피싱이란? 가짜 이메일, 문자, QR 코드를 알아보는 방법

피싱이란 무엇인가요?

영국 국가사이버보안센터(NCSC)는 피싱을 범죄자들이 사기 이메일, 문자 메시지, 전화를 이용해 피해자를 속이는 것으로 정의합니다. 그 목적은 흔히 컴퓨터에 바이러스를 내려받게 할 수 있는 웹사이트를 방문하게 하거나, 은행 정보 등 개인정보를 훔치는 것입니다^[3]. 미국 연방거래위원회(FTC)는 더 간단하게 설명합니다. 사기꾼들이 이메일이나 문자 메시지로 사람들을 속여 개인정보와 금융 정보를 넘기게 하는 것입니다^[1].

FBI는 이 범죄를 ‘피싱/스푸핑’으로 묶습니다. 정상적인 회사가 보낸 것처럼 꾸며 개인정보, 금융 정보 또는 로그인 자격 증명을 요구하는, 요청하지 않은 이메일, 문자, 전화를 말합니다^[8]. 스푸핑은 메시지가 은행에서 온 것처럼 보이게 하는 식으로 발신자를 위조하는 것을 뜻합니다.

피싱은 사회공학의 한 형태이며, FBI는 사회공학을 사람을 속여 보안 데이터를 털어놓게 함으로써 이를 얻어 내는 것으로 설명합니다^[12]. 피싱은 기술적 결함이 아니라 사람의 신뢰를 이용하므로, 누군가를 설득해 비밀번호나 코드를 넘기게만 하면 강력한 시스템도 우회할 수 있습니다.

피싱에는 어떤 형태가 있나요?

• 이메일 피싱: 은행, 쇼핑몰, 택배 회사, 고용주를 사칭해 대량으로 보내는 메시지입니다^[1].
• 스피어 피싱: 성공 가능성을 높이기 위한 정보를 활용해 특정 개인이나 집단을 겨냥하는 공격입니다^[12].
• 문자 메시지 피싱(스미싱): 같은 수법을 SMS로 보내는 것으로, FTC의 정의는 문자 메시지를 명시적으로 포함합니다^[1].
• 전화 피싱(보이스피싱): 신뢰할 수 있는 기관을 사칭하는 전화로, NCSC는 사기 전화를 피싱의 일부로 봅니다^[3].
• QR 코드 피싱(큐싱): 이메일 속 QR 코드가 악성 웹사이트로 연결됩니다^[6].

AI는 피싱을 어떻게 바꾸고 있나요?

2024년 12월 FBI는 범죄자들이 생성형 AI를 이용해 사회공학과 스피어 피싱에 쓸 그럴듯한 글을 쓰고, 더 많은 사람에게 더 빠르게 메시지를 보내고, 문법이나 맞춤법 오류가 적어지도록 메시지를 번역한다고 경고했습니다^[12]. NCSC도 예전에는 서툰 맞춤법이나 어색한 디자인으로 사기를 알아보기가 더 쉬웠지만, 이제는 사기가 점점 교묘해져 일부는 전문가마저 속인다고 지적합니다^[4].

누가 개인적으로 표적이 되나요?

범죄자들은 소셜 미디어를 포함해 온라인에 공개된 개인 정보를 이용해 메시지를 더 그럴듯하게 만듭니다^[3]. 주목도가 높은 집단은 국가 연계 공격에도 노출됩니다. 프리덤하우스는 이란 이슬람 혁명수비대와 연계된 해킹 그룹이 온라인에서 언론인과 인권 활동가를 사칭해 정부 비판자들을 피싱 작전으로 유인했다고 보고했습니다^[13]. 페르시아어를 쓰는 언론인과 활동가라면, 예상치 못한 인터뷰 요청이나 문서 링크도 은행 메시지와 똑같이 확인해야 합니다.

피싱 메시지는 어떻게 알아보나요?

FTC에 따르면 피싱 메시지는 흔히 의심스러운 활동이나 로그인 시도를 발견했다고 하거나, 계정 또는 결제 정보에 문제가 있다고 주장하거나, 개인정보나 금융 정보를 확인해 달라고 하거나, 모르는 청구서를 첨부하거나, 결제하려면 링크를 누르라고 하거나, 정부 환급 대상이라고 하거나, 무료 상품 쿠폰을 준다고 합니다^[1].

NCSC는 의심스러운 메시지에서 다음과 같은 신호를 확인하라고 권합니다^[4].

