피싱 사이트 구별법 3단계 — 자물쇠(🔒)만 믿으면 로그인 그대로 털립니다

자물쇠(🔒)와 ’https’는 안전 보증이 아닙니다. 이 글은 가짜 사이트를 스스로 거르는 3단계 확인법을 정리합니다. 본문의 수치와 주장은 구글·마이크로소프트·KISA 등 1차 출처를 직접 열어 대조했습니다. (특정 사이트·기관과 무관한 일반 보안 정보입니다.)

결론부터 말씀드립니다. 주소창의 자물쇠(🔒)와 ’https’는 “통신이 암호화됐다”는 표시일 뿐, “이 사이트가 진짜”라는 보증이 아닙니다. 그런데 구글 조사에서 이 자물쇠의 정확한 의미를 제대로 이해한 사람은 100명 중 11명뿐이었습니다. 나머지는 자물쇠만 보고 “안전하다”고 착각합니다. 문제는 요즘 피싱 사이트도 거의 다 이 자물쇠를 달고 있다는 점입니다. 자물쇠 대신 무엇을 봐야 하는지, 3단계로 정리했습니다.

자물쇠와 https가 통신 암호화만 보증할 뿐 사이트 안전은 보증하지 않는다는 설명 이미지

자물쇠·https는 '안전' 표시가 아니다 — 통신 암호화는 O, 사이트 안전은 X (파일 images/padlock-https-not-safe.png)

이 글이 속한 주제: 스미싱·피싱 문자와 가짜 사이트 판별법

왜 자물쇠(🔒)·https를 더는 안전 신호로 믿으면 안 될까?

자물쇠는 “브라우저와 사이트 사이의 통신이 암호화됐다”는 뜻일 뿐, 사이트 운영자가 누구인지, 그 사이트가 진짜인지는 전혀 보증하지 않습니다. 즉 암호화와 신뢰는 다른 문제입니다.

수치가 이걸 그대로 보여줍니다. 보안 전문 매체 KrebsOnSecurity는 이미 2018년에 “피싱 사이트의 절반이 자물쇠를 달았다”고 보도했고(당시 49%), 이 비율은 이후 계속 올라 국제 피싱 대응기구(APWG) 집계 기준 2020년 말에는 84%까지 치솟았습니다. 구글도 2023년 공식 발표에서 “거의 모든 피싱 사이트가 https를 쓰고, 따라서 자물쇠도 함께 표시된다”고 직접 인정했습니다.

그럼 자물쇠는 왜 이렇게 흔해졌을까요. 제가 무료 인증서 발급기관인 Let’s Encrypt에 직접 접속해 확인해보니, 자물쇠(SSL/TLS 인증서)는 “내가 이 도메인을 통제하고 있다”만 증명하면 무료·자동으로 발급됩니다. 사이트 운영자가 누구인지 신원을 확인하는 절차는 없습니다. 다시 말해, 사기꾼도 도메인 하나만 사면 은행 사이트와 똑같은 자물쇠를 답니다. 이 기관 한 곳이 발급한 인증서만 이미 7억 개가 넘습니다.

그래서 브라우저도 자물쇠를 버리는 중입니다. 제가 크롬(Chrome) 공식 블로그를 직접 열어 확인해보니, 구글은 “자물쇠 아이콘이 사이트의 신뢰성을 뜻하지 않는다는 걸 우리도 안다”고 못 박고, 2023년 9월 크롬 117 버전부터 주소창의 자물쇠 아이콘을 아예 없애고 중립적인 ‘설정(튜닝)’ 모양 아이콘으로 바꿨습니다. 미국 FBI도 “자물쇠는 사이트 안전성의 지표가 아니다”라고 안내합니다. 자물쇠를 안전의 근거로 삼는 습관 자체가 이미 낡은 것입니다.

구분	실제 의미
자물쇠(🔒)·https가 보증하는 것	브라우저와 사이트 사이의 통신 암호화 (중간에서 엿보기 어렵게 함)
보증하지 않는 것	사이트 운영자가 누구인지, 사이트가 진짜인지·안전한지
누가 받을 수 있나	도메인만 소유하면 누구나 무료·자동 (사기꾼 포함)

자물쇠(🔒)·https가 보증하는 것과 보증하지 않는 것

진짜 화면을 그대로 베끼는 최신 수법 — 인증번호까지 털립니다

여기서 한 단계 더 나갑니다. 요즘 수법은 가짜 화면을 어설프게 흉내 내지 않습니다. 진짜 로그인 페이지를 실시간으로 그대로 중계해서 보여줍니다.

