가짜 로그인 화면 구별 체크리스트, 비밀번호 넣기 전 30초

왜 30초면 충분한가

가짜 로그인 화면을 만드는 쪽은 로고와 색, 문구를 그대로 베낍니다. 그래서 화면 생김새로 구별하려고 하면 오히려 속기 쉽습니다. 대신 베끼기 어려운 부분이 있습니다. 바로 주소창의 도메인, 그 페이지에 오게 된 경로, 그리고 화면이 요구하는 정보의 종류입니다. 이 세 가지는 화면을 아무리 잘 꾸며도 바꿀 수 없어서, 차례대로 확인하면 30초 안에 판단할 수 있습니다.

아래 체크리스트는 위에서부터 순서대로 보도록 만들었습니다. 앞 단계에서 이상한 점이 하나라도 보이면 뒤 단계로 넘어가지 말고 창을 닫는 것이 원칙입니다.

1. 어떻게 이 화면에 왔는지 떠올리기

가장 먼저 볼 것은 화면 자체가 아니라 이 화면에 오게 된 경로입니다. 문자, 메신저, 메일 속 링크를 눌러 왔다면 그것만으로도 의심할 이유가 충분합니다. 은행, 택배사, 공공기관은 링크를 보내 로그인을 요구하는 일이 거의 없습니다.

• 문자나 메신저 링크로 왔다면 창을 닫고 즐겨찾기나 공식 앱으로 다시 들어갑니다.
• 검색 결과에서 왔다면 광고 표시가 붙은 결과였는지 떠올려 봅니다.
• 즐겨찾기나 직접 입력한 주소로 왔다면 다음 단계로 넘어갑니다.

2. 주소창 도메인 한 글자씩 보기

주소창에서 점으로 나뉜 마지막 두 덩어리가 그 사이트의 진짜 주인입니다. 예를 들어 login.naver.com의 주인은 naver.com이지만, naver.com.login-check.net의 주인은 login-check.net입니다. 앞부분에 익숙한 이름이 보여도 끝이 다르면 다른 사이트입니다.

• 알파벳 l과 숫자 1, 영문 o와 숫자 0처럼 비슷한 글자가 바뀌어 있지 않은지 봅니다.
• 회사 이름 뒤에 event, secure, center 같은 단어가 붙어 있지 않은지 봅니다.
• 휴대폰에서는 주소창을 눌러 전체 주소를 펼쳐 봅니다. 화면이 좁아 앞부분만 보일 때가 많습니다.

헷갈린다면 꼼꼼이 노트의 해당 분야 줄에 적힌 도메인과 맞춰 보세요. 예를 들어 은행이라면 은행·카드 노트, 쇼핑몰이라면 검색·쇼핑 노트에 공식 도메인이 있습니다.

3. 자물쇠만 믿지 않기

주소창의 자물쇠 표시는 통신이 암호화됐다는 뜻일 뿐, 그 사이트가 진짜라는 보증이 아닙니다. 요즘은 가짜 사이트도 무료 인증서로 자물쇠를 다는 일이 흔합니다. 자물쇠가 없으면 확실히 피해야 하지만, 자물쇠가 있다고 안심해서는 안 됩니다. 인증서 경고 화면이 떴을 때 읽는 법은 브라우저 보안 경고 읽는 법에 따로 정리했습니다.

4. 화면이 요구하는 정보 보기

정상 로그인 화면은 아이디와 비밀번호, 그리고 필요하면 2단계 인증 코드만 묻습니다. 아래처럼 로그인과 상관없는 정보를 한꺼번에 요구하면 거의 확실히 가짜입니다.

• 로그인 화면에서 카드 번호, 유효기간, CVC를 함께 묻는 경우
• 보안 카드 번호 전체나 OTP 여러 개를 한 번에 넣으라는 경우
• 주민등록번호 뒷자리와 계좌 비밀번호를 같이 묻는 경우
• 본인 확인을 이유로 원격 제어 앱이나 apk 파일 설치를 요구하는 경우

5. 서두르게 만드는 문구 경계하기

오늘 안에 확인하지 않으면 계정이 정지된다, 결제가 완료됐으니 취소하려면 로그인하라는 식의 문구는 판단할 시간을 빼앗으려는 장치입니다. 진짜 서비스는 이런 일이 있어도 공식 앱 알림이나 사이트 공지로 알립니다. 급하게 만드는 화면일수록 한 번 멈추고 공식 주소로 직접 들어가 같은 알림이 있는지 확인하세요.

