주소창에서 실제 연결 대상을 가려내는 순서
표시된 링크와 이동한 주소가 다르거나 브라우저 경고가 뜨는 상황은 연결 대상을 다시 확인해야 한다는 뜻입니다. 메시지에 적힌 기관명이나 버튼 문구보다 주소창의 실제 호스트를 먼저 읽어야 합니다.
주소 예시를 먼저 분해하기
https://accounts.example.kr/login?next=home에서 https는 통신 방식, accounts.example.kr은 호스트, /login은 경로입니다. 물음표 뒤는 기능이나 추적에 쓰일 수 있는 매개변수입니다. 운영 주체를 가늠할 때는 경로나 매개변수보다 호스트의 철자와 계층을 먼저 봅니다.
example.kr.notice-check.com처럼 익숙한 이름이 앞에 있어도 실제 등록 도메인으로 보아야 할 부분은 뒤쪽의 notice-check.com입니다. 또한 example.com@other.test 형태에서는 @ 뒤의 other.test가 연결 대상이 될 수 있습니다. 긴 주소는 앞부분만 읽고 판단하지 않습니다.
열기 전과 이동 후 체크리스트
- 철자: 글자 하나의 추가·누락, 숫자와 영문자의 혼용, 낯선 하이픈, 비슷하게 보이는 문자를 확인합니다.
- 프로토콜: 개인정보나 결제 정보를 입력하는 화면이라면 HTTPS인지 봅니다. 다만 HTTPS는 통신 암호화를 뜻할 뿐, 사이트 운영자의 신뢰성까지 보증하지는 않습니다.
- 실제 이동 주소: 링크를 길게 누르거나 마우스를 올려 표시 URL을 확인합니다. 연 뒤에는 주소창을 다시 펼쳐 최종 호스트가 예상한 공식 도메인인지 비교합니다.
- 인증서 상태: 브라우저의 사이트 정보에서 인증서가 현재 호스트에 유효한지 확인합니다. 이름 불일치, 만료, 신뢰할 수 없는 발급자 경고가 나오면 예외를 추가하지 않습니다.
- 리디렉션: 로그인 직전 다른 도메인으로 바뀌거나 여러 주소를 연속으로 거치면 뒤로 이동합니다. 단축 링크는 목적지를 숨길 수 있으므로 민감한 작업에 바로 사용하지 않습니다.
기기별로 확인하는 위치
| 환경 | 확인 방법 | 놓치기 쉬운 부분 |
|---|---|---|
| 모바일 | 주소창을 눌러 생략되지 않은 전체 주소를 보고, 링크는 길게 눌러 미리 표시되는 대상을 확인합니다. | 화면이 좁아 하위 도메인이나 경로가 잘릴 수 있습니다. 앱 내부 브라우저라면 기본 브라우저에서 공식 북마크를 직접 여는 편이 낫습니다. |
| PC | 링크에 마우스를 올려 상태 표시 영역을 보고, 이동 후 주소창의 호스트와 사이트 정보를 확인합니다. | 검색 광고 제목, 버튼 문구, 탭 제목은 실제 호스트와 다를 수 있습니다. |
이 조건에서는 확인을 멈추기
- 브라우저가 인증서 오류, 위험한 사이트, 연결 비공개 아님 등의 경고를 표시한다.
- 예상하지 않은 도메인에서 비밀번호, 인증번호, 카드 정보 또는 신분증 자료를 요구한다.
- 경고를 무시하거나 보안 기능을 끄고 접속하라고 안내한다.
- 공식 사이트의 공지나 고객센터에서 해당 주소를 확인할 수 없다.
이때는 우회 주소를 찾지 말고 창을 닫습니다. 저장한 공식 북마크나 기관명을 직접 입력해 다시 접근하고, 의심 링크는 개인정보를 입력하지 않은 상태에서 브라우저의 신고 기능이나 공공 신고기관 안내에 따라 전달합니다.
