스미싱 문자 클릭했다면? 바로 할 일 순서와 구별법

스미싱 문자의 링크를 눌렀다면 먼저 앱을 설치했는지, 이름·생년월일·인증번호 같은 정보를 입력했는지 확인하세요. 한국인터넷진흥원(KISA)은 링크를 누른 것만으로는 악성 앱에 감염되지 않는다고 안내합니다. 다만 앱을 깔았다면 휴대폰을 비행기 모드로 바꾸고, 다른 기기로 금융 차단부터 한 뒤 악성 앱을 지워야 합니다.

택배·부고·청첩장·기관 사칭 문자, 이렇게 구별합니다

스미싱은 문자메시지(SMS)와 피싱(Phishing)을 합친 말입니다. 악성 앱 주소가 담긴 문자를 보내 앱을 설치하게 하거나 전화를 걸게 해서 금융정보·개인정보를 빼가는 수법입니다. 관계부처가 2024년 9월 공개한 집계(2022년~2024년 상반기)에서는 공공기관 사칭형이 116만여 건(71.0%), 청첩장·부고장 등 지인 사칭형이 27만여 건(16.8%)이었습니다.

공통으로 기억할 원칙은 세 가지입니다.

• 정부기관과 금융회사는 전화나 문자로 원격제어 앱 설치를 요구하지 않습니다. 정상 스토어에 등록된 앱이라도 마찬가지입니다(KISA).
• 공공기관·금융기관은 어떤 경우에도 개인정보나 송금을 요구하지 않습니다(경찰청 통합대응단).
• 발신번호나 인터넷 주소(URL)만 보고 믿지 않습니다(경찰청). 악성 앱은 정상 앱과 같은 아이콘을 써서 눈으로 구별하기 어렵습니다(KISA).

건강보험 환급금처럼 실제로 있는 제도를 미끼로 삼기도 합니다. 진짜 환급금은 건강보험 환급금 조회 방법처럼 공식 경로로 확인하세요. 실제 택배가 없어지거나 망가졌을 때의 보상 기준은 택배 분실 보상에 정리했습니다.

정부는 2024년 추석을 앞두고 명절 전후 범칙금·과태료·지인 부고·명절 선물을 사칭한 문자가 다량 유포될 수 있다며 주의를 당부했습니다. 올해 연휴 준비는 추석 연휴 병원·약국 안내에서 확인하세요.

링크만 눌렀을 때와 앱까지 깔았을 때는 다릅니다

KISA는 문자 속 인터넷 주소를 누른 것만으로는 악성 앱에 감염되지 않고, 그 주소를 통해 앱을 설치했을 때 점검이 필요하다고 안내합니다. 내 상황에 맞춰 할 일을 고르세요.

악성 앱이 위험한 이유는 설치 뒤 아이콘을 숨기고, 연락처·문자·사진을 빼가고, 공동인증서 등 금융정보를 수집하며, 휴대폰을 원격으로 조종해 문자를 보내거나 지우기 때문입니다(KISA). 경찰청은 앨범에 저장된 신분증 사진이 탈취돼 피해금 편취로 이어진 수법을 공개했습니다. 과기정통부·경찰청은 감염된 휴대폰으로 소액결제나 오픈뱅킹 계좌이체가 일어나고, 메신저 계정이 도용돼 지인에게 돈을 요구하는 2차 피해가 생긴다고 설명했습니다.

앱을 깔았다면 바로 할 일, 순서대로

금융감독원·경찰청 통합대응단·KISA가 안내하는 조치를 순서대로 묶었습니다. 3번과 4번은 감염된 휴대폰이 아닌 다른 휴대폰이나 PC로 하라고 금감원은 권합니다.