메일로 온 로그인 요청 구별하기

업무용 계정을 노리는 가짜 로그인 화면은 대개 메일로 옵니다. 문서가 공유됐다, 저장 공간이 가득 찼다, 비밀번호가 곧 만료된다는 제목이 대표적입니다. 보낸 사람 이름은 회사 동료나 서비스 운영팀처럼 보이게 꾸미지만, 실제 보낸 주소를 펼쳐 보면 전혀 다른 도메인인 경우가 많습니다. 이런 메일을 받으면 메일 속 버튼을 누르지 말고, 평소 쓰는 즐겨찾기로 그 서비스에 들어가 같은 알림이 있는지 확인하세요. 진짜라면 서비스 안에서도 같은 내용을 볼 수 있습니다.

이미 비밀번호를 넣었다면

가짜 화면에 비밀번호를 넣었다는 것을 알게 됐다면 아래 순서로 움직이세요. 빠를수록 피해가 작아집니다.

1. 공식 사이트나 앱으로 직접 들어가 비밀번호를 바로 바꿉니다.
2. 그 비밀번호를 함께 쓰던 다른 사이트도 빠짐없이 바꿉니다.
3. 2단계 인증이 꺼져 있었다면 지금 켭니다.
4. 카드나 계좌 정보를 넣었다면 카드사와 은행 고객센터에 바로 알립니다.
5. 최근 로그인 기록에서 낯선 기기가 있으면 로그아웃시킵니다.

앞으로 같은 일을 막는 가장 쉬운 방법은 자주 쓰는 로그인 주소를 즐겨찾기에 넣어 두고 그 경로로만 들어가는 것입니다. 정리 방법은 즐겨찾기 정리법에 있습니다.

휴대폰에서 특히 조심할 점

휴대폰은 화면이 좁아 주소창에 도메인 앞부분만 보이고, 문자와 메신저 링크를 누르기도 쉬워 가짜 로그인 화면에 가장 많이 노출되는 기기입니다. 휴대폰에서는 아래 세 가지를 습관으로 만들어 두면 좋습니다.

• 문자 속 링크는 누르지 않고, 같은 서비스의 공식 앱을 직접 열어 알림을 확인합니다.
• 브라우저로 로그인해야 할 때는 주소창을 눌러 전체 주소를 펼쳐 봅니다.
• 앱 설치를 요구하는 화면이 나오면 공식 마켓에서 개발사 이름을 확인한 뒤에만 설치합니다.

휴대폰에 저장된 비밀번호 자동 완성 기능도 도움이 됩니다. 자동 완성은 저장할 때의 도메인과 같은 곳에서만 비밀번호를 채워 주므로, 평소 채워지던 비밀번호가 나타나지 않는다면 다른 도메인일 가능성을 의심해 볼 수 있습니다.

2단계 인증이 마지막 방어선인 이유

아무리 조심해도 한 번쯤은 속을 수 있습니다. 그래서 비밀번호가 새어 나가도 계정을 지킬 수 있는 장치가 필요합니다. 2단계 인증을 켜 두면 비밀번호 말고도 휴대폰 인증 앱이나 보안 키로 한 번 더 확인해야 로그인이 됩니다. 문자 인증보다는 인증 앱이나 보안 키가 더 안전합니다. 은행, 메일, 클라우드, 쇼핑몰처럼 돈과 자료가 걸린 계정부터 차례로 켜 두세요.

한 장으로 보는 체크리스트

1. 링크로 왔는가? 그렇다면 닫고 즐겨찾기로 다시 들어간다.
2. 도메인의 마지막 두 덩어리가 공식 도메인과 같은가?
3. 자물쇠만 보고 안심하지 않았는가?
4. 로그인에 필요 없는 정보를 요구하지 않는가?
5. 서두르게 만드는 문구가 있지 않은가?

다섯 줄 가운데 하나라도 걸리면 입력하지 않는 것이 정답입니다. 의심스러운 주소를 발견하면 주소 제보로 알려 주세요. 꼼꼼이 노트의 공식 주소와 다른 사칭 주소가 돌고 있다면 해당 분야 노트에 주의 문구를 덧붙이는 데 참고합니다.