스미싱 문자를 링크 누르지 않고 판별하는 순서

"[국제발신] 택배 주소가 불명확하여 반송 처리되었습니다. 확인 → hxxp://bit.ly/..."

이런 문자를 받으면 대개 두 가지 중 하나를 합니다. 링크를 눌러 확인해 보거나, 발신번호를 검색창에 넣어 보거나. 앞의 것은 하면 안 되는 일이고, 뒤의 것은 생각보다 쓸모가 없습니다.

왜 쓸모가 없는지부터 짚고, 링크를 열지 않고 확인하는 공식 경로와 그 한계를 순서대로 정리했습니다.

발신번호는 애초에 검증된 값이 아닙니다

발신번호를 보고 판단하려는 시도가 헛수고인 이유는 법조문에 그대로 드러나 있습니다. 국가법령정보센터에서 전기통신사업법 제84조의2를 조회하면 제1항이 이렇게 시작합니다.

누구든지 다른 사람을 속여 재산상 이익을 취하거나 폭언ㆍ협박ㆍ희롱 등의 위해를 입힐 목적으로 전화(문자메시지를 포함한다. 이하 이 조에서 같다)를 하면서 송신인의 전화번호를 변작하는 등 거짓으로 표시하여서는 아니 된다.

여기서 **변작(變作)**은 발신 전화번호를 타인의 번호나 존재하지 않는 번호로 바꿔 표시하는 행위를 말합니다. 위반하면 제95조의2 제4호에 따라 3년 이하의 징역 또는 1억 원 이하의 벌금입니다.

주목할 곳은 같은 조 제3항입니다. 이 조항은 전기통신사업자에게 거짓 표시된 번호의 발신을 차단하거나 정상 번호로 정정해 송출할 것, 그리고 국외에서 국내로 들어온 전화에 국외발신 안내를 붙일 것을 의무로 지웠습니다.

법이 통신사에 차단 의무를 지운다는 것은, 화면에 뜨는 번호가 그 자체로는 검증된 값이 아니라는 뜻입니다. 검증은 통신망 쪽에서 걸러 주는 만큼만 이뤄지고, 국제 회선을 경유해 우회하는 경로는 그 그물을 빠져나갑니다. 그래서 수신 화면의 번호를 근거로 진짜와 가짜를 가르는 방법은 처음부터 성립하지 않습니다. 발신번호가 아니라 문자 내용으로 판별해야 하는 이유가 여기에 있습니다.

링크를 열지 않고 확인하는 경로

KISA는 카카오톡 채널 보호나라에서 스미싱 확인 서비스를 운영합니다. 절차는 링크를 건드리지 않는 방식으로 설계돼 있습니다.

카카오톡에서 보호나라 채널을 검색해 추가합니다.
받은 문자를 길게 눌러 텍스트만 복사합니다. 링크를 누르는 것이 아니라 문자 전체를 복사하는 것입니다.
채널 메뉴에서 스미싱 항목을 열고 붙여넣습니다.
스미싱 접수 결과 확인을 누릅니다.

KISA 보호나라 안내에 따르면 답변은 정상, 주의, 악성 세 가지로 돌아옵니다. 상담과 신고는 국번 없이 118로도 가능합니다.

여기서 처음 세운 가설이 틀렸습니다

이 글을 시작할 때는 "의심스러우면 조회해서 안전한지 확인한 뒤 열면 된다"는 결론을 예상했습니다. 그런데 KISA의 서비스 설명에 조건이 붙어 있었습니다.

정상, 주의, 악성 세가지 답변을 제공하며, 최초 신고된 메시지는 '주의'로 표시

10분 이후 재검사시, '정상' 또는 '악성'을 판정하여 질의자에게 회신

즉 아무도 신고한 적 없는 새 문자는 조회해도 곧바로 판정이 나오지 않습니다. 나에게 처음 도착한 유형이라면 '주의'가 뜨고, 판정을 받으려면 10분을 기다렸다 다시 물어야 합니다.

이 구조는 확인 서비스가 이미 수집된 정보를 대조해 주는 장치이지 문자 하나를 그 자리에서 감정해 주는 장치가 아니라는 뜻입니다. 그래서 조회는 위험을 확인해 줄 수는 있어도 안전을 보증해 주지는 못합니다. '악성'이 뜨면 확실하지만, '정상'이나 '주의'가 떴다고 링크를 눌러도 되는 것은 아닙니다.

가장 위험한 문자는 방금 만들어져 아직 아무도 신고하지 않은 문자이고, 그 문자야말로 조회가 가장 약한 지점입니다. 판별의 축을 "이 문자가 안전한가"에서 "이 요구가 정상 절차인가"로 옮겨야 하는 이유입니다. 택배사는 주소 확인을 위해 앱 설치를 요구하지 않고, 공공기관은 과태료 납부를 문자 링크로 받지 않습니다.

공식 문자에 붙는 표시와 그 사각지대

과학기술정보통신부, KISA, 이동통신사, 삼성전자가 함께 만든 안심마크 서비스가 있습니다. 공공·금융기관이 보낸 문자에 기관 이름과 함께 확인된 발신번호 문구를 띄워 주는 방식입니다.

