단축 URL, 클릭해도 될까: 안전하게 확인하는 법
카톡으로, 문자로, 커뮤니티 게시글로 짧은 링크가 날아옵니다. 주소만 봐서는 어디로 가는지 알 수 없습니다. 그게 단축 URL의 편리함이자 약점입니다. 보내는 사람은 깔끔해서 좋지만, 받는 사람은 도착지를 모른 채 클릭하게 됩니다. 피싱 문자가 단축 링크를 즐겨 쓰는 이유가 정확히 이것입니다.
그렇다고 짧은 링크를 전부 의심하며 살 수는 없습니다. 클릭 전에 10초만 쓰면 대부분의 위험은 걸러집니다. 방법 세 가지를 순서대로 소개합니다.
방법 1. 링크 검사기에 넣어보기
가장 확실한 방법은 클릭을 대신해 주는 도구를 쓰는 것입니다. 줄임 링크 검사기에 주소를 붙여넣으면 그 링크가 리다이렉트를 몇 번 거치는지, 최종적으로 어느 주소에 도착하는지, 도착 페이지의 제목이 무엇인지 보여줍니다. 본인의 브라우저로 직접 이동하는 것이 아니라서 안전하게 내용물을 미리 볼 수 있습니다.
방법 2. 도착지 미리 보기 기능이 있는 단축 서비스인지 보기
일부 단축 서비스는 링크를 열지 않고 도착지를 먼저 볼 수 있는 방법을 제공합니다. 줄임(julim.kr)으로 만든 링크는 뒤에 +를 붙여 열면(예: julim.kr/abc123+) 이동하지 않고 도착지 주소, 접속 방식(HTTPS 여부), 지금까지 클릭 수를 보여주는 화면이 나옵니다. 받은 링크가 julim.kr로 시작한다면 + 한 글자로 클릭하기 전에 도착지를 확인할 수 있는 셈입니다.
방법 3. 도착지 주소의 철자를 읽기
검사기나 + 확인 화면으로 도착지 주소를 확인했다면 마지막으로 철자를 읽어보세요. 피싱 사이트의 흔한 수법은 유명 사이트와 한두 글자만 다른 주소를 쓰는 것입니다. 알파벳 o를 숫자 0으로, l을 1로 바꾸거나, 정상 도메인 앞뒤에 단어를 붙이는 식입니다. 은행이나 포털을 사칭한 주소는 특히 이 패턴이 많습니다.
이런 신호가 보이면 클릭하지 마세요
- 리다이렉트를 3번 넘게 거치는 링크. 정상 링크는 대부분 0~2번 안에 도착합니다.
- 도착지가 HTTP 주소인 경우. 요즘 정상 서비스는 거의 전부 HTTPS를 씁니다.
- 도착지 도메인이 유명 사이트와 비슷하지만 미묘하게 다른 경우.
- 문자 메시지로 온 택배, 벌금, 환급 안내 속 단축 링크. 공공기관은 단축 링크를 잘 쓰지 않습니다.
보낸 곳별로 확인하는 법
같은 짧은 링크라도 어디로 받았느냐에 따라 확인 방법이 다릅니다. 앱마다 주소를 보여주는 방식이 다르기 때문입니다.
- 카카오톡. 링크를 꾹 누르면 복사 메뉴가 뜹니다. 복사한 주소를 검사기에 붙여넣으십시오. 말풍선에 뜨는 미리보기 카드는 보낸 쪽이 꾸밀 수 있어서 도착지 증거가 되지 못합니다.
- 문자 메시지. 국내 문자 피싱은 짧은 링크와 기관 사칭 문구를 같이 씁니다. 택배, 과태료, 환급, 건강보험 같은 단어와 짧은 링크가 한 문장에 같이 있으면 누르지 말고 해당 기관 공식 앱이나 고객센터 번호로 직접 확인하십시오.
- 인스타그램, 유튜브 설명란. 앱 안 브라우저로 열리면 주소창이 잘려 보입니다. 주소를 복사해 검사기에 넣는 편이 확실합니다.
- 이메일. 마우스를 올려 상태 표시줄에 뜨는 실제 주소를 보십시오. 글자로 보이는 주소와 실제 연결된 주소가 다른 수법이 흔합니다.
이미 눌렀다면
눌렀다는 것만으로 바로 피해가 생기지는 않습니다. 문제는 그다음에 무엇을 했느냐입니다. 순서대로 확인하십시오.
- 아이디나 비밀번호를 입력했다면 그 서비스의 비밀번호를 즉시 바꾸십시오. 같은 비밀번호를 쓰는 다른 서비스도 같이 바꿔야 합니다.
- 앱 설치 파일을 내려받아 설치했다면 그 앱을 지우고, 통신사 소액결제 차단과 카드사 알림을 확인하십시오.
- 결제 정보를 넣었다면 카드사에 바로 연락해 정지 요청을 하십시오.
- 피해가 났다면 경찰청 112, 금융감독원 1332로 신고하고 인터넷진흥원 118에 문의하십시오.
아무것도 입력하지 않고 화면만 봤다면 대부분 괜찮습니다. 그래도 그 링크는 다시 열지 마시고 주변에 전달하지 마십시오.
링크를 보내는 쪽이라면
받는 사람이 의심하지 않게 만드는 것도 보내는 쪽의 몫입니다. 짧은 링크를 업무에 쓰신다면 세 가지를 지키십시오. 첫 번째, 늘 같은 도메인을 쓰십시오. 매번 다른 단축 서비스로 보내면 받는 사람이 진짜와 가짜를 구분하지 못합니다. 두 번째, 도착지를 확인할 방법을 같이 알려 주십시오. julim.kr 링크라면 뒤에 +를 붙이면 된다고 한 줄 덧붙이는 것으로 충분합니다. 세 번째, 이미 줄인 링크를 또 줄이지 마십시오. 줄임은 다른 단축 서비스 주소를 다시 줄이지 않습니다. 단계가 겹칠수록 받는 사람이 도착지를 확인하기 어려워지기 때문입니다.
정리
단축 URL 자체는 죄가 없습니다. 문제는 도착지를 모른 채 누르는 습관입니다. 모르는 사람이 보낸 짧은 링크는 검사기에 한 번 넣어보고, 아는 사람이 보냈어도 문맥이 이상하면 확인하고 누르세요. 10초의 확인이 계정과 지갑을 지킵니다.