스미싱 문자 확인, 보호나라 판정 세 가지와 눌렀을 때 순서

스미싱 문자 확인은 문자를 읽는 사람의 감이 아니라 두 가지 도구로 한다. 하나는 문자 안에 무엇이 들어 있는지를 보는 세 가지 기준이고, 다른 하나는 한국인터넷진흥원(KISA)이 카카오톡으로 운영하는 보호나라 스미싱 확인서비스다. 추석을 앞두고 택배 배송·과태료·범칙금을 사칭한 문자가 다시 늘고 있어서(남도일보 2026년 9월 13일, 뉴스컬처 2026년 9월 11일 보도), 이 두 도구와 이미 눌렀을 때의 순서를 한 번에 정리한다.

스미싱은 문자메시지(SMS)와 피싱(phishing)을 합친 말로, 문자 속 인터넷 주소를 누르게 해 악성 앱을 설치시키거나 전화를 걸게 만드는 수법이다. 정부 집계로 최근 3년간 탐지된 문자결제사기 가운데 공공기관 사칭이 207만여 건으로 53.5%를 차지했다(과학기술정보통신부 등 6개 기관 합동 안내, 2025년 9월 28일 기준). 택배 사칭은 2022년 전체의 51.8%였다가 2025년 1~8월에는 1.5%로 비중이 줄었지만, 명절 전후에는 여전히 가장 자주 쓰이는 미끼다.

스미싱 문자 확인에서 먼저 보는 세 가지는 무엇인가

문자를 열었을 때 세 가지만 본다. 인터넷 주소가 들어 있는지, 그 주소나 문자 속 전화번호로 곧바로 행동하라고 하는지, 앱 설치나 개인정보 입력을 요구하는지다. 이 셋 중 하나라도 걸리면 문자 안의 주소와 번호는 쓰지 않고, 택배사·기관의 공식 앱이나 대표번호로 따로 확인한다. 택배 기사는 배송 주소를 확인해 달라며 단축 인터넷 주소를 문자로 보내지 않는다는 것이 개인정보보호위원회의 2026년 추석 안내 내용이다.

확인 기준	스미싱에서 자주 보이는 형태	정상 안내에서 보이는 형태
인터넷 주소	단축 주소, 기관명과 무관한 도메인, 낯선 번호가 보낸 주소	주소가 없거나, 있어도 공식 도메인이며 앱에서 같은 내용을 확인할 수 있음
행동 요구	“배송 중단”, “과태료 부과”, “계정 정지”처럼 지금 눌러야 한다는 압박	조회 방법만 안내하고 기한을 문자 안 주소로 못박지 않음
설치·입력 요구	문자 속 주소에서 앱 설치, 주민등록번호·계좌·인증번호 입력	공식 앱 마켓 밖에서 앱 설치를 요구하지 않음

2026년 추석에 정부가 지목한 문구는 “배송주소 불일치로 배송 취소”, “소포 배송 중단”, “도로명 주소 오류”, “주소가 정확하지 않아 발송 불가”다(개인정보보호위원회 안내, 뉴스컬처 2026년 9월 11일 보도). 2025년 안내에서는 교통법규 위반 범칙금, 쓰레기 무단투기 과태료, 명절 선물 쇼핑몰 사칭이 함께 지목됐다. 문구는 해마다 바뀌지만 위 표의 세 기준은 그대로다.

주의할 점은 발신번호가 판단 근거가 되지 못한다는 것이다. 악성 앱이 이미 설치된 휴대전화에서는 범죄조직이 발신번호를 112나 검찰 1301처럼 보이게 조작할 수 있다고 LG유플러스가 2026년 9월 13일 밝혔다. 번호가 낯익다는 이유로 문자를 믿는 방식은 통하지 않는다.

보호나라 스미싱 확인서비스는 어떻게 판정하나

KISA가 운영하는 보호나라 스미싱 확인서비스는 카카오톡에서 “보호나라” 채널을 추가하고, 채널 메뉴의 “스미싱”을 누른 뒤 의심 문자를 그대로 복사해 붙여 넣으면 된다. 문자메시지뿐 아니라 카카오톡·인스타그램·페이스북으로 받은 메시지도 붙여 넣을 수 있다. 답은 정상·주의·악성 세 가지로 온다(KISA 보호나라 서비스 안내, 2026년 9월 15일 확인).