2026년 2월 KrebsOnSecurity가 분석한 ‘Starkiller’라는 피싱 도구가 대표적입니다. 이 방식은 사용자와 진짜 사이트 사이에 몰래 끼어드는 ’중간자(리버스 프록시)’ 구조입니다. 애플·구글·마이크로소프트 같은 브랜드의 진짜 로그인 화면을 실시간으로 불러와 사용자에게 보여주고, 사용자가 입력한 아이디·비밀번호를 진짜 사이트로 그대로 넘겨주면서 중간에서 몰래 가로챕니다. 화면이 진짜니까 어색한 구석이 없습니다.

가장 위험한 건 인증번호(OTP)까지 뚫린다는 점입니다. 마이크로소프트 보안팀의 공식 분석(AiTM 피싱)에 따르면, 이 수법은 2단계 인증 자체를 깨는 게 아니라 사용자가 정상적으로 로그인을 마친 뒤 생기는 로그인 세션(쿠키)을 통째로 훔칩니다. 그래서 문자로 받은 인증번호를 정직하게 입력해도, 그 인증번호와 세션이 공격자에게 흘러가 계정이 그대로 넘어갑니다. “2단계 인증 걸어놨으니 괜찮겠지”가 통하지 않는 이유입니다.

정리하면, 자물쇠도 진짜, 화면도 진짜처럼 보이는 시대입니다. 그러면 우리는 무엇을 봐야 할까요. 화면이 아니라 ‘주소’와 ’접속 경로’ 딱 두 가지입니다.

가짜 사이트 구별 3단계 체크리스트

아래 3단계만 몸에 붙이면 대부분의 가짜 로그인 사이트를 거를 수 있습니다. 순서대로 보겠습니다.

가짜 사이트 구별 3단계 체크리스트 — 도메인 철자·공식 앱 접속·인증번호 입력 자제 (파일 images/fake-site-check-3-steps.png)

단계	확인 방법	가짜 위험 신호
1. 도메인 철자	주소창 도메인을 오른쪽부터 한 글자씩	naver-login.com, 오타, 낯선 꼬리 주소
2. 접속 경로	링크 말고 공식 앱·즐겨찾기로 직접 접속	링크로만 유도, 자동완성이 안 뜸
3. 입력 직전	로그인·인증번호 입력 전 3초 멈춤	인증번호를 "입력/불러달라"고 요구

가짜 사이트 구별 3단계 요약

1단계: 주소창 ’도메인 철자’를 오른쪽부터 한 글자씩 본다

자물쇠 대신 봐야 할 건 주소창의 도메인(진짜 주소)입니다. 핵심은 도메인을 오른쪽에서 왼쪽으로 읽는 겁니다. .com 바로 왼쪽에 붙은 이름이 그 사이트의 진짜 주인이기 때문입니다.

예를 들어 naver-login.com, account-naver.com, kakao.secure-login.com은 ‘naver’·’kakao’라는 글자가 들어 있어도 실제 주인은 각각 naver-login.com, account-naver.com, secure-login.com입니다. 네이버·카카오와는 아무 상관이 없습니다.

진짜 도메인과 유사 가짜 도메인 비교 — naver.com↔︎naver-login.com, apple.com↔︎키릴 문자 위조 (파일 images/phishing-domain-spelling-check.png)

더 교묘한 건 눈으로는 구분이 안 되는 위조입니다. 제가 직접 확인해보니, 겉보기에 аpple.com(첫 글자가 라틴 a가 아니라 키릴 문자 а)은 진짜 apple.com과 화면상 완전히 똑같아 보이지만, 브라우저가 실제로 접속하는 주소는 xn--pple-43d.com이라는 전혀 다른 사이트였습니다. 그래서 문자·메일 속 링크는 눈으로 ‘읽는’ 것만으로는 안전을 장담할 수 없습니다.

2단계: 링크 말고 ’공식 앱·즐겨찾기’로 직접 접속한다

1단계가 어렵게 느껴진다면, 이 2단계 하나만 지켜도 대부분 막힙니다. 문자·메일·메신저에 온 링크를 누르지 말고, 평소 쓰던 공식 앱이나 즐겨찾기(북마크)로 직접 들어가는 것입니다.