급한 문구보다 주소창을 먼저 보는 30초 점검
화면이 지나치게 서두르게 만들거나 문장이 부자연스럽다면, 주소 확인보다 클릭을 앞세우는 상태입니다. 경고 문구 하나만으로 피싱이라고 단정할 수는 없지만, 로그인·결제·앱 설치를 계속하기 전에는 실제 이동 주소를 따로 살펴야 합니다.
주소 예시를 화면 요소와 분리해 보기
메시지에 “계정이 10분 뒤 정지됩니다”라는 문구와 함께 https://account-check.example.invalid/login?source=message가 표시됐다고 가정해 보겠습니다. 핵심은 ‘account-check’라는 그럴듯한 이름이나 ‘login’이라는 경로가 아닙니다. 실제 호스트는 account-check.example.invalid이며, 물음표 뒤 내용은 유입 경로 등을 전달하는 매개변수일 수 있습니다.
버튼에 적힌 주소는 실제 목적지와 다를 수 있습니다. 단축 주소나 리디렉션을 거치면 처음 보인 호스트와 열린 뒤 주소창의 호스트도 달라집니다. 따라서 브랜드명, 로고, 자물쇠 모양만 보지 말고 주소창에서 호스트의 끝부분까지 읽어야 합니다.
화면 구성과 문구 체크리스트
- 허위 긴급성: 몇 분 안에 계정 정지, 환불 소멸, 과태료 확정처럼 검토 시간을 없애는 문구가 있는지 봅니다.
- 과도한 유도: 화면 대부분을 ‘허용’, ‘계속’, ‘지금 설치’ 버튼이 차지하고 닫기나 취소가 잘 보이지 않는지 확인합니다.
- 민감정보 요구: 링크를 연 직후 비밀번호, 카드번호 전체, 인증번호, 신분증 사진을 한꺼번에 요구하는지 살핍니다.
- 이상한 번역: 조사와 높임말이 섞이거나 기관·서비스 이름이 문장마다 달라지는지 읽어 봅니다. 오탈자 하나는 판정 근거가 아니지만 여러 불일치는 중단 신호가 될 수 있습니다.
- 화면 모방: 브라우저 경고처럼 꾸민 웹페이지가 ‘검사 시작’이나 ‘보안 앱 다운로드’를 누르게 하는지 확인합니다. 웹페이지 안의 그림과 브라우저 자체 경고는 구분해야 합니다.
- 주소 불일치: 메시지에 표시된 URL, 길게 눌러 미리 본 주소, 이동 후 주소창의 호스트가 서로 다른지 비교합니다.
모바일과 PC에서 확인하는 순서
- 모바일: 링크를 바로 누르지 말고 길게 눌러 미리 보이는 목적지를 확인합니다. 앱 내부 브라우저가 호스트를 줄여 보여 주면 기본 브라우저에서 주소창을 펼쳐 전체 주소를 읽습니다.
- PC: 마우스를 링크 위에 올렸을 때 브라우저 하단에 나타나는 목적지를 봅니다. 복사한 주소는 실행하기 전에 메모장 같은 일반 텍스트 화면에서 호스트를 확인할 수 있습니다.
- 이동 후: 새 호스트로 바뀌었다면 즉시 입력하지 말고 리디렉션이 예상된 절차였는지 판단합니다. 공식 앱이나 직접 만든 북마크를 통해 같은 안내가 있는지도 확인합니다.
이때는 진행을 멈춥니다
인증서 또는 HTTPS 보안 경고가 나타나는데도 ‘고급’ 메뉴로 우회하라고 요구하거나, 주소가 계속 바뀌며 로그인·결제·원격제어 앱 설치를 재촉하면 창을 닫습니다.
확신이 없으면 받은 링크로 다시 들어가지 않습니다. 평소 저장한 북마크, 직접 입력한 공식 주소, 공식 앱의 고객지원 메뉴로 돌아가 사실 여부를 확인하세요. 이미 정보를 입력했다면 해당 서비스의 공식 경로에서 비밀번호와 로그인 기록을 점검하고, 결제정보가 포함됐다면 금융회사에도 즉시 문의합니다.
