스미싱 문자, 눌렀다면
바로 할 일 5가지

링크를 누르기 전에 보호나라로 확인해요.

스미싱은 문자메시지(SMS)와 피싱(Phishing)을 합친 말이에요. 문자 속 인터넷주소(링크)를 누르게 해 악성 앱을 깔게 하고, 소액결제를 일으키거나 개인·금융정보를 가져가는 범죄죠.⁴ 자주 쓰이는 미끼는 아래와 같아요.

KISA 보호나라 보안공지(2025.3.11, 2026.7.16, 2026.7.21, 2026.9.17), 경찰청 안내(2023.12.18) 기준.^1231712

의심 문자는 카카오톡에서 '보호나라' 채널을 추가하고, 스미싱(스미싱·피싱 확인서비스) 메뉴에 문자를 복사해 붙여 넣으면 정상·주의·악성 중 하나로 답을 받아요. 처음 신고된 문자는 '주의'로 표시되고, 10분쯤 뒤 다시 확인하면 정상이나 악성으로 판정돼요.⁶¹⁰

아는 번호여도 링크는 전화로 먼저 확인해요.

청첩장 스미싱은 악성 앱에 감염된 폰의 연락처를 이용해 그 사람 이름으로 다시 퍼지기 때문에, 실제 지인이 보낸 문자처럼 보여요.² 부고 문자도 일반 부고와 비슷해 구분이 어렵다고 경찰청이 안내했어요.¹²

정부는 2024년 1~9월 KISA가 탐지한 미끼문자 109만 건 가운데 청첩장·부고장 같은 지인 사칭형이 24만여 건이었다고 발표했어요.¹³ KISA는 지인에게 온 문자라도 링크가 있으면 누르기 전에 전화로 확인하라고 권고하고, 정부기관과 금융회사는 전화나 문자로 원격제어 앱 설치를 요구하지 않는다고 밝히고 있어요.⁴¹

KISA 안내로는 누르기만 해서는 감염되지 않아요.

KISA는 문자 속 링크를 누른 것만으로는 개인정보 유출이나 소액결제 피해가 생기지 않고, 그 뒤 권한 허용과 앱 설치에 동의해야 감염된다고 안내해요.⁵¹ 다만 경찰청·과학기술정보통신부 안내문은 링크를 누르면 악성 앱이 설치될 수 있다고 경고하고 있어, 앱이 내려받아졌는지는 꼭 확인해요.¹²¹³ 문자를 누른 시점 이후 확장자가 apk인 파일이 저장됐다면 지우고, 지워지지 않으면 서비스센터를 찾거나 초기화해요.⁴

KISA·금융감독원 안내 기준.¹⁷ 링크를 눌렀는데 '웹 페이지를 찾을 수 없습니다'만 떴다면 보통 악성 앱이 내려받아지지 않은 경우예요. 다만 일부러 그렇게 만든 화면일 수도 있어 설치 여부를 확인하라는 것이 KISA 안내.¹⁶

그 계정의 비밀번호부터 새로 바꾸는 것이 좋아요.

KISA는 계정 정지·새 기기 접속을 핑계로 한 스미싱이 가짜 로그인 화면에서 계정·이메일·전화번호를 가져간다고 경고했어요.³¹⁷ 비밀번호를 바꾸라는 문구가 공식 안내에 있는 것은 아니지만, 유출된 비밀번호를 그대로 두지 않는 것이 일반적인 보안 수칙이에요. 같은 비밀번호를 다른 곳에도 썼다면 그곳도 함께 바꾸는 편이 안전해요. 신분증이나 계좌번호까지 넣었다면 아래 '바로 할 일 5가지'의 3번(명의도용 막기)도 함께 해요.⁷