판정	뜻	받은 뒤 할 일
주의	처음 신고된 메시지라 아직 분석 중이거나, 메신저로 받은 메시지	10분 뒤 “스미싱 접수 결과 확인”을 다시 누른다. 그 사이 주소는 누르지 않는다
악성	악성 행위가 확인된 주소	문자를 삭제하고, 이미 눌렀다면 아래 순서로 움직인다
정상	정상으로 확인된 메시지	그래도 문자 속 주소보다 공식 앱으로 확인하는 편이 안전하다

이 서비스의 한계도 알아 둘 필요가 있다. 처음 신고된 문자는 예외 없이 “주의”로 뜨므로 첫 답변만 보고 정상인지 악성인지 판단할 수 없다. 10분 뒤 재검사가 절차에 들어 있는 이유가 이것이다. 그리고 판정은 문자 안의 인터넷 주소를 분석한 결과다. 주소 없이 전화를 걸게 유도하는 문자는 이 서비스로 걸러지지 않으므로, 그런 문자는 위 표의 두 번째 기준(행동 요구)으로 본다.

스미싱 문자를 이미 눌렀다면 어떤 순서로 움직이나

눌렀다는 것만으로 피해가 확정되지는 않는다. 어디까지 진행됐는지에 따라 연락할 곳이 갈린다. 정부 합동 안내(2025년 9월)와 LG유플러스 안내(2026년 9월 13일)에 나온 번호를 단계별로 묶으면 다음과 같다.

주소만 눌렀고 아무것도 설치·입력하지 않았다면: 국번 없이 118(KISA)에 전화해 24시간 무료 상담을 받는다. 휴대전화 설정에서 “알 수 없는 출처의 앱 설치”가 꺼져 있는지 확인하고, 백신 앱으로 검사한다.
앱을 설치했다면: 그 휴대전화가 아니라 다른 전화로 경찰청 전기통신금융사기 통합신고대응센터 1394에 신고한다. 감염된 전화는 통화를 가로채거나 발신번호를 조작할 수 있어서, 같은 전화로 신고하면 범죄조직에 연결될 수 있다. 통신사 매장이나 경찰서에서 악성 앱 제거를 안내받는다.
개인정보·계좌·인증번호를 입력했다면: 거래 금융회사 콜센터나 영업점에 계좌 지급정지를 요청하고, 금융감독원 1332로 피해 상담을 한다. 휴대전화에 저장해 둔 주민등록증·운전면허증 사진은 삭제한다.
돈이 빠져나갔다면: 즉시 112에 신고하고 동시에 금융회사에 지급정지를 요청한다. 세부 신고는 경찰청 사이버범죄 신고시스템에서 한다.

정보를 입력했거나 앱을 설치한 경우에는 안심차단 서비스를 함께 신청하는 방법이 있다. 비대면 계좌개설 안심차단은 모든 금융회사의 비대면 수시입출식 계좌 개설을 일괄 막고, 여신거래 안심차단은 신용대출·담보대출·카드론·할부·리스 같은 새 개인 대출을 일괄 막는다. 가입은 거래 금융회사 영업점이나 은행 앱에서 되지만, 해제는 영업점을 직접 방문해야만 된다(금융위원회 안내, 2025년 4월 29일). 명의도용 대출을 막는 대신 본인의 새 대출도 막히므로, 해제 절차까지 감안해 신청한다.

계정 쪽도 같이 본다. 문자 속 가짜 사이트에 비밀번호를 입력했다면 그 비밀번호를 쓰는 모든 계정에서 바꾸고, 비밀번호 없이 로그인하는 패스키를 쓰는 계정은 어느 기기에 패스키가 남아 있는지 패스키 기기 변경 글의 기준으로 점검한다. 이용 중인 서비스에서 유출 통지를 받았을 때 회사가 무엇을 알려야 하는지는 개인정보 유출 과징금 글에서 다뤘다.

정리하면

스미싱 문자 확인은 세 기준(주소·행동 요구·설치와 입력 요구)으로 먼저 걸러내고, 애매하면 보호나라 카카오톡 채널에 붙여 넣어 10분 뒤 판정을 받는 순서다. 발신번호는 조작될 수 있어 근거가 되지 못한다. 이미 눌렀다면 어디까지 진행됐는지에 따라 118·1394·1332·112 중 맞는 곳에 연락하고, 앱을 설치한 전화로는 신고하지 않는다. 명절 문자가 늘어나는 시기에는 이 순서를 한 번 읽어 두는 것으로 충분하다.

스미싱 문자 확인에서 먼저 보는 세 가지는 무엇인가

보호나라 스미싱 확인서비스는 어떻게 판정하나

스미싱 문자를 이미 눌렀다면 어떤 순서로 움직이나

정리하면

참고