권한 요청은 주소가 확정된 뒤 판단하세요
링크를 연 직후 권한 창이 뜨는 현상은 해당 페이지가 브라우저 기능이나 기기 정보에 접근하려 한다는 뜻입니다. 요청 자체만으로 정상 또는 위험을 단정할 수는 없습니다.
예를 들어 메시지에 표시된 주소가 help.example이어도 이동 후 주소창이 event.example.net으로 바뀔 수 있습니다. 이때 판단 기준은 링크에 적힌 이름이 아니라 주소창에서 경로 앞에 보이는 실제 호스트입니다. HTTPS 자물쇠도 통신 암호화를 나타낼 뿐, 운영 주체나 요청 목적까지 보증하지는 않습니다.
권한별 확인 기준
| 요청 권한 | 가능한 사용 목적 | 허용 전 점검 | 멈춰야 하는 조건 |
|---|---|---|---|
| 알림 | 배송 상태, 일정, 새 글 안내 | 계속 받아야 할 정보인지 확인합니다. 단순 열람이라면 대부분 즉시 허용할 필요가 없습니다. | 접속과 동시에 허용을 재촉하거나, 허용해야 내용을 볼 수 있다고 반복하면 거부합니다. |
| 위치 | 주변 매장, 지도, 지역별 정보 | 대략적 위치로 충분한지와 서비스 기능에 꼭 필요한지 살핍니다. | 로그인·결제와 관계없는 페이지가 정확한 위치를 요구하거나 실제 호스트가 예상과 다르면 중단합니다. |
| 카메라 | QR 인식, 영상 통화, 문서 촬영 | 사용자가 촬영 기능을 직접 선택한 직후인지 확인합니다. | 페이지를 보기만 했는데 카메라가 켜지거나 신분증·카드 촬영을 갑자기 요구하면 허용하지 않습니다. |
| 다운로드 | 문서, 영수증, 설치 파일 저장 | 파일명과 확장자, 다운로드를 시작한 동작이 있었는지 확인합니다. | 자동으로 여러 파일이 내려오거나 문서로 안내했는데 실행 파일이 저장되면 열지 않습니다. |
모바일과 PC에서 되돌리는 순서
- 주소창을 한 번 눌러 전체 호스트를 확인합니다. 모바일은 주소가 줄어 표시될 수 있으므로 펼쳐 보고, PC는 철자가 비슷한 다른 도메인이나 불필요한 하위 도메인이 붙었는지 살핍니다.
- 우선 거부하거나 창을 닫습니다. 필요한 권한은 기능을 실제로 사용할 때 다시 요청할 수 있습니다. 거부 후에도 일반적인 안내 내용을 읽을 수 있는지 확인합니다.
- 이미 허용했다면 사이트별 권한을 초기화합니다. 주소창 주변의 사이트 정보 메뉴 또는 브라우저 설정의 개인정보·사이트 설정에서 해당 호스트를 찾아 알림, 위치, 카메라와 자동 다운로드 권한을 차단하거나 삭제합니다. 메뉴 이름은 브라우저와 운영체제에 따라 다릅니다.
- 공식 경로로 다시 들어갑니다. 메시지 링크를 재사용하지 말고, 이전에 직접 저장한 북마크나 기관·서비스의 공식 안내에서 주소를 확인합니다.
주소창에 인증서 또는 보안 경고가 나타났거나, 권한 허용 뒤 다른 호스트로 계속 이동하거나, 개인정보·결제정보 입력을 함께 요구한다면 더 진행하지 마세요. 우회 접속보다 브라우저 도움말과 해당 서비스의 공식 고객센터를 이용하고, 피싱이 의심되면 관련 공공 신고기관의 안내에 따라 주소와 화면을 보존해 신고하는 것이 좋습니다.
로그인 화면에서는 비밀번호보다 호스트를 먼저 봅니다
로그인 화면이 예상과 다르거나 갑자기 재인증을 요구한다면, 계정 정보를 입력하기 전에 실제 이동 주소를 확인해야 하는 상황입니다.
