽더라도 등록 도메인이 다르고 인증번호까지 요구한다면 멈출 근거가 충분합니다.

1. 링크보다 먼저 ‘내가 요청한 일인가’를 확인하세요

피싱은 기술보다 맥락을 먼저 빌립니다. 주문한 적 없는 택배의 주소 오류, 신청하지 않은 환불, 사용하지 않는 은행의 이상 거래, 방금 올리지 않은 게시물의 저작권 경고처럼 사용자가 사실관계를 확인하고 싶게 만듭니다. 메시지에 적힌 사건이 내 활동과 맞지 않으면 링크를 눌러 확인할 이유도 약해집니다.

아는 사람이 보냈어도 내용까지 믿지는 마세요

지인의 계정이 탈취되면 평소 대화창에서 링크가 올 수 있고, 회사 메일 표시 이름도 흉내 낼 수 있습니다. “이 문서 네가 보낸 거야?”, “투표해 줘”, “급히 결제해 달라”처럼 평소와 다른 요청이라면 메시지에 그대로 답장하지 마세요. 기존에 알고 있던 전화번호나 다른 채널로 본인에게 확인해야 합니다. 익숙한 발신 계정도 링크의 운영 주체까지 증명하지는 못합니다.

검색 결과도 예외가 아닙니다. 광고 영역이나 복제된 고객센터 페이지가 공식 사이트보다 먼저 보일 수 있으므로, 검색 순서 대신 등록 도메인과 공식 앱의 연결을 기준으로 삼아야 합니다. 링크 문구와 실제 목적지를 열기 전에 비교하는 방법은 링크 주소 확인 가이드에서 자세히 볼 수 있습니다.

2. 등록 도메인을 찾고 철자 바꿔치기를 한 글자씩 봅니다

주소에서 운영 주체를 판단할 때 가장 중요한 부분은 등록 도메인입니다. login.example.com의 등록 도메인이 example.com이라면 login은 그 아래 하위 도메인입니다. 하지만 example.login-check.test에서는 실제 등록 도메인이 login-check.test이고 앞의 example은 공식 이름처럼 보이게 붙인 문자열일 뿐입니다.

철자 위장은 다섯 가지 방식으로 자주 섞입니다

• 교체: 알파벳 o를 숫자 0, l을 1처럼 바꿉니다.
• 생략: 브랜드 철자 한 글자를 빼 빠르게 읽을 때 눈치채기 어렵게 만듭니다.
• 추가: secure, login, verify 같은 안심 단어를 등록 도메인에 붙입니다.
• 순서 변경: 붙어 있는 두 글자의 자리를 바꾸거나 반복 글자를 하나 더 넣습니다.
• 구분 변경: 점 대신 하이픈을 쓰거나 브랜드 이름 뒤에 낯선 도메인 확장자를 붙입니다.

예시 문자열을 눈으로만 훑지 말고 주소창 전체를 펼쳐 복사한 뒤 공식 대표 주소와 나란히 놓으세요. 모바일에서는 주소창이 중간을 생략하거나 검색어처럼 표시할 수 있어 한 글자 차이가 더 잘 숨습니다. “브랜드 이름이 들어 있다”가 아니라 “공식 등록 도메인과 정확히 같다”가 기준입니다.

서로 닮은 문자와 퓨니코드는 별도로 확인합니다

서로 다른 문자 체계의 글자가 화면에서 비슷하게 보일 수 있습니다. 국제화 도메인은 정상적인 한글 주소에도 쓰이므로 퓨니코드 표기 자체가 위험 신호는 아닙니다. 다만 중요한 로그인·금융·결제 페이지라면 시각적인 모양만 믿지 말고 브라우저가 복사한 실제 호스트명과 기관이 공개한 주소를 대조해야 합니다.

3. 처음 받은 주소와 마지막 도착 주소를 모두 확인하세요

정상 서비스도 알림 측정, 앱 연결, 통합 로그인 때문에 중간 주소를 거칠 수 있습니다. 문제는 이동했다는 사실보다 이동 후 어디에 도착했고 왜 그곳에서 정보를 요구하는가입니다. 공식 쇼핑몰 알림처럼 시작했는데 낯선 파일 공유 도메인에서 카드 정보를 받거나, 고객센터 링크가 개인 메신저 초대로 끝난다면 흐름이 목적과 맞지 않습니다.

