피싱은 은행, 택배사, 직장, 친구처럼 믿을 만한 상대를 가장해 링크를 누르게 하거나, 파일을 열게 하거나, 비밀번호를 넘기게 만드는 메시지입니다. 이메일, 문자, 메신저 앱, 전화로 찾아옵니다. 꽤 그럴듯해 보일 때가 많지만 몇 가지 공통된 버릇이 있습니다.
피싱 메시지는 보통 무엇을 원하나요?
거의 모든 피싱 메시지는 세 가지 중 하나를 원합니다. 보낸 사람이 관리하는 페이지에서 로그인하게 하거나, 해로운 것을 설치하는 첨부 파일을 열게 하거나, 꾸며낸 문제를 구실로 돈이나 정보를 보내게 하는 것입니다. 요청을 둘러싼 이야기는 바뀌어도 목적은 같습니다.
흔한 이야기로는 잠긴 계정, 놓친 배송, 미납 청구서, 예상치 못한 환불, 경품 당첨, 곤경에 처해 당장 도움이 필요한 가족 등이 있습니다. 비밀번호, 인증 코드, 결제, 신분증 사본을 요구하는 메시지는 행동하기 전에 반드시 확인하세요.
피싱 메시지를 알아볼 수 있는 신호는 무엇인가요?
어느 한 가지 신호만으로 가짜라고 단정할 수는 없고, 잘 만든 가짜는 이 신호를 모두 피하기도 합니다. 그래도 매번 다음을 확인해 볼 만합니다.
재촉. 몇 시간 안에 처리해야 한다거나, 계정이 닫힌다거나, 기다리면 나쁜 일이 생긴다고 말합니다.
비슷하지만 틀린 보낸 사람 주소. 글자가 바뀌었거나 도메인에 단어가 하나 더 붙어 있습니다.
보이는 글자와 실제 이동 주소가 다른 링크. 컴퓨터에서는 마우스를 올려 보고, 휴대폰에서는 길게 눌러 주소를 확인할 수 있습니다.
예상하지 못한 첨부 파일. 특히 zip 파일, 요청하지 않은 청구서, 매크로를 사용하도록 요구하는 파일.
기프트 카드, 암호화폐, 새 계좌로의 송금으로 결제하라는 요구.
클릭하기 전에 무엇을 해야 하나요?
멈추고 천천히 생각하세요. 보낸 사람이 기대는 것은 조급함이므로, 몇 분만 여유를 가져도 상대의 유리한 점이 크게 줄어듭니다. 답장하지 말고, 메시지에 적힌 번호로 전화하지 말고, 링크나 첨부 파일도 열지 마세요.
그런 다음 이미 신뢰하는 경로로 내용을 확인하세요. 해당 회사의 앱을 열거나 주소를 직접 브라우저에 입력해서, 계정에 같은 알림이 있는지 살펴보세요. 전화는 카드에 인쇄된 번호나 회사 공식 웹사이트에 적힌 번호로 거세요. 동료나 가족에게서 온 것처럼 보이면 전화 같은 다른 방법으로 연락해 직접 보냈는지 물어보세요.
문자와 전화도 피싱에 포함되는 이유는 무엇인가요?
피싱은 이메일에만 국한되지 않습니다. 택배, 통행료, 은행 알림을 가장한 문자가 흔하고, 은행이나 고객 지원팀 직원이라고 밝히는 전화도 마찬가지입니다. 발신자는 화면에 표시되는 번호를 거의 무엇으로든 보이게 할 수 있으므로, 표시된 번호는 아무것도 증명하지 않습니다.
진짜 은행은 “안전 계좌”로 돈을 옮기라고 요구하지 않으며, 진짜 고객 지원팀은 방금 휴대폰으로 전송된 코드를 묻지 않습니다. 전화한 사람이 다급하게 몰아붙이면 끊고, 직접 찾은 번호로 다시 거세요. 음성 메시지나, 해킹된 친구 계정에서 돈을 부탁하는 메시지도 마찬가지입니다.
이미 클릭했거나 비밀번호를 입력했다면 어떻게 하나요?
조심스러운 사람에게도 일어나는 일이며, 빠르게 대응하면 큰 차이가 생깁니다. 다음 단계를 순서대로 진행하세요.
문제에서 분리하세요. 파일을 열었고 무언가 실행됐다고 생각된다면 해당 기기의 네트워크 연결을 끄고, 점검을 받을 때까지 꺼 두세요.
관련된 계정의 비밀번호를 바꾸세요. 가능하면 다른 기기에서 하세요. 같은 비밀번호를 다른 곳에도 썼다면 그곳도 바꾸세요.
2단계 인증을 켜세요. 가능하면 패스키나 인증 앱을 쓰는 것이 좋으며, 계정 설정에서 다른 세션은 로그아웃하세요.
카드나 은행 정보를 알려 줬다면 즉시 은행에 연락하세요. 카드를 정지하거나 이상 거래를 지켜봐 달라고 요청하세요.
직접 하지 않은 변경이 있는지 확인하세요. 이메일의 새 전달 규칙, 새 복구 주소, 낯선 로그인 같은 것들입니다.
사칭당한 서비스에 메시지를 신고하세요. 계정이 내 이름으로 메시지를 보냈다면 연락처에도 알리세요.
애초에 피싱의 피해를 줄이려면 어떻게 해야 하나요?
모든 메시지가 도착하는 것을 막을 수는 없으므로, 하나가 통과했을 때 피해를 제한하는 것이 목표입니다. 계정마다 다른 비밀번호를 쓰고 비밀번호 관리자에 보관하세요. 비밀번호 관리자는 주소가 다른 사이트에는 비밀번호를 채우지 않기 때문에 이 점에서도 도움이 됩니다. 패스키는 한발 더 나아가 가짜 페이지에는 아예 입력할 수 없습니다.
휴대폰과 앱을 최신 상태로 유지하고, 공식 스토어 밖의 앱과 파일은 조심하세요. 비밀번호 하나가 도난당했을 때 열리는 곳에 보관하는 것을 줄이세요. 여권, 세금 서류, 계약서 사본을 이메일 받은편지함에 둘 필요는 없습니다. 피싱 메시지 하나가 성공하면 전부 노출될 수 있기 때문입니다.
이 부분에서 Revault가 도움이 될 수 있습니다. Revault는 사진, 문서, 파일을 기기의 암호화된 금고에 보관하며, 피싱당할 Revault 계정이 따로 없습니다. 가짜 메시지가 오는 것을 막아 주지는 않지만, 가장 민감한 파일을 받은편지함과 클라우드 계정에서 떼어 놓을 수 있습니다. 어떤 도구도 판단력을 대신하지 못합니다. 가장 효과적인 습관은 단순합니다. 메시지가 급한 일을 요구하면 먼저 다른 방법으로 확인하는 것입니다.