주소 예시에서 호스트 찾기
https://login.example.com/account에서는 login.example.com이 호스트이고 /account는 그 안의 경로입니다. 반면 https://example.com.verify-account.invalid/login의 실제 호스트는 앞쪽의 서비스명처럼 보이는 부분이 아니라 example.com.verify-account.invalid입니다. 익숙한 이름이 포함됐다는 사실만으로 공식 주소가 되지는 않습니다.
문자나 메신저에 표시된 문구는 실제 이동 주소와 다를 수 있습니다. 단축 주소는 목적지를 숨길 수 있고, 링크를 연 뒤 여러 차례 리디렉션될 수도 있습니다. 로그인 직전에는 처음 본 표시 URL이 아니라 최종적으로 주소창에 남은 호스트를 읽어야 합니다.
30초 계정 보안 점검
| 환경 | 확인 동작 | 입력 전 판단 |
|---|---|---|
| 모바일 | 주소창을 한 번 눌러 생략된 전체 주소를 펼칩니다. 앱 안의 간이 브라우저라면 기본 브라우저에서 다시 확인합니다. | 철자, 호스트 끝부분, HTTPS 경고를 확인합니다. |
| PC | 링크에 마우스를 올려 표시 목적지를 보고, 열린 뒤 주소창의 최종 주소와 비교합니다. | 표시 주소와 이동 주소가 다르면 리디렉션 이유를 확인합니다. |
- 비밀번호 재사용 금지: 낯선 페이지에 입력한 비밀번호가 다른 서비스와 같다면 한 곳의 노출이 여러 계정에 영향을 줄 수 있습니다. 서비스마다 다른 비밀번호를 쓰고 비밀번호 관리자를 활용할 수 있습니다.
- 추가 인증 확인: 가능하다면 인증 앱, 보안 키, 패스키처럼 단순 문자 코드보다 피싱 저항성이 높은 방식을 검토합니다. 승인 알림은 본인이 시작한 로그인일 때만 허용합니다.
- HTTPS를 안전 판정으로 오해하지 않기: HTTPS는 전송 구간 암호화를 뜻하지만 사이트 운영자의 신뢰성까지 보증하지는 않습니다. 자물쇠 표시와 호스트를 함께 봐야 합니다.
여기서는 입력을 멈춥니다
브라우저가 인증서, 연결 비공개, 위험 사이트 관련 경고를 표시하면 ‘고급’ 메뉴로 우회하지 말고 창을 닫습니다.
주소 철자가 미묘하게 다르거나, 로그인과 무관한 주민등록번호·카드 정보·복구 코드 전체를 요구하는 경우에도 중단합니다. 반복되는 인증 승인 알림이나 긴급한 계정 정지를 내세운 입력 요구 역시 링크 밖에서 확인해야 합니다.
접근이 필요하면 검색 광고나 새 메시지 링크를 다시 누르기보다 이전에 저장한 북마크, 직접 설치한 공식 앱, 청구서 등에서 확인한 대표 주소를 이용합니다. 공식 경로를 확인할 수 없으면 해당 서비스의 공개된 고객지원 안내나 브라우저 도움말을 찾습니다.
이미 정보를 입력했다면
- 의심한 페이지가 아닌 공식 앱이나 직접 확인한 주소에서 비밀번호를 변경합니다.
- 같은 비밀번호를 쓴 다른 계정도 각각 다른 값으로 바꿉니다.
- 로그인 기록, 연결 기기, 복구 이메일과 전화번호 변경 여부를 점검하고 모르는 세션을 종료합니다.
- 다중 인증 수단을 다시 설정하고, 타인에게 전달한 인증 코드나 복구 코드는 폐기·재발급 가능 여부를 확인합니다.
- 의심 링크는 사용 중인 메신저의 신고 기능이나 공공 신고기관의 안내 절차를 이용해 전달합니다.