단축주소는 목적지를 숨기므로 민감도에 따라 다르게 다룹니다

공개 행사나 기사 링크는 최종 주소를 확인하는 도구가 도움이 될 수 있습니다. 그러나 비밀번호 재설정, 초대, 비공개 문서, 결제 링크에는 개인 토큰이 포함될 수 있으므로 공개 검사 서비스에 그대로 제출하면 안 됩니다. 이런 링크는 공식 앱에서 같은 메뉴를 다시 열거나 발신 기관에 일반 안내 주소를 요청합니다. 자세한 구분은 단축 URL 확인 방법을 참고하세요.

301이나 302 같은 리디렉션 상태도 안전 등급이 아닙니다. 정상 주소 이전에도, 가짜 페이지로 보내는 과정에도 이동 응답은 쓰일 수 있습니다. 주소가 왜 바뀌었는지 판단하려면 301과 302 리디렉션 차이에서 설명한 공식 공지와 반복 동작을 함께 봐야 합니다.

4. HTTPS는 연결을 보호하지만 사이트의 정체를 대신 확인하지 않습니다

HTTPS는 브라우저와 현재 도메인 사이의 전송을 암호화하고 인증서가 그 도메인에 유효한지 확인하는 장치입니다. 공격자가 소유한 유사 도메인에도 정상 인증서를 발급받을 수 있습니다. 자물쇠가 보인다는 이유로 공식 은행·쇼핑몰·기관이라고 결론 내리면 안 됩니다.

반대로 브라우저가 인증서 오류, 위험 사이트, 안전하지 않은 다운로드 경고를 표시하면 더 진행하지 마세요. “고급” 메뉴로 들어가 경고를 무시하라는 안내, 보안 프로그램을 끄라는 요구, 인증서를 직접 설치하라는 지시는 강한 위험 신호입니다. 다만 경고가 없다는 사실은 아직 신고되지 않았거나 막 생성된 피싱 페이지까지 안전하다고 보증하지 않습니다.

5. 회사명·연락처·약관·도메인이 한 운영 주체를 가리키는지 봅니다

피싱 페이지는 눈에 잘 띄는 로그인 상자만 정교하고 그 밖의 연결은 비어 있는 경우가 있습니다. 로고를 누르면 첫 화면으로 가지 않거나, 개인정보 처리방침과 이용약관이 다른 회사 이름을 쓰거나, 고객센터가 개인 메일·휴대전화·메신저만 안내한다면 일관성이 깨집니다. 푸터 문구 하나만 믿기보다 여러 공개 정보가 같은 운영 주체를 가리키는지 살핍니다.

페이지 안 연락처로 진위를 묻지 마세요

의심되는 화면에 적힌 전화번호로 연락하면 같은 공격자에게 연결될 수 있습니다. 카드 뒷면, 기존 청구서, 계약서, 공식 앱의 고객센터, 직접 입력한 대표 도메인처럼 현재 페이지와 독립된 출처에서 연락처를 찾습니다. 기관 이름을 검색할 때도 광고 문구보다 공식 도메인을 먼저 확인합니다. 금융회사 정보나 상담 기관을 어디에서 찾아야 할지 헷갈린다면 공식 금융 사이트와 상담 경로에서 목적에 맞는 서비스를 살펴보세요.

6. 긴급 문구가 판단 시간을 줄이는지 살펴보세요

“10분 뒤 계정이 정지됩니다”, “오늘 안에 환불받으세요”, “본인 인증을 하지 않으면 배송이 취소됩니다” 같은 문구는 내용보다 속도가 목적일 수 있습니다. 정상 서비스에도 기한은 있지만 대개 공식 앱의 주문 내역, 계정 알림, 공지나 계약 조건에서 같은 사실을 다시 확인할 수 있습니다. 링크 안에서만 존재하는 긴급 상황이라면 멈춥니다.