1. 돈이 빠져나갔다면 지급정지부터 — 112 또는 돈을 보낸·받은 금융회사 콜센터에 전화해 지급정지를 요청합니다. 송금 피해 대응은 보이스피싱 지급정지·환급 절차에 따로 정리했습니다.
2. 휴대폰을 비행기 모드로 — 금감원은 초기화나 악성 앱 삭제 전까지 휴대폰 전원을 끄거나 비행기 모드로 바꾸라고 안내합니다.
3. 개인정보 노출 등록 — 금감원 개인정보노출자 사고예방시스템(pd.fss.or.kr)에 노출 사실을 등록합니다. 등록 정보는 금융회사에 공유돼 내 명의의 신규 계좌 개설, 신용카드 발급, 휴대전화 단말기 할부 구입 때 보증보험 가입, 오픈뱅킹 등 일부 거래가 제한될 수 있습니다.
4. 본인 계좌 일괄 지급정지 — 금융정보 유출이 의심되면 금융결제원 계좌정보통합관리서비스(payinfo.or.kr)의 '본인 계좌 지급정지' 메뉴에서 은행·제2금융권·증권사 계좌를 골라 지급정지합니다. 공동인증서와 휴대전화 인증이 필요하고, 영업점이나 콜센터로도 신청할 수 있습니다.
5. 악성 앱 삭제 — 경찰청은 '내 파일'의 설치 파일(APK)이나 다운로드 목록에서 악성 설치 파일을 찾아 지우고 휴지통도 비운 뒤, Play 스토어에서 검증된 모바일 백신을 내려받아 검사·삭제하라고 안내합니다(안드로이드 기준). 백신은 실시간 감지가 되도록 권한을 모두 허용합니다.
6. 안 되면 증거를 남기고 초기화 — 삭제 뒤에도 휴대폰이 정상이 아니면 사기범과의 통화기록, 문자, 카카오톡 대화를 캡처해 보관한 뒤 전체 초기화합니다(경찰청). 서비스센터를 방문하는 방법도 있습니다(KISA). 악성 앱은 화면에서 숨겨지거나 다른 악성 앱을 몰래 설치할 수 있어, 과기정통부·경찰청은 중요한 정보만 따로 저장한 뒤 초기화하는 것을 가장 효과적인 방법으로 꼽았습니다.
7. 인증서·카드 정리 — 감염된 휴대폰으로 금융서비스를 썼다면 공동인증서·보안카드 등을 폐기하고 재발급합니다(KISA). 카드정보가 노출됐다면 해당 카드회사에 전화해 사용정지를 요청합니다(경찰청).
8. 지인에게 알리기 — 악성 앱이 주소록을 보고 비슷한 스미싱을 다른 사람에게 보낼 수 있으니 주변에 피해 사실을 알립니다(KISA).

휴대폰 점검: 소액결제·번호 도용·몰래 개통

소액결제부터 확인합니다. 통신사 고객센터(114)나 통신사 앱에서 소액결제·콘텐츠이용료 내역을 확인하고, 결제를 차단하거나 한도를 줄입니다(경찰청). 피싱 사이트에 개인정보를 입력한 경우에도 모바일 결제 피해가 생길 수 있습니다(KISA).

결제 피해가 확인되면 KISA가 안내하는 순서는 다음과 같습니다.

1. 피해가 의심되는 스미싱 문자를 캡처합니다.
2. 통신사 고객센터에 스미싱 피해를 신고하고 소액결제확인서를 발급받습니다.
3. 소액결제확인서를 들고 관할 경찰서 사이버수사대나 민원실에서 사고 내역을 신고합니다.
4. 사고 내역을 확인받고 사건사고 사실 확인서를 발급받습니다.
5. 필요서류를 통신사 고객센터에 방문, 팩스, 전자우편 중 한 방법으로 냅니다.
6. 통신사나 결제대행업체에 사실과 피해 내역을 확인한 뒤 피해보상을 요구합니다.

경찰서 민원실은 평일 09~18시에 운영하며, 당직 여부는 방문할 경찰서에 확인하라고 경찰청 통합대응단은 안내합니다.

내 번호가 스미싱 발송에 쓰이지 않게 막습니다. 악성 앱에 감염됐거나 피싱 사이트로 정보가 새어 나갔다면 내 번호가 스미싱 재발송에 도용될 수 있습니다. 이동통신사 부가서비스의 '번호도용문자차단서비스'를 무료로 신청할 수 있습니다(KISA).

