주소창 도메인 읽는 법, 피싱 사이트를 3초 안에 걸러내기

피싱 사이트는 로고와 화면을 진짜와 똑같이 베낄 수 있지만 주소창의 도메인만큼은 베낄 수 없습니다. 같은 도메인은 세상에 하나뿐이기 때문입니다. 그래서 주소창을 제대로 읽을 줄 알면 화면이 아무리 그럴듯해도 몇 초 안에 가짜를 걸러낼 수 있습니다. 이 글은 주소의 각 부분이 무엇을 뜻하는지, 피싱 사이트가 어떤 식으로 사람의 눈을 속이는지를 예시와 함께 정리했습니다.

1. 주소를 세 부분으로 나눠 보기

주소는 크게 세 부분으로 나뉩니다. 맨 앞의 https:// 는 접속 방식이고, 그 뒤부터 첫 번째 빗금 앞까지가 도메인, 빗금 뒤는 사이트 안의 위치를 뜻하는 경로입니다. 우리가 확인해야 하는 것은 가운데의 도메인입니다. 경로 부분에는 아무 단어나 넣을 수 있어서, 경로에 은행 이름이 들어 있어도 그 사이트가 은행 사이트라는 뜻은 아닙니다.

도메인은 다시 점으로 나뉘는데, 오른쪽으로 갈수록 상위 단계입니다. 예를 들어 mail.example.com 에서 회사를 나타내는 핵심은 example.com 이고 앞의 mail 은 그 회사가 서비스별로 붙인 하위 이름입니다. 반대로 example.com.login-check.net 같은 주소의 핵심은 맨 끝의 login-check.net 입니다. 앞에 아무리 유명한 이름이 붙어 있어도 맨 끝이 다르면 다른 회사의 주소입니다.

2. 피싱 사이트가 자주 쓰는 수법

첫째는 철자 바꾸기입니다. 영어 소문자 l 을 숫자 1 로, 영문 o 를 숫자 0 으로 바꾸거나 글자 하나를 빼고 더하는 방식입니다. 둘째는 하이픈 붙이기입니다. 회사 이름 뒤에 -login, -event, -security 같은 말을 붙인 도메인을 새로 등록합니다. 셋째는 다른 국가 도메인을 쓰는 것입니다. 회사 이름은 같지만 끝이 낯선 국가 코드로 되어 있습니다. 넷째는 앞에서 말한 하위 이름 속이기로, 유명한 도메인 전체를 하위 이름처럼 앞에 붙입니다.

다섯째는 단축 주소입니다. 긴 주소를 짧게 줄인 링크는 실제 목적지를 숨기기 때문에 문자 사기에 자주 쓰입니다. 단축 주소는 누르기 전에는 어디로 가는지 알 수 없으니 출처가 확실하지 않으면 누르지 않는 것이 가장 좋습니다. 꼭 확인해야 한다면 링크를 누르지 말고 회사 이름으로 철구소 폴더에서 공식 주소를 찾아 직접 들어가세요.

3. 자물쇠 표시만 믿으면 안 되는 이유

주소창의 자물쇠 표시는 주고받는 내용이 암호화된다는 뜻일 뿐, 그 사이트가 믿을 만하다는 보증이 아닙니다. 요즘은 피싱 사이트도 무료 인증서로 자물쇠를 다는 경우가 대부분입니다. 자물쇠는 최소 조건이고, 진짜인지 판단하는 기준은 여전히 도메인입니다.

4. 휴대폰에서 주소를 확인하는 방법

휴대폰 브라우저는 화면이 좁아 주소의 일부만 보여 주는 경우가 많습니다. 주소창을 한 번 눌러 전체 주소를 펼친 뒤 맨 끝 도메인을 확인하세요. 메신저나 문자 앱 안에서 열린 화면은 주소창이 아예 보이지 않을 수 있는데, 이때는 메뉴에서 다른 브라우저로 열기를 눌러 주소를 확인하는 것이 좋습니다. 로그인이나 결제가 필요한 사이트라면 앱 안 브라우저 대신 즐겨찾기한 주소나 공식 앱을 쓰세요.