비행기모드로 바꾸고, 다른 전화로 112에 신고해요. 아래 순서는 KISA와 금융감독원 안내를 합쳐 정리한 거예요.¹⁷

1. 1비행기모드, 그리고 112 신고: 모바일 백신으로 악성 앱을 찾으면 비행기모드로 바꾼 뒤 112에 신고해요. 악성 앱이 폰을 원격제어할 수 있으니 주변 사람 전화로 거는 것이 KISA 안내예요.¹
2. 2돈이 나갔다면 지급정지: 돈을 받은 쪽이나 보낸 쪽 금융회사 콜센터에 바로 전화해 피해 신고와 지급정지를 요청해요. 112나 1332로 걸어도 연결돼요. 내 계좌를 한꺼번에 정지하려면 금융결제원 계좌정보통합관리서비스(payinfo.or.kr)에서 '본인 계좌 지급정지'를 일괄 또는 일부만 신청할 수 있어요.⁷
3. 3명의도용 막기: 금융감독원 개인정보 노출자 사고예방시스템(pd.fss.or.kr)에 노출 사실을 등록하면 내 이름으로 새 계좌 개설·신용카드 발급 등이 제한돼요. 엠세이퍼(msafer.or.kr)에서는 내 이름으로 개통된 휴대폰을 조회하고 새 개통을 막을 수 있어요. 노출 등록과 2번의 본인 계좌 지급정지는 감염된 폰 말고 다른 휴대전화나 PC로 하라는 것이 금융감독원 권고예요.⁷⁹
4. 4소액결제 확인·차단: 통신사 고객센터(114)나 통신사 앱에서 결제 내역을 확인하고, 쓰지 않는다면 차단하거나 한도를 줄여요.¹⁰¹
5. 5앱 삭제·초기화와 뒷정리: 악성 앱을 지우거나 폰을 초기화하고, 감염된 폰으로 금융 거래를 했다면 인증서·보안카드를 폐기하고 다시 발급받아요. 악성 앱이 주소록으로 같은 문자를 퍼뜨릴 수 있어 지인에게도 알려요.¹⁷

금융감독원은 초기화 전까지는 전원을 끄거나 비행기모드로 두라고 안내해요.⁷ 돈이 이체됐다면 경찰서(사이버수사대)에서 받은 사건사고 사실확인원 같은 서류로 지급정지를 신청한 날부터 3영업일 안에 그 영업점에 피해구제 신청서를 내야 해요. 필요한 서류는 방문 전에 금융회사나 경찰서에 확인하세요.⁷

막는 대상이 서로 달라요.

엠세이퍼 서비스 소개, 금융감독원 「보이스피싱 피해 시 대처방법」, 금융위원회 보도자료(2024.8.23, 2024.9.30) 기준.⁹⁷¹⁴¹⁸

엠세이퍼는 전기통신사업법 제32조의6에 근거한 무료 서비스라, 내 이름으로 새 회선이 가입(신규·명의변경)되면 따로 신청하지 않아도 문자로, 문자를 받을 수 없으면 등기우편으로 알려 줘요.⁹ 가입제한은 본인이 해제해야 다시 개통할 수 있죠.⁹ 조회했더니 모르는 휴대폰이 개통돼 있다면 그 통신사에 회선 해지와 명의도용 신고를 바로 해요.⁷

여신거래 안심차단은 2024년 8월 23일부터 시행됐고, 처음에는 거래 중인 금융회사 영업점을 찾아가 본인 확인을 거쳐 신청하는 방식이었어요.¹⁴ 2024년 9월 30일부터는 인터넷전문은행 이용자도 비대면으로 신청할 수 있게 됐어요(케이뱅크는 10월 8일부터).¹⁸ 이후 시중은행·카드사로 비대면 신청을 넓힐 계획이라고 밝혔으니, 지금 가능한 방법은 거래 금융회사에 확인하세요.¹⁸

114로 차단하고, 경찰서 확인서로 취소를 요청해요.

이동통신 3사 고객센터는 모두 114(무료)이고, 통신사 앱(T world, 마이케이티, 당신의 U+)에서도 결제 내역 확인과 차단·한도 변경을 할 수 있어요.¹⁰ KISA는 자기 폰으로 114에 걸어 상담원과 연결하면 소액결제를 차단할 수 있다고 안내해요.⁴

이미 결제가 됐다면 KISA 안내 순서는 이래요.¹

1. 1통신사 고객센터에서 모바일 결제 내역 확인
2. 2의심되는 스미싱 문자 화면 캡처
3. 3통신사에 스미싱 피해를 신고하고 소액결제확인서 발급
4. 4확인서를 들고 관할 경찰서 사이버수사대나 민원실에 신고
5. 5사건사고 사실확인서 발급
6. 6확인서를 통신사 고객센터에 방문·팩스·전자우편으로 제출
7. 7통신사나 결제대행 업체에 피해 내역 확인 후 피해보상 요구

통신사별 세부 절차는 다를 수 있어 가입한 통신사에 먼저 문의하세요.¹⁹