로그인 이유와 로그인 뒤 돌아갈 화면이 분명해야 합니다

문서를 보려고 눌렀는데 갑자기 이메일 비밀번호를 요구하거나, 배송 조회 중 금융 계정 로그인을 요구하면 처음 목적과 다른 흐름입니다. 통합 로그인 자체는 정상일 수 있습니다. 다만 서비스가 안내한 로그인 제공자와 도메인이 맞아야 하고, 인증을 마친 뒤 원래 업무로 자연스럽게 돌아와야 합니다. 비밀번호 관리자가 평소 저장한 계정을 자동 입력하지 않는다면 다른 도메인일 가능성을 의심할 수 있지만, 이것만으로 판정하지는 않습니다.

인증번호도 비밀번호처럼 다룹니다

일회용 인증번호는 한 번만 쓰더라도 그 순간의 로그인이나 결제를 승인할 수 있습니다. 상담원·직원·판매자를 자처하는 사람이 인증번호를 읽어 달라고 하거나 피싱 화면이 실시간으로 번호를 다시 묻는다면 입력하지 않습니다. 알림에 표시된 접속 위치, 기기, 거래 금액이 지금 내가 시작한 행동과 일치하는지도 확인합니다.

7. 결제·개인정보 입력 전에는 요구 범위와 복구 경로를 확인하세요

정상적인 거래도 이름·주소·결제 정보를 요구합니다. 차이는 필요한 정보의 범위와 요청 시점입니다. 단순 배송 조회에 카드 전체 번호와 신분증 사진을 요구하거나, 환불을 위해 계좌 비밀번호·보안카드 전체·원격제어 앱 설치를 요구한다면 업무 목적을 벗어납니다. 입력란이 그럴듯하다는 이유로 필요한 정보라고 가정하지 마세요.

결제 직전에는 금액만 보지 말고 판매자명, 상품, 수량, 청구 통화와 결제수단을 함께 봅니다. 피해가 생겼을 때 주문 내역, 취소, 이의 제기와 고객센터를 어디에서 찾을 수 있는지도 중요합니다. 복구 경로가 전혀 보이지 않고 지금 송금만 재촉한다면 거래를 중단합니다.

상황별로 위험 신호의 조합을 읽으세요

정상 사례와 위험 사례를 가르는 것은 디자인 완성도가 아닙니다. 현재 행동을 내가 시작했는지, 도착 도메인이 독립된 공식 자료와 맞는지, 요구 정보가 업무에 필요한 범위인지가 같은 방향을 가리켜야 합니다.

PC와 모바일에서는 가려지는 정보가 다릅니다

PC에서는 링크를 열기 전과 입력 직전을 나눠 봅니다

마우스를 링크에 올려 브라우저 아래쪽에 표시되는 목적지를 보고, 필요하면 링크 주소를 복사해 일반 텍스트에 붙여넣습니다. 접속 뒤에는 주소창을 한 번 클릭해 호스트명 전체를 펼칩니다. 개발자 도구나 인증서 세부정보는 보조 수단이며, 일반 사용자는 공식 경로 대조만으로도 위험한 입력을 충분히 피할 수 있습니다.

모바일에서는 주소 생략과 앱 안 브라우저를 주의합니다

메신저·SNS 앱 안에서 열린 화면은 주소창이 작거나 숨겨질 수 있습니다. 브라우저에서 열기 기능으로 옮겨 주소 전체를 확인하되, 의심이 크다면 페이지를 옮겨 다니지 말고 닫습니다. QR 코드는 카메라가 보여주는 목적지 미리보기를 읽고, 결제나 로그인이라면 해당 기관의 공식 앱에서 같은 기능을 직접 찾습니다. 스티커가 덧붙여져 있거나 결제용 코드라면 QR코드의 출처·연결 주소·결제 대상을 확인하는 방법을 함께 살펴보세요.

로그인·결제 전 30초 점검을 같은 순서로 반복하세요

이 순서를 습관으로 만들면 매번 새로운 피싱 문구를 외울 필요가 없습니다. 공격 문장은 바뀌어도 사용자의 판단 시간을 줄이고, 공식 경로 밖에서 민감정보를 받으려는 구조는 반복됩니다. 전체 주소 확인 원칙과 관련 글은 주소모음 가이드에서 이어서 볼 수 있습니다.

