보안 업데이트 사칭 메일, 가짜 보안 경고 구별하는 법

MacWindowsiPhoneAndroid업데이트 2026-10-24

영국 국가사이버보안센터(NCSC)는 사기 메시지의 신호로 시사 이슈를 꼽습니다. 범죄자들은 뉴스나 큰 행사를 이용해 메시지가 그럴듯해 보이게 만든다는 것입니다. 급히 보안 업데이트를 설치하라거나 보안 문제를 해결하려면 로그인하라는 메일은 한 번 더 살펴볼 필요가 있고, 안전하게 확인하는 방법은 언제나 같습니다. 메일 속 링크를 쓰지 말고, 회사에 직접 찾아가세요.

간단한 답변

예상하지 못한 긴급 보안 업데이트, 보안 경고, 계정 문제 메일은 일단 의심하세요. 서두르라는 압박, 회사와 맞지 않는 보낸 사람이나 링크, 비밀번호나 인증 코드 요구가 신호입니다. 클릭하지 말고 회사의 웹사이트나 앱에 직접 들어가 확인하세요. 문자나 카카오톡 메시지는 KISA 스미싱 확인서비스에 물어볼 수 있고, 상담은 국번 없이 118입니다.

가짜 보안 업데이트 메일은 어떻게 알아보나요?

메시지가 무엇을 원하는지, 얼마나 재촉하는지 보세요. NCSC는 사기꾼이 빨리 신뢰를 얻은 뒤 생각할 틈 없이 행동하도록 압박한다고 설명합니다. NCSC가 꼽는 신호는 이렇습니다.

권위: 은행이나 정부 기관처럼 공식 기관에서 보낸 것처럼 꾸밉니다.
긴급함: "24시간 이내"처럼 답할 시간을 제한하고, 때로는 위협을 덧붙입니다.
감정: 겁을 먹거나 궁금해서 누르게 만들도록 씁니다.
시사 이슈: 뉴스에 나온 일과 엮습니다.

Apple의 한국어 지원 문서는 피싱 이메일의 특징을 더 구체적으로 꼽습니다.

보낸 사람의 이메일이나 전화번호가 그 회사 이름과 맞지 않습니다.
나에게 연락한 이메일이나 전화번호가 내가 그 회사에 알려 준 것과 다릅니다.
링크는 문제없어 보이지만 URL이 그 회사의 웹사이트와 일치하지 않습니다.
그 회사에서 전에 받은 메시지와 크게 다릅니다.
신용 카드 번호나 계정 암호 같은 개인 정보를 요청합니다.
요청하지 않은 메시지인데 첨부 파일이 있습니다.

Apple은 Mac에서는 링크에 포인터를 올리면 실제 URL이 보이고, iPhone이나 iPad에서는 링크를 길게 터치하면 된다고 안내합니다. 미국 연방거래위원회(FTC)는 이런 메일이 흔히 쓰는 이야기로 의심스러운 활동이나 로그인 시도, 계정 문제, 개인 정보 확인 요청을 꼽습니다.

NCSC는 사기를 알아보기가 예전보다 어려워졌다고도 경고합니다. 예전에는 맞춤법이나 어색한 디자인으로 티가 났지만, 이제는 전문가도 속을 만큼 정교해졌다고 합니다. 깔끔한 메일이라고 믿을 수 있는 것은 아닙니다.

Apple이나 Microsoft도 이런 보안 경고를 보내나요?

비밀번호를 요구하는 경고는 아닙니다. Apple은 어떤 웹사이트에 로그인하라거나, 이중 인증 대화상자에서 '수락'을 탭하라거나, 암호, 기기 암호, 이중 인증 코드를 알려 달라고 요청하지 않는다고 설명합니다. 또 사기꾼이 이중 인증이나 도난당한 기기 보호 같은 보안 기능을 꺼 달라고 요청하기도 한다며, Apple은 "보안 기능을 비활성화하도록 절대 요청하지 않습니다"라고 밝힙니다. 예상하지 못한 개인 정보 요청이 의심스러우면 일단 사기로 보고 그 회사에 직접 문의하는 것이 안전하다고 합니다.

Microsoft는 원치 않는 PC 지원이나 기술 지원을 하려고 먼저 연락하지 않으며, 진짜 Microsoft 오류 메시지에는 전화번호가 들어 있지 않다고 설명합니다. 업데이트 알림에 대해서는, 브라우저를 업데이트해야 한다는 낯선 알림이 뜨면 그 메시지를 닫고 브라우저의 설정 메뉴에서 도움말이나 정보 페이지를 열어 진짜 업데이트를 확인하라고 권합니다. 공격자가 악성 프로그램을 브라우저 업데이트로 위장한다는 것입니다.