다만 이 서비스는 RCS라는 문자 규격 위에서 동작합니다. RCS는 기존 SMS를 대체하려고 만든 규격이고, 표시 방식이 단말기마다 다릅니다. 언론 보도에 따르면 특정 제조사의 일정 시점 이후 단말에서만 표시되고 아이폰은 메시지 규격이 달라 적용되지 않는데, 이 범위는 서비스 확대에 따라 달라질 수 있으므로 본인 기기에서 실제로 보이는지부터 확인하는 편이 정확합니다.

여기서 중요한 것은 마크가 없다고 사칭인 것은 아니라는 점입니다. 서비스에 가입하지 않은 기관도 많고, 지원하지 않는 단말에서는 애초에 표시되지 않습니다. 마크는 있으면 신뢰를 더해 주는 신호이지, 없을 때 의심을 확정해 주는 신호가 아닙니다.

신고 경로는 목적에 따라 갈립니다

신고 창구가 여럿인 이유는 각각 처리하는 대상이 다르기 때문입니다.

경로	접수 대상	접근 방법	제약
KISA 보호나라	문자 자체의 악성 여부 확인·신고	카카오톡 채널, 국번 없이 118	판정에 시간이 걸릴 수 있음
전기통신금융사기 통합대응단	스미싱·보이스피싱·변작 통합 제보	counterscam112.go.kr, 1394	유형 선택 후 제보
발신번호 거짓표시 신고센터	번호가 변작됐는지 추적	anti-forgery.kisa.or.kr	수신 후 30일 이내만 접수

세 번째 항목의 제약은 따로 기억해 둘 만합니다. KISA 안내에는 이렇게 적혀 있습니다.

전화번호 거짓표시 여부를 확인하기 위해서는 이전 전기통신사업자 정보를 추적하여 최초 발신지를 찾는 방법으로, 30일 이내의 수신 건에 대해서만 신고 접수가 가능함

신고할 때 필요한 값도 정해져 있습니다. 신고인의 통신사, 수신번호, 수신 시각, 발신번호입니다. 그래서 의심 문자는 지우기 전에 수신 시각이 보이도록 남겨 두는 편이 낫습니다.

내 번호가 도용되는 쪽도 막을 수 있습니다

스미싱 대응은 보통 받는 쪽만 생각하지만, 반대 방향도 있습니다. 인터넷 문자 발송 서비스에서 내 휴대전화 번호를 발신번호로 도용하는 경우입니다. 이때 항의 전화는 나에게 걸려 옵니다.

KISA 안내에 따르면 개인은 이동통신 3사가 제공하는 번호도용 문자차단 서비스에 가입해 이를 막을 수 있고, SKT·KT·LG유플러스 모두 무료입니다. 가입하면 내 번호는 인터넷을 통한 문자 발신번호로 사용할 수 없게 됩니다. 스팸 차단 설정을 손보는 김에 함께 확인해 볼 만한 항목입니다. 수신 차단 쪽 설정은 스팸 전화와 문자 차단하는 방법에서 따로 정리했습니다.

기관이나 사업자라면 KISA가 운영하는 번호도용 전화 차단 시스템과 문자 차단 시스템에 대표번호를 등록하는 경로가 별도로 있습니다.

그래서 순서를 이렇게 잡게 됩니다

지금까지 확인한 것을 순서로 정리하면 이렇습니다.

링크는 누르지 않습니다. 판별은 그다음 문제입니다.
발신번호는 판별 근거에서 뺍니다. 법이 변작을 금지하고 통신사에 차단 의무를 지울 만큼 신뢰할 수 없는 값입니다.
문자 본문만 복사해 보호나라에 질의합니다. '악성'이면 확정이고, '정상'이나 '주의'는 보증이 아닙니다.
판단은 요구 내용으로 합니다. 앱 설치, 링크를 통한 납부, 개인정보 입력을 요구하면 그 자체가 신호입니다.
확인이 필요하면 문자에 적힌 번호가 아니라 직접 찾은 기관 대표번호로 겁니다.
신고는 30일 안에 합니다. 통합대응단에 제보하고, 번호 변작이 의심되면 신고센터에 수신 시각과 함께 접수합니다.

명의가 이미 도용된 정황이 걱정된다면 가입 현황을 조회하는 경로는 휴대폰 명의도용 확인 방법에 정리해 두었습니다. 계정 자체를 문자 인증에서 떼어 놓는 방향이라면 패스키 등록 절차 쪽이 더 근본적인 대응입니다.

문자 한 통을 두고 진짜인지 아닌지 고민하는 시간은 대체로 헛됩니다. 발신번호도, 조회 결과도 안전을 증명해 주지 못하기 때문입니다. 남는 것은 그 문자가 무엇을 요구하는지 보는 일뿐입니다. 오늘 받은 문자 중에서, 링크를 누르지 않고도 요구 내용만으로 걸러낼 수 있었던 것은 몇 통인가요?

함께 읽어보세요