밤 9시쯤, 거실에 앉아 있는데 휴대폰이 울립니다. “[CJ대한통운] 고객님의 상품이 배송 중 주소 불일치로 보류되었습니다. 아래 링크에서 주소를 확인해 주세요.” 며칠 전 주문한 물건이 있어서 별생각 없이 손이 먼저 갑니다. 그런데 잠깐, 이 며칠 사이 택배를 시킨 게 있었나 다시 떠올려보니 가물가물합니다. 이런 문자, 한 번쯤 받아보셨을 거예요.
문제는 이 링크가 진짜인지 가짜인지, 눈으로 봐서는 거의 구별이 안 된다는 점입니다. 그것도 단순히 헷갈리는 수준이 아니라, 최근에는 알파벳 한 글자를 비슷하게 생긴 다른 문자로 바꿔 넣는 ‘퓨니코드’ 방식까지 등장해서 전문가도 한 번에 알아채기 어려운 경우가 생기고 있습니다. 오늘은 택배 사칭 문자 속 링크를 직접 눈으로 확인하는 방법, 그리고 퓨니코드가 정확히 어떻게 사람을 속이는지 정리해 보겠습니다.
스미싱이 이렇게까지 늘어난 이유
스미싱이라는 말 자체는 이제 낯설지 않습니다. 그런데 체감하는 빈도가 부쩍 늘었다고 느끼신다면, 착각이 아닙니다. 경찰청과 한국인터넷진흥원(KISA) 자료를 보면 국내 스미싱 탐지 건수는 2022년 약 3만7천 건에서 2024년에는 219만 건 수준까지 치솟았습니다. 단순 비교로도 수십 배가 늘어난 셈입니다.
특히 눈에 띄는 건 공공기관을 사칭한 스미싱입니다. 2022년 1만7,726건이던 것이 2024년에는 125만 건을 넘기며 70배 이상 급증했고, 2025년 8월 기준으로도 이미 119만 건 이상이 탐지됐습니다. 택배사 사칭, 지원금 사칭, 정부 기관 사칭이 한 묶음으로 움직이고 있다고 보면 됩니다. 보안업계에서는 이런 공격이 더 이상 한 사람이 혼자 벌이는 일이 아니라고 말합니다. 공격 시나리오를 짜는 사람, 개인정보 DB를 파는 사람, 악성 앱을 만드는 사람, 피싱 사이트를 제작하는 사람, 대량으로 문자를 발송하는 사람까지 역할이 나뉜 일종의 산업 구조가 돼버린 겁니다. 그러니 한 번 막아도 다음 수법이 또 나오는 게 당연한 흐름인 셈이죠.
퓨니코드, 눈으로 봐도 구별 안 되는 가짜 URL의 비밀
여기서부터가 진짜 핵심입니다. 퓨니코드(Punycode)는 원래 한글, 한자 같은 비영어 문자를 인터넷 주소에 쓸 수 있게 변환해주는 기술입니다. ‘청와대.한국’ 같은 한글 도메인이 실제로는 ‘xn--vk1b187a8ue.xn--3e0b707e’ 형태로 바뀌어 처리되는 식이죠. 나쁜 의도로 쓰는 사람만 없었다면 그냥 편리한 기술이었을 텐데, 문제는 이 기술이 ‘눈으로는 똑같이 보이지만 실제로는 다른 문자’를 끼워 넣는 데 악용된다는 점입니다.
예를 들어 영어 알파벳 ‘a’와 비슷하게 생긴 키릴 문자나 그리스 문자를 도메인에 섞어 넣으면, 화면에 보이는 글자는 우리가 아는 그 사이트 주소와 사실상 똑같아 보입니다. 보안 전문가들은 이를 ‘호모그래프 공격’이라 부르는데, 모바일 화면에서는 글자가 작아서 더 알아채기 어렵습니다. 실제로 해외에서는 유명 항공사나 가상자산 거래소를 사칭한 퓨니코드 피싱 링크가 SNS와 메시지를 통해 퍼진 사례가 여러 차례 보고됐습니다. 국내에서도 보안 매체를 통해 퓨니코드를 접목한 스미싱 공격의 성공률이 높아지고 있다는 분석이 나온 바 있습니다. 결론적으로, 이제는 “이상한 글자가 없으니 안전하겠지”라는 판단 기준 자체가 흔들리고 있다는 뜻입니다.
직접 구별하는 법, 이 순서로 확인하세요
“우체국에서 주문했는데 CJ대한통운에서 문자가 와요”, “이게 스미싱인지 어떻게 알아요” 같은 질문이 실제로 많이 올라옵니다. 답은 의외로 단순한 원칙 몇 가지로 정리됩니다. 문자를 받았을 때 아래 순서대로만 확인해도 대부분 걸러낼 수 있어요.
- 주문한 적이 있는지부터 떠올리기 — 최근 주문 내역이 없는데 배송 문자가 왔다면 일단 의심부터 합니다.