이미 접속하거나 정보를 입력했다면 피해 종류부터 나누세요

페이지를 열었다는 사실만으로 모든 정보가 탈취됐다고 단정할 수는 없습니다. 하지만 추가 행동을 멈추고 어떤 정보를 어디까지 제공했는지 기록해야 합니다. 의심 페이지의 안내에 따라 다시 로그인하거나 삭제 프로그램을 설치하지 말고, 깨끗한 기기나 신뢰할 수 있는 네트워크에서 공식 계정과 금융 서비스를 확인합니다.

비밀번호를 바꿀 때는 피싱 화면을 다시 이용하지 않습니다

검색 광고나 메시지 링크로 돌아가지 말고 평소 저장한 앱 또는 직접 입력한 공식 주소를 사용합니다. 비밀번호를 재사용했다면 같은 문자열을 쓴 다른 서비스도 각각 다른 비밀번호로 바꾸고, 활성 세션·연결된 기기·복구 이메일·전화번호가 변경되지 않았는지 봅니다. 인증 앱이나 패스키를 지원한다면 공식 안내에 따라 설정을 강화합니다.

신고보다 먼저 진행해야 할 긴급 조치가 있습니다

금전이 이동 중이거나 원격제어가 계속되는 상황에서는 증거를 완벽하게 모으려다 시간을 보내지 마세요. 금융회사와 계정 운영자의 공식 긴급 창구를 통해 사용 중지·비밀번호 변경·세션 종료를 우선합니다. 그다음 주소, 받은 시각, 발신 채널, 입력한 정보, 결제 내역과 화면 자료를 정리하면 신고와 피해 확인에 도움이 됩니다.

맞춤법·팝업·도메인 나이만으로 단정하지 마세요

오탈자가 있는 정상 중소 사이트도 있고, 문장이 완벽한 피싱 페이지도 있습니다. 새로 개설한 공식 캠페인 도메인은 등록 기간이 짧을 수 있으며 오래된 도메인도 탈취될 수 있습니다. 팝업이 많거나 디자인이 낡았다는 인상 역시 불편함의 신호일 수는 있어도 운영 주체를 판정하는 증거는 아닙니다.

반대로 정상처럼 보이는 단서도 과신하면 안 됩니다. 검색 결과 상단, HTTPS, 앱스토어 모양의 배지, 고객센터 번호, 유명 결제사 로고는 복제할 수 있습니다. 피싱 사이트 구별법의 핵심은 보기 좋은 단서 하나를 찾는 일이 아니라 서로 독립된 정보가 같은 운영 주체와 같은 업무를 가리키는지 확인하는 일입니다.

피싱 사이트 구별법에 대해 자주 묻는 질문

작성·검토 기준과 공식 참고 경로

피싱 문구는 계속 바뀌지만 판단 기준은 비교적 오래 유지됩니다. 이 글은 발신 맥락, 등록 도메인, 이동 경로, 연결 상태, 운영 주체, 긴급성, 민감정보 요구를 같은 순서로 점검하도록 구성했습니다. 실제 브랜드를 닮은 위험 주소 대신 예약된 예시 도메인을 사용했고, 단서 하나만으로 범죄 여부를 확정하지 않도록 정상 가능성과 한계도 함께 설명했습니다. 전체 내용을 마지막으로 살핀 날짜는 2026년 9월 6일입니다.

• KISA 보호나라: 스미싱 확인서비스와 개인 보안 정보
• KISA 118 상담 안내: 해킹·바이러스 긴급상담과 개인정보 일반상담 이용시간
• 경찰청 사이버범죄 신고시스템: 사이버범죄 신고·상담 공식 경로
• 금융감독원 개인정보노출자 사고예방시스템: 개인정보 노출에 따른 금융 사고 예방 경로

주소나와에 표시된 링크나 외부 사이트에서 피싱·사칭 등 위험 요소를 발견했다면 대상 URL과 확인 근거를 정리해 문의·권리침해 안내로 알려주세요.