1. 권위: 은행, 의사, 변호사, 정부 부처처럼 공식적인 곳에서 보냈다고 주장하나요^[4]?
2. 긴급성: 흔히 벌금을 물리겠다는 위협과 함께, 24시간 안에 또는 즉시 답하라고 하나요^[4]?
3. 감정: 당황하게 하거나, 두렵게 하거나, 기대하게 하거나, 호기심을 자극하나요^[4]?
4. 희소성: 콘서트 표, 돈, 치료법처럼 구하기 어려운 것을 제안하나요^[4]?
5. 시사 이슈: 뉴스 기사, 큰 행사, 또는 세금 신고 기간 같은 시기를 이용하나요^[4]?

NCSC는 은행이나 다른 공식 기관은 절대 이메일로 개인정보를 요구하거나, 전화로 은행 계좌 정보를 확인해 달라고 하지 않는다고 덧붙입니다^[4]. 의심스럽다면 메시지에 적힌 번호나 주소가 아니라 공식 웹사이트의 연락처로 해당 기관에 직접 연락하십시오^[4].

피싱은 얼마나 흔한가요?

FBI 인터넷 범죄 신고 센터(IC3)는 2025년 1,008,597건의 신고를 접수했으며, 신고된 피해액은 208.77억 달러였습니다^[8]. 신고 건수 기준으로 가장 큰 범주는 191,561건의 피싱/스푸핑이었습니다^[8]. 피싱/스푸핑으로 신고된 피해액은 2024년 70,013,036달러에서 2025년 215,843,126달러로 늘었습니다^[8]. 신고 건수는 사람들이 IC3에 신고하기로 한 것만 집계하며, 실제로 일어난 모든 피싱을 반영하지는 않습니다.

업계 연합체인 안티피싱 워킹그룹(APWG)은 2025년 1분기에 1,003,924건의 피싱 공격을 관측했으며, 이는 2023년 말 이후 가장 많은 수치입니다. APWG는 범죄자들이 매일 QR 코드가 담긴 이메일을 수백만 통씩 보내고 있다고 밝혔습니다^[9]. 같은 분기 전체 공격 가운데 온라인 결제와 은행을 노린 공격이 합쳐서 30.9%를 차지했습니다^[9].

영국에서는 NCSC의 신고 서비스에 2026년 9월 기준 5,960만 건이 넘는 사기가 신고되었으며, 그 결과 466,300개의 URL에 걸쳐 263.7천 건의 사기가 제거되었습니다^[3].

QR 코드는 스캔해도 안전한가요?

일상적인 장소라면 대개 안전합니다. NCSC는 술집이나 식당의 QR 코드는 아마 스캔해도 안전할 것이며, QR 코드를 이용한 사기는 다른 사이버 사기에 비해 비교적 적고, 대부분 역이나 주차장 같은 개방된 공간에서 흔히 사회공학과 결합해 일어난다고 말합니다^[6].

더 큰 우려는 이메일입니다. NCSC는 피싱 이메일에 QR 코드가 담기는 사례, 이른바 큐싱이 늘고 있다고 봅니다. QR 코드는 악성 링크를 감추고, 모든 이메일 보안 도구가 이미지를 검사하지는 않으며, 사람들은 업무용 컴퓨터보다 보호 수준이 낮을 수 있는 개인 휴대폰으로 스캔하는 경향이 있기 때문입니다^[6].

FBI와 FTC는 무엇을 권하나요?

• 스캔한 뒤에는 웹 주소를 확인하십시오. 악성 도메인은 오타나 글자 하나가 잘못 들어간 채로 진짜처럼 보일 수 있습니다^[7].
• 실물 코드라면 스티커로 덮여 있지 않은지 확인하십시오^[7]. FTC는 사기꾼들이 주차 요금 정산기의 QR 코드를 자신들의 코드로 덮었다는 신고가 있었다고 전합니다^[2].
• QR 코드를 통해 앱을 내려받거나 별도의 QR 스캐너 앱을 설치하지 마십시오. 대부분의 휴대폰은 카메라 앱에 스캐너가 내장되어 있습니다^[7].
• 예상하지 못한 이메일이나 문자에 있는 QR 코드는 스캔하지 마십시오. 진짜임을 아는 전화번호나 웹사이트로 회사에 연락하십시오^[2].
• QR 코드로 접속한 사이트에서 결제하지 마십시오. 대신 알고 있는 신뢰할 수 있는 주소를 직접 입력하십시오^[7].

피싱 링크를 눌렀다면 어떻게 해야 하나요?

다음 순서대로 신속하게 대응하십시오.