- 택배사 표기와 실제 발송 업체가 일치하는지 확인 — 우체국으로 주문했는데 CJ대한통운, 롯데택배 등 다른 업체명으로 문자가 오면 거의 스미싱입니다. 정상적인 택배 문자는 보통 주문한 업체와 송장번호가 정확히 일치합니다.
- 링크 주소를 길게 눌러 전체 주소 미리보기 — 클릭하지 말고 길게 눌러서(또는 마우스를 올려서) 실제 연결되는 전체 URL을 확인합니다. 이때 “xn--“으로 시작하는 주소가 보이면 퓨니코드로 인코딩된 주소라는 뜻이니 더 주의해야 합니다.
- 도메인 끝부분(.com, .co.kr 등) 바로 앞 글자를 한 글자씩 또박또박 읽기 — 빠르게 훑어보면 놓치는 가짜 글자가, 한 글자씩 읽으면 보이는 경우가 많습니다. 특히 점(.) 바로 앞 부분을 천천히 봅니다.
- 단축 URL이나 비주류 도메인이면 일단 멈추기 — bit.ly 같은 단축 주소나 .xyz, .top처럼 평소 보기 드문 도메인이 붙어 있으면 클릭하지 않습니다.
- 문장 자체의 어색함 체크 — 띄어쓰기 오류, “마감 임박”, “1분 만에 신청 완료” 같은 조급함을 유도하는 표현이 섞여 있으면 그 자체가 신호입니다.
이 중에서 딱 하나만 기억하고 싶다면, ‘정상적인 택배 문자에는 보통 클릭형 링크가 없다’는 사실입니다. 대부분의 정식 택배사는 송장번호 조회를 앱이나 공식 홈페이지에서 직접 검색하도록 안내하지, 문자에 링크를 박아 보내는 경우가 흔치 않습니다. 링크가 떡하니 붙어 있는 순간부터 한 번 멈춰서 생각하는 습관, 그게 생각보다 큰 차이를 만듭니다.
정상 문자와 스미싱 문자, 한눈에 비교하기
글로만 보면 헷갈릴 수 있어서, 실제 차이를 표로 정리했습니다. 다음번에 의심스러운 문자를 받으면 이 표를 떠올려 보세요.
| 구분 | 정상 택배 문자 | 스미싱 의심 문자 |
|---|---|---|
| 발신 업체 | 실제 주문한 택배사와 일치 | 주문 안 한 택배사 이름으로 도착 |
| 링크 포함 여부 | 대부분 링크 없이 앱·홈페이지 조회 안내 | 클릭을 유도하는 링크가 본문에 포함 |
| URL 형태 | 공식 도메인(.co.kr, .com 등 익숙한 형태) | 단축 URL, xn--, .xyz·.top 등 낯선 도메인 |
| 문장 톤 | 단순 정보 전달, 송장번호 명시 | “즉시 확인”, “보류”, “마감” 등 조급함 유도 |
| 요구 사항 | 없음(조회만 가능) | 개인정보 입력, 앱 설치(APK) 유도 |
이미 눌렀거나 의심된다면 지금 해야 할 일
혹시 이미 링크를 눌렀다고 해도 너무 걱정하지 않으셔도 됩니다. 링크를 클릭한 것만으로 바로 피해가 발생하는 경우는 많지 않습니다. 다만 그 안에서 앱 설치(APK 파일)를 진행했거나 개인정보, 계좌 정보를 입력했다면 바로 다음 조치를 해야 합니다.
- 설치된 의심 앱이 있다면 즉시 삭제하고, 휴대폰을 비행기 모드로 전환한 뒤 백신 앱으로 검사합니다.
- 개인정보나 계좌·카드 정보를 입력했다면 해당 은행·카드사에 바로 연락해 거래 정지를 요청합니다.
- 의심스러운 문자나 사이트는 국번 없이 118(한국인터넷진흥원 KISA)로 신고하거나, 카카오톡에서 ‘보호나라’ 채널을 추가해 챗봇으로 빠르게 확인할 수 있습니다.
- 금전 피해가 발생했다면 경찰청 사이버안전국(112) 또는 가까운 경찰서에 즉시 신고합니다.
참고로 KISA 보호나라는 스미싱·피싱 신고와 보안 상담을 함께 다루는 공식 기관 사이트입니다. 의심스러운 URL을 직접 입력해서 검사할 수 있는 서비스도 안내하고 있으니, 헷갈릴 때 한 번 들러보는 것도 방법입니다. 보이스피싱까지 함께 의심된다면 법원등기 보이스피싱 진짜와 가짜 구별법도 같이 확인해보시면 도움이 됩니다. 이미 자신의 이름과 개인정보가 도용된 흔적이 있다면 개인통관번호 도용 확인·차단 방법도 함께 점검해보세요.
한 가지만 기억하면 됩니다. 모르는 택배 문자에 링크가 붙어 있다면, 누르기 전에 딱 3초만 멈춰서 발신 업체와 주소를 눈으로 한 번 더 읽어보는 것. 그 3초가 통장과 개인정보를 지키는 가장 확실한 방법입니다. 오늘부터 가족들 휴대폰에도 이 체크리스트를 한 번 공유해보세요.