의심 신호를 더해 보는 30초 주소 점검표
링크의 이름과 실제 이동 주소가 다르거나 브라우저 경고가 나타난다면, 주소를 확인하기 전에는 로그인·결제·파일 다운로드를 진행하지 않는 편이 좋습니다.
먼저 주소를 한 줄로 분해합니다
https://accounts.example.kr/login?next=home에서 실제 호스트는 accounts.example.kr입니다. 첫 번째 빗금 뒤의 login은 경로이고, 물음표 뒤는 매개변수입니다. 경로에 익숙한 회사명이 있어도 호스트가 달라지면 같은 사이트라는 뜻이 아닙니다.
모바일에서는 주소창을 한 번 눌러 생략되지 않은 주소를 펼칩니다. PC에서는 링크에 마우스를 올려 표시되는 목적지를 먼저 보고, 이동했다면 주소창의 최종 호스트를 다시 읽습니다. @ 앞에 익숙한 이름을 넣거나 긴 하위 도메인을 붙여 혼동시키는 주소도 있으므로 빗금 앞부분 전체를 확인해야 합니다.
| 확인 항목 | 점수 | 판단 기준과 조치 |
|---|---|---|
| 출처 | 1점 | 기다리던 안내가 아닌 문자·메신저·댓글 링크라면 1점을 더합니다. 보낸 사람 이름만으로 판단하지 않습니다. |
| 표시 URL | 2점 | 버튼 문구와 길게 누르기 또는 마우스 올리기로 확인한 주소가 다르거나, 단축 주소로 목적지를 알 수 없으면 더합니다. |
| 실제 호스트 | 2점 | 철자 한 글자, 하이픈, 도메인 끝부분이 예상과 다르면 더합니다. xn-- 표시는 한글 같은 국제화 도메인의 변환 형식일 수 있어 그 자체가 위험 판정은 아니지만 원래 표기를 공식 안내와 대조합니다. |
| 이동 후 변경 | 2점 | 여러 번 이동한 뒤 관련 없어 보이는 호스트에 도착하면 더합니다. 정상적인 로그인 연결도 있으므로 최종 주소를 공식 문서와 비교합니다. |
| 정보 요구 | 2점 | 비밀번호, 인증번호, 카드 정보, 신분 확인 자료를 곧바로 요구하면 입력하지 말고 점수를 더합니다. |
| 브라우저 경고 | 즉시 중단 | 인증서 오류, 안전하지 않은 연결, 위험 사이트 경고가 표시되면 점수와 관계없이 뒤로 갑니다. 예외 추가나 경고 무시는 하지 않습니다. |
| 압박 표현 | 1점 | 계정 정지, 즉시 환불, 제한 시간처럼 확인을 재촉하면 별도 공식 경로에서 사실을 확인합니다. |
합계는 이렇게 해석합니다
- 0~1점: 위험이 없다는 뜻은 아닙니다. 주소 철자와 요청 내용을 한 번 더 확인한 뒤 진행합니다.
- 2~4점: 링크를 통한 작업을 멈추고, 직접 입력한 공식 홈페이지나 기존 북마크·공식 앱에서 같은 공지가 있는지 찾습니다.
- 5점 이상: 링크를 닫고 개인정보를 입력하지 않습니다. 이미 입력했다면 해당 서비스의 공식 고객센터를 통해 비밀번호 변경과 계정 보호 절차를 확인합니다.
점수보다 강한 중단 기준은 브라우저 보안 경고, 예상하지 못한 프로그램 설치, 인증번호 전달 요구입니다. 연결 실패를 해결한다며 다른 주소나 보안 설정 해제를 안내해도 따르지 않습니다.
의심 링크는 메시지 앱의 신고 기능이나 통신사·플랫폼 절차를 이용할 수 있습니다. 피싱이 의심되면 한국인터넷진흥원(KISA)의 최신 신고 안내를 직접 찾아 절차를 확인하고, 브라우저의 위험 사이트 경고가 잘못되었다고 생각될 때도 경고 화면을 우회하기보다 해당 브라우저의 공식 도움말을 이용합니다.