5. 확인 순서 정리

• 주소창을 눌러 전체 주소를 펼친다
• 첫 빗금 앞까지의 도메인만 떼어 본다
• 도메인 맨 끝 두세 부분이 회사 공식 도메인과 같은지 본다
• 철자와 하이픈, 국가 코드를 한 글자씩 비교한다
• 조금이라도 다르면 창을 닫고 공식 주소로 다시 들어간다

6. 이미 정보를 입력했다면

가짜 사이트에 아이디와 비밀번호를 넣었다면 바로 진짜 사이트에 들어가 비밀번호를 바꾸고, 같은 비밀번호를 쓰는 다른 서비스도 모두 바꾸세요. 로그인 기기 목록에서 모르는 기기를 로그아웃시키고 2단계 인증을 켭니다. 카드 번호나 계좌 정보를 넣었다면 카드사와 은행에 바로 연락해 사용을 막고, 금전 피해가 생겼다면 경찰에 신고하세요. 입력한 화면을 캡처해 두면 신고할 때 도움이 됩니다.

회사와 가게가 할 수 있는 일

고객에게 문자나 메일을 보내는 회사라면 링크를 넣을 때 반드시 회사 공식 도메인만 쓰고 단축 주소는 피하는 것이 좋습니다. 고객이 링크를 보고 진짜인지 고민하지 않게 하는 것이 사칭 피해를 줄이는 가장 쉬운 방법입니다. 공식 홈 공지사항에 회사가 쓰는 도메인 목록과 사칭 주의 안내를 올려 두면 고객 문의도 줄어듭니다.

직원들에게도 도메인 읽는 법을 알려 주세요. 업무 메일로 오는 협업 도구 초대나 결제 안내를 흉내 낸 피싱은 회사 계정을 노리는 경우가 많습니다.

연습 문제로 익히기

다음 주소들을 머릿속으로 읽어 보세요. 첫째, 은행 이름 뒤에 점과 낯선 단어가 이어지고 맨 끝이 다른 회사 도메인인 주소는 가짜입니다. 둘째, 은행 공식 도메인 앞에 login 같은 하위 이름이 붙은 주소는 맨 끝이 공식 도메인과 같으므로 진짜일 가능성이 큽니다. 셋째, 은행 이름에 하이픈과 event 같은 단어가 붙은 주소는 별도로 등록한 다른 도메인이므로 의심해야 합니다. 이렇게 맨 끝부터 거꾸로 읽는 연습을 몇 번 하면 낯선 주소를 봐도 금방 판단할 수 있습니다.

주소창 궁금증

회사가 도메인을 여러 개 쓰면 어떻게 구분하나요?

큰 회사는 서비스별로 도메인을 따로 쓰기도 합니다. 이럴 때는 회사 공식 홈의 하단이나 고객센터 안내에 적힌 도메인 목록을 확인하세요. 철구소 카드에는 이용자가 가장 먼저 만나는 대표 도메인을 적었습니다.

한글 도메인도 있나요?

있습니다. 다만 한글 도메인은 브라우저에 따라 영문과 숫자가 섞인 형태로 바뀌어 보이기도 합니다. 처음 보는 형태라고 무조건 가짜는 아니지만, 공식 안내에서 같은 주소를 확인한 뒤 쓰는 것이 안전합니다.

검색 결과 맨 위 링크는 믿어도 되나요?

대부분 정상이지만 광고 표시가 붙은 링크에 드물게 사칭 광고가 섞이는 사례가 보고됩니다. 검색 결과로 들어가더라도 도착한 주소창의 도메인을 한 번 확인하는 습관이 가장 확실합니다.

정리

도메인 맨 끝을 읽는 습관 하나로 대부분의 피싱을 피할 수 있습니다. 자주 쓰는 금융, 메일, 협업 도구의 공식 도메인은 철구소 폴더에서 확인하고 즐겨찾기에 저장해 두세요. 즐겨찾기로 들어가면 도메인을 매번 읽을 필요조차 없어집니다.

작성 철구소 · 마지막 업데이트 2026-11-06