피싱 사이트 구별법: 가짜 주소에 속지 않는 5가지 체크 | 호빵넷 가이드
은행, 거래소, OTT를 사칭하는 피싱 사이트를 구별하는 실전 체크리스트입니다. 도메인 철자 검사부터 HTTPS 자물쇠, 검색 광고 구분, 문자 링크 대응까지 정리했습니다.
도메인을 한 글자씩 읽는 습관
피싱 사이트의 가장 흔한 수법은 비슷한 도메인입니다. naver를 naverr, navar로 쓰거나, 0(숫자 영)과 o(알파벳 오), rn과 m처럼 헷갈리는 문자를 바꿔치기합니다. hometax.go.kr이 아닌 hometax-refund.com 같은 식으로 앞부분만 진짜처럼 꾸미는 경우도 많습니다. 로그인이나 결제 전에는 주소창을 소리 내어 읽는다는 기분으로 한 글자씩 확인하세요.
정부 기관은 gov.kr·go.kr, 은행과 증권사는 각 사의 공식 도메인을 씁니다. 이 목록을 전부 외울 필요는 없습니다. 호빵넷처럼 검증된 주소모음에서 이동하는 습관만 들이면 도메인 암기 없이도 피싱을 원천 차단할 수 있습니다.
HTTPS 자물쇠는 최소 조건일 뿐
주소창의 자물쇠(HTTPS)는 통신이 암호화된다는 뜻이지, 사이트가 진짜라는 뜻이 아닙니다. 요즘은 피싱 사이트도 무료 인증서를 달고 나오므로 자물쇠만 믿으면 안 됩니다. 자물쇠는 없으면 무조건 위험, 있어도 도메인 확인은 별도라고 이해하는 것이 정확합니다.
검색 광고와 문자 링크를 경계하라
검색 결과 최상단은 광고 영역인 경우가 많고, 피싱 조직이 인기 사이트 이름으로 광고를 사는 사고가 반복적으로 보도되고 있습니다. 검색 결과에서 "광고" 표시가 붙은 링크는 클릭하지 말고, 그 아래의 자연 검색 결과나 주소모음의 검증된 링크를 이용하세요.
"결제 실패", "계정 정지", "환급금 도착", "택배 주소 오류" 같은 긴박한 문구의 문자 링크는 100% 의심 대상입니다. 진짜 문제가 있는지 확인하려면 문자 속 링크가 아니라, 주소모음이나 공식 앱으로 직접 접속해 계정 상태를 확인하세요. 진짜 기관은 문자 링크로 비밀번호 입력을 요구하지 않습니다.
이미 입력했다면: 피해 대응 순서
피싱 사이트에 아이디·비밀번호를 입력했다면 즉시 공식 사이트에서 비밀번호를 변경하고, 같은 비밀번호를 쓰는 다른 서비스도 함께 바꾸세요. 카드 정보를 입력했다면 카드사에 재발급을 요청하고, 금융 피해가 의심되면 경찰청(112)과 금융감독원(1332)에 신고합니다. 한국인터넷진흥원(118)에도 피싱 사이트 신고가 가능하니, 발견 즉시 신고하면 다른 피해자를 막을 수 있습니다.