1. 멈추고 연락을 끊습니다. NCSC는 멈추고, 연락을 끊고, 메시지에 쓰인 표현을 다시 살펴보라고 조언합니다^[4].
2. 비밀번호를 알려 주었다면, NCSC는 같은 비밀번호를 쓰는 모든 계정의 비밀번호를 바꾸고, 가능하다면 대신 패스키를 사용하라고 말합니다^[14]. FTC도 계정 보호를 위해 다중 인증을 권합니다^[1].
3. 첨부 파일을 열었거나 무언가를 설치했다면, 보안 소프트웨어를 업데이트하고 검사를 실행해 탐지된 항목을 제거하십시오^[1][14]. 업무용 노트북이나 휴대폰에서 일어난 일이라면 IT 부서에 알리십시오^[14].
4. 돈을 잃었거나 은행 정보를 알려 주었다면, 공식 연락처가 흔히 인쇄되어 있는 카드나 거래 내역서의 번호로 은행에 알리고^[4], 범죄로 신고하십시오. 잉글랜드, 웨일스, 북아일랜드에서는 Report Fraud에, 스코틀랜드에서는 스코틀랜드 경찰에 신고합니다^[14]. 사회보장번호, 카드 번호 또는 은행 계좌 번호가 노출되었을 수 있는 미국 독자는 IdentityTheft.gov의 절차를 따르면 됩니다^[1].
5. 조작된 QR 코드로 결제했다면, FBI는 신고하라고 하면서도 수사 기관이 잃어버린 돈의 회수를 보장할 수는 없다고 경고합니다^[7].

피싱은 어떻게 신고하나요?

영국에서는 의심스러운 이메일을 NCSC의 의심 이메일 신고 서비스 주소 report@phishing.gov.uk로 전달하십시오^[5]. 미국에서는 FTC가 피싱 이메일을 안티피싱 워킹그룹 주소 reportphishing@apwg.org로 전달하고, 피싱 문자는 SPAM (7726)으로 전달하고, ReportFraud.ftc.gov에서 시도를 신고하라고 안내합니다^[1]. 미국에서는 사기 피해를 FBI의 IC3에 신고할 수도 있습니다^[7]. 이 글은 일반 정보이며 금융 또는 법률 자문이 아닙니다. 개별 사안에 대해서는 은행과 국가 신고 센터가 권한을 가진 기관입니다.

실제로 피싱을 막아 주는 방어책은 무엇인가요?

FTC는 네 가지 보호 수단을 제시합니다. 컴퓨터의 보안 소프트웨어, 휴대폰의 자동 업데이트, 계정의 다중 인증, 그리고 데이터 백업입니다^[1].

다중 인증은 피싱을 막아 주나요?

큰 도움이 되지만 완벽하지는 않습니다. 다중 인증(MFA)은 비밀번호와 코드처럼 두 가지 이상의 증명을 요구합니다^[10]. 미국 사이버보안·인프라보안청(CISA)은 흔한 피싱 수법이 사용자를 가짜 로그인 페이지로 보내 사용자 이름, 비밀번호, 인증 앱의 6자리 코드를 입력하게 한 뒤 공격자가 이를 사용하는 것이라고 설명합니다^[10]. CISA는 문자나 음성으로 전송된 코드도 SS7 네트워크 결함이나 SIM 스와핑으로 탈취될 수 있으며, 공격자들이 사용자가 수락을 누를 때까지 푸시 알림을 쏟아붓기도 한다고 덧붙입니다^[10].

CISA는 널리 쓸 수 있는 유일한 피싱 저항 인증이 주요 브라우저, 운영체제, 스마트폰에서 지원되는 FIDO/WebAuthn이라고 밝힙니다^[10]. 그래도 어떤 형태의 MFA든 없는 것보다는 낫다고 말합니다^[10]. 패스키는 비밀번호를 암호 키 쌍으로 대체하는 FIDO 자격 증명이며, FIDO 얼라이언스는 비밀번호와 달리 패스키는 언제나 강력하고 피싱에 강하다고 말합니다^[11]. 또한 유출된 데이터베이스에서 훔쳐 갈 비밀번호 자체가 없다고 덧붙입니다^[11].

그 밖에 위험을 줄이는 방법은 무엇인가요?

범죄자들은 온라인 정보를 이용해 메시지를 맞춤화하므로, 나와 다른 사람들이 나에 대해 온라인에 올린 내용을 점검하고 소셜 미디어 개인정보 설정을 강화하십시오^[3]. 의심스러운 메시지는 신고하십시오. NCSC는 신고하면 받는 사기 메시지가 줄어들고 다른 사람을 보호하는 데도 도움이 된다고 말합니다^[3].