이메일 피싱, 직접 받아보고 나서야 보이기 시작했다

예전에는 피싱 메일을 보면 “이건 너무 티 나잖아”라고 생각했다. 어색한 문장, 이상한 주소, 과장된 표현이 있으면 바로 걸러낼 수 있을 것 같았다. 그런데 실제로 여러 번 피싱 메일을 받아보니, 생각보다 교묘한 경우도 많았다.

나도 한 번은 실제 사용하는 서비스에서 보낸 것처럼 보이는 메일을 받고 잠깐 고민했던 적이 있다. 그때 이후로는 메일을 보는 기준이 많이 달라졌다.

피싱 메일의 목적은 하나다

피싱 메일의 목적은 단순하다.
사용자가 직접 정보를 입력하게 만드는 것이다.

그래서 피싱 메일은 대부분 사용자를 조급하게 만드는 문구를 사용한다.

이런 문구는 생각할 시간을 줄이고, 행동부터 하게 만든다.

메일을 열었을 때 가장 먼저 보는 건 제목이 아니라 발신자 주소다. 실제로 나도 제목만 보면 진짜처럼 보이는 메일에 속을 뻔한 적이 있다.

공식 메일처럼 보여도, 주소를 자세히 보면 도메인이 미묘하게 다른 경우가 많다. 한 글자만 바뀌어도 전혀 다른 주소다.

이 습관 하나만으로도 피싱 메일의 상당수를 걸러낼 수 있었다.

피싱 메일의 핵심은 링크다. 겉보기에는 정상적인 사이트 주소처럼 보여도, 실제로는 전혀 다른 곳으로 연결되는 경우가 많다.

나는 이제 링크를 바로 누르지 않고, 마우스를 올려 실제 연결 주소를 먼저 확인한다. 모바일에서는 링크를 길게 눌러 미리보기를 확인하는 편이다.

조금 번거롭지만, 이 습관 덕분에 위험한 사이트를 여러 번 피할 수 있었다.

예전에 업무 메일로 위장한 피싱 메일에 첨부파일이 달려온 적이 있다. 내용도 그럴듯해서 순간적으로 열 뻔했다.

그 이후로는, 출처가 불분명한 메일의 첨부파일은 아예 열지 않는다. 실제 기관이나 서비스는 보안상 이유로 첨부파일을 잘 보내지 않는 경우가 많다는 것도 경험으로 알게 됐다.

하나 흥미로웠던 점은, 실제 서비스에서 보내는 메일은 대부분 “메일 말고도 다른 확인 방법”을 함께 제공한다는 것이다. 예를 들어 앱 알림이나 공식 홈페이지에서 확인하라는 안내가 포함돼 있다.

반면 피싱 메일은 메일 안의 링크로만 행동을 유도하는 경우가 많다.

요즘 내가 가장 많이 쓰는 방법은 이거다.
메일이 의심되면, 메일에 있는 링크를 누르지 않고 직접 해당 서비스의 공식 앱이나 홈페이지에 접속해서 확인한다.

이 방법은 조금 귀찮지만, 가장 확실하다. 실제로 이렇게 해서 “아무 문제도 없다는 걸 확인하고 메일이 피싱이라는 걸 확신한 적”도 여러 번 있다.

이메일 피싱은 기술보다 심리를 노리는 공격이다. 직접 받아보고 나니, 피싱을 구분하는 가장 좋은 방법은 복잡한 보안 지식이 아니라 차분하게 확인하는 습관이라는 걸 알게 됐다.

다음 글에서는 디지털 서비스를 이용할 때 꼭 알아두면 좋은 개인정보 관리 기본 습관을, 실제로 내가 지켜오고 있는 기준을 중심으로 정리해보겠다.