내 명의로 몰래 개통된 휴대폰이 있는지 봅니다. 한국정보통신진흥협회 명의도용방지서비스(M-Safer, msafer.or.kr)의 가입사실현황조회로 내 명의 휴대전화 개통 여부를 확인합니다. 모르는 회선이 있으면 해당 이동통신사에 회선 해지와 명의도용 신고를 하고, 가입제한서비스로 신규 개통을 막습니다(금감원). M-Safer는 전기통신사업자가 제공하는 무료 서비스이며, 인증서가 필요합니다. PASS 앱·카카오뱅크 앱이나 통신사 직영점에서도 신청할 수 있습니다(경찰청).

금융·계정 점검: 대출·계좌 개설 막고 도용 흔적 찾기

휴대폰에 신분증 사진이 있었다면 재발급을 신청합니다. 주민등록증은 주민센터나 정부24, 운전면허증은 경찰서·운전면허시험장·안전운전통합민원, 여권은 영사콜센터(02-3210-0404)나 구청 여권 민원 창구에 문의합니다(경찰청).

계정도 살핍니다. 과기정통부·경찰청은 범인이 피해자의 메신저 계정을 원격으로 조종해 기존 대화방에서 지인에게 돈을 빌려 달라고 속이는 수법을 공개했습니다. KISA가 운영하는 '털린 내 정보 찾기'(kidc.eprivacy.go.kr)에서는 다크웹 등에 내 아이디·비밀번호가 유통됐는지 조회할 수 있고, 유출 이력이 나오면 해당 사이트 비밀번호를 즉시 바꾸라고 안내합니다.

신고처 한눈에 보기

피싱안심SOS에 스미싱을 제보할 때는 문자 캡처, 문자 속 인터넷 주소, 발신번호를 준비하면 확인이 빠릅니다. 자료가 없어도 제보는 할 수 있습니다.

과기정통부는 2025년 4월부터 문자에 포함된 악성 URL 접속 차단을, 2025년 11월부터 구글과 협력한 안드로이드폰 악성 앱 설치 자동 차단을 적용했다고 밝혔습니다(2026년 9월 2일 관계부처 합동 발표). 이런 장치는 접속과 설치를 '최소화'하려는 것이므로, 출처가 불분명한 링크를 누르지 않는 것이 기본입니다.

자주 묻는 질문

링크만 눌렀는데 정말 괜찮나요?

KISA는 링크를 누른 것만으로는 악성 앱에 감염되지 않는다고 안내합니다. 다만 열린 화면에 개인정보를 입력했다면 결제·명의도용 피해가 생길 수 있으니 소액결제 내역 확인과 개인정보 노출 등록을 하세요. 과기정통부·경찰청은 금전 피해가 없더라도 모바일 백신으로 보안 상태를 점검하라고 권합니다.

초기화하면 증거가 사라지지 않나요?

경찰청은 초기화 전에 사기범과의 통화기록, 문자, 카카오톡 대화를 캡처해 보관하라고 안내합니다. 금전 피해로 경찰서에 사건을 접수할 때는 사기범과의 대화 내역, 계좌 거래 내역이나 소액결제확인서, 신분증을 가져갑니다.

지인 번호로 청첩장이 왔어요. 진짜인지 어떻게 아나요?

KISA는 스미싱 발신번호가 받는 사람 휴대폰에 저장된 연락처로 표시돼 실제 지인이 보낸 것처럼 보일 수 있다고 경고합니다. 링크를 누르기 전에 그 지인에게 전화나 영상통화로 직접 확인하세요. 감염된 휴대폰이 연락처의 지인들에게 같은 문자를 보내는 방식으로 퍼지기 때문입니다.

소액결제 피해는 돌려받을 수 있나요?

통신사에서 소액결제확인서를, 경찰서에서 사건사고 사실 확인서를 받아 통신사나 결제대행업체에 피해보상을 요구할 수 있습니다(KISA). 보상 여부와 범위는 사안마다 다르므로 가입한 통신사 고객센터에 확인하세요.

미리 막아 둘 수 있는 설정이 있나요?

정부는 알 수 없는 출처의 앱이 설치되지 않도록 스마트폰 보안 설정을 강화하라고 권합니다. 과기정통부·경찰청은 '설정 → 보안 및 개인정보보호 → 보안위험 자동차단'을 켜는 방법을 안내했습니다(기종에 따라 메뉴 이름이 다를 수 있습니다). 스마트폰에 신분증 사진이나 계좌 비밀번호를 저장해 두지 않는 것도 예방 수칙입니다.