리버스 프록시든 위조 도메인이든, 결국 상대는 “이 링크를 눌러 로그인하라”고 유도해야 성공합니다. 내가 직접 아는 경로(앱·즐겨찾기·검색해서 찾은 공식 홈페이지)로 들어가면 그 유도가 통하지 않습니다. 한국인터넷진흥원(KISA) 보호나라도 “출처가 불분명한 이메일·문자·블로그에 포함된 URL에 접근하지 말라”고 공식 안내합니다.

작은 팁 하나. 비밀번호 관리자를 쓰면 이게 자동으로 검증됩니다. 비밀번호 관리자는 저장해 둔 ’진짜 도메인’에서만 자동완성을 띄우기 때문에, 평소 잘 뜨던 자동완성이 안 뜨는 로그인 화면은 가짜일 가능성이 큽니다.

3단계: 로그인·인증번호 입력 직전 ‘3초’ 멈춘다

마지막은 습관입니다. 아이디·비밀번호, 특히 문자로 받은 인증번호를 ’입력’하기 직전에 3초만 멈추고 두 가지를 확인하세요. 첫째, 지금 이 화면에 어떻게 들어왔나(내가 직접 들어왔나, 링크를 눌러 들어왔나). 둘째, 주소창 도메인이 내가 아는 그 주소가 맞나.

특히 인증번호는 방향을 기억하세요. 진짜 서비스는 당신에게 인증번호를 보냅니다. 반대로 그 인증번호를 어딘가에 “입력하라/불러달라”고 요구하는 흐름이라면, 그 화면이 아무리 진짜 같아도 일단 멈춰야 합니다. 앞서 봤듯 인증번호는 실시간으로 가로채여 그 즉시 계정 탈취에 쓰일 수 있습니다.

이미 아이디·비밀번호를 입력했다면

만약 가짜 사이트에 이미 로그인 정보나 인증번호를 넣었다면, 자책보다 속도가 중요합니다. 해당 계정 비밀번호를 즉시 바꾸고, 같은 비밀번호를 쓰는 다른 서비스도 함께 바꾸세요. 금전 피해가 우려된다면 지체 없이 초동 대응에 들어가야 합니다. 무엇을 어떤 순서로 해야 하는지는 아래 정리해 둔 공통 대응 글을 그대로 따라가시면 됩니다.

자주 묻는 질문 (FAQ)

자물쇠(🔒)가 있으면 안전한 사이트 아닌가요?

아닙니다. 자물쇠는 “통신이 암호화됐다”는 표시일 뿐입니다. 사이트가 진짜인지, 운영자가 누구인지는 보증하지 않습니다. 피싱 사이트도 무료 인증서로 똑같은 자물쇠를 답니다.

주소가 ’https’로 시작하면 피싱이 아닌 거죠?

그렇지 않습니다. 구글도 “거의 모든 피싱 사이트가 https를 쓴다”고 밝혔습니다. https는 안전의 근거가 아니라 이제 기본값입니다. 주소창의 도메인 철자를 봐야 합니다.

크롬에서 자물쇠 아이콘이 사라졌던데, 문제가 생긴 건가요?

정상입니다. 구글이 2023년 9월 크롬 117 버전부터 오해를 줄이려고 자물쇠를 ‘설정’ 모양 아이콘으로 바꿨습니다. 아이콘이 바뀐 것이지 사이트에 이상이 생긴 게 아닙니다.

2단계 인증(OTP)을 걸어두면 가짜 사이트도 막히지 않나요?

부분적으로만 맞습니다. 요즘 리버스 프록시 수법은 로그인 세션 쿠키를 통째로 훔쳐 2단계 인증을 우회합니다. 인증번호를 “입력하라”고 요구하는 화면은 특히 조심해야 합니다.

진짜인지 헷갈릴 때 가장 확실한 방법은요?

링크를 누르지 말고, 평소 쓰던 공식 앱이나 즐겨찾기로 직접 접속하는 것입니다. 접속 경로만 바꿔도 대부분의 가짜 사이트 유도가 무력화됩니다.

결론

이제 자물쇠(🔒)와 https는 ’안전 신호’가 아니라 ’기본값’입니다. 화면이 진짜처럼 보여도 흔들리지 마세요. 딱 세 가지만 기억하면 됩니다. ① 주소창 도메인 철자를 오른쪽부터 확인하고, ② 링크 대신 공식 앱·즐겨찾기로 직접 접속하고, ③ 인증번호 입력 직전 3초 멈추는 것. 이 습관 하나가 계정과 통장을 지킵니다.

이 블로그 검색

피싱 사이트 구별법 3단계 — 자물쇠(🔒)만 믿으면 로그인 그대로 털립니다