주소가 수상할 때는 확인보다 중단이 먼저입니다
이상이 발견됐다는 것은 링크의 이름과 주소창의 실제 호스트가 다르거나, 예상하지 않은 이동·로그인 요구·브라우저 경고가 나타난 상태입니다. 이때는 그 사이트 안에서 진위를 확인하려 하지 말고 중단, 기록, 검사, 신고 순서로 대응합니다.
1. 입력과 이동을 즉시 멈춥니다
https://account.example.com/login에서 호스트는 account.example.com입니다. 반면 https://example.com.notice-check.example.net의 실제 호스트는 example.net 아래에 있습니다. 앞부분에 익숙한 이름이 보여도 주소창의 호스트 끝부분이 예상과 다르면 진행하지 않습니다.
비밀번호, 인증번호, 카드 정보는 입력하지 말고 다운로드도 취소합니다. 인증서 경고 화면의 ‘고급’ 메뉴에서 계속 접속하는 선택지를 누르지 않습니다. 모바일은 주소창을 한 번 눌러 축약되지 않은 주소를 확인한 뒤 탭을 닫고, PC는 새로고침이나 뒤로 가기를 반복하지 않습니다.
2. 다시 방문하지 않는 범위에서 기록합니다
화면 캡처에는 주소창, 경고 문구, 받은 시각이 함께 보이게 합니다. 문자나 메신저라면 발신자 표시, 메시지 내용, 링크에 적힌 문구도 보존합니다. 표시 URL과 이동 후 주소가 달랐다면 두 값을 구분해 적습니다.
증거를 더 모으려고 링크를 다시 열거나 다른 사람에게 전달해서는 안 됩니다. 주소에 이름, 이메일, 주문번호 같은 값이 포함됐다면 공개 게시판에 그대로 올리지 말고 해당 부분을 가립니다.
3. 문제의 범위를 안전한 경로에서 검사합니다
저장해 둔 북마크를 사용하거나 기관·업체 이름을 직접 검색해 공식 안내 페이지로 들어갑니다. 기존 메시지의 링크를 복사해 다시 여는 방식은 확인이 아닙니다. 공식 공지에서 주소 변경이나 장애 여부를 확인하고, 필요하면 고객센터에 화면 캡처와 발생 시각을 전달합니다.
‘사이트에 연결할 수 없음’이나 DNS 오류만으로 피싱이라고 단정할 수는 없습니다. 일시적 장애, 네트워크 설정, 잘못된 경로도 원인이 될 수 있습니다. 반대로 보안 검사 결과가 경고 없음으로 표시돼도 안전을 보증하는 것은 아니므로 주소 구조와 정보 요구 내용을 함께 판단합니다.
4. 노출 여부에 따라 신고와 계정 조치를 진행합니다
링크만 보고 닫았다면 메시지 서비스의 신고 기능으로 발신 계정과 메시지를 신고할 수 있습니다. 피싱이나 악성 주소가 의심되면 한국인터넷진흥원(KISA)의 공식 신고 안내를 직접 찾아 절차를 확인합니다. 검색 광고나 게시물에서 발견했다면 해당 플랫폼의 사칭·유해 링크 신고 항목도 이용합니다.
비밀번호를 입력했다면 의심 페이지가 아닌 공식 앱이나 직접 입력한 공식 주소에서 즉시 변경합니다. 같은 비밀번호를 쓴 다른 계정도 서로 다른 비밀번호로 바꾸고 로그인 기록, 연결 기기, 복구 정보, 다중 인증 설정을 확인합니다. 카드나 계좌 정보를 보냈거나 결제가 발생했다면 금융회사 공식 창구에 먼저 알립니다.
멈춰야 하는 조건: 실제 호스트를 판별하기 어렵거나, 브라우저가 인증서·악성 사이트 경고를 표시하거나, 인증번호와 원격 제어 앱 설치를 요구하면 직접 해결하려 하지 말고 탭을 닫습니다. 공식 고객센터, 브라우저 도움말 또는 공공 신고기관의 안내로 전환하세요.