기기에 바이러스가 있다는 팝업이 뜨면요?

닫으세요. Apple은 웹을 보다가 기기에 보안 문제나 바이러스가 있다고 경고하는 팝업이 나오면 믿지 말라고 합니다. 이런 팝업은 대개 사기성 광고로, 유해한 소프트웨어를 내려받게 하거나 개인 정보나 돈을 빼내려고 만든 것이라고 설명합니다. 팝업 속 번호로 전화하거나 링크를 따라가지 말고, 페이지를 벗어나거나 창이나 탭을 닫으세요. 브라우저 경고는 해킹된 사이트에 접속만 해도 감염될까에서 더 자세히 다룹니다.

PHP 취약점을 사칭한 메일도 있나요?

2026년 10월 23일 기준으로, PHP 개발팀의 권고문, 영국 NCSC의 경보, KISA(한국인터넷진흥원)의 PHP2Shell 대응 수칙 어디에도 이 취약점을 소재로 한 사기 메일에 대한 언급은 없습니다. PHP2Shell은 10월 21일 수정된 PHP의 심각한 취약점 두 가지입니다. 상황은 바뀔 수 있고, 범죄자들이 시사 이슈를 이용한다는 NCSC의 일반적인 경고는 그대로 적용됩니다.

이 업데이트가 누구를 위한 것인지 알면 판단이 쉬워집니다. PHP 권고문은 웹 요청을 처리하는 PHP 설치에 관한 것이고, KISA 대응 수칙은 PHP를 사용하는 기업에 업데이트를 권고합니다. 어느 쪽도 일반 이용자에게 무언가를 내려받거나 어딘가에 로그인하라고 하지 않습니다. 이용자에게 무엇을 뜻하는지는 PHP 취약점과 내 개인정보에서 설명합니다.

보안 메일이 진짜인지 확인하려면?

메일에 있는 것은 아무것도 쓰지 않고 회사에 연락합니다. NCSC는 메시지에 적힌 번호나 주소가 아니라 그 조직의 공식 웹사이트에 있는 연락처를 쓰라고 합니다. Microsoft는 브라우저에서 새 탭을 열고, 직접 저장해 둔 즐겨찾기나 검색, 또는 주소를 직접 입력해 그 회사 사이트로 가라고 권합니다.

메일 속 링크를 누르거나, 첨부 파일을 열거나, 적힌 번호로 전화하지 않습니다.
회사의 앱을 열거나 웹 주소를 직접 입력합니다.
그래도 확실하지 않으면 공식 웹사이트의 연락처로 회사에 문의합니다.

문자나 카카오톡으로 받은 메시지라면 KISA 보호나라의 스미싱 확인서비스를 쓸 수 있습니다. 의심 메시지를 직접 물어보면 정상, 주의, 악성 가운데 하나로 답해 주며, KISA는 처음 신고된 메시지는 주의로 표시하고 10분 뒤 다시 검사해 정상이나 악성으로 판정한다고 설명합니다.

사칭 메일은 어디에 신고하나요?

내용에 따라 창구가 다릅니다.

상담: 해킹, 스팸, 개인정보 침해 상담은 KISA의 국번 없이 118입니다.
피해를 입어 수사를 원할 때: 경찰청 사이버범죄 신고시스템(ECRM)에서 온라인으로 임시접수한 뒤, 평일 오전 9시부터 오후 6시 사이에 관할 경찰서를 방문해 정식접수합니다. 신고는 피해자 본인만 할 수 있고, 긴급한 경우는 112, 민원 상담은 182입니다.
Apple을 사칭한 메일: Apple은 reportphishing@apple.com으로 전달해 달라고 안내합니다.
기술 지원 사기: Microsoft는 microsoft.com/reportascam에서 신고를 받습니다.

돈을 잃었다면 NCSC는 먼저 은행에 알리라고 합니다.

자주 묻는 질문

사칭 메일의 링크에 비밀번호를 입력했다면요?

진짜 사이트나 앱에서 그 비밀번호를 바로 바꾸고, 같은 비밀번호를 쓴 곳도 바꾸세요. Apple 계정이라면 Apple은 즉시 암호를 변경하고 이중 인증이 활성화되어 있는지 확인하라고 합니다. 유출된 비밀번호를 확인하는 방법은 비밀번호 유출 확인 방법에 있습니다.

링크를 눌렀거나 첨부 파일을 열었다면요?

FTC는 컴퓨터의 보안 소프트웨어를 최신으로 업데이트하고, 검사를 실행해 발견된 것을 제거하라고 합니다. 돈이나 금융 정보를 노린 피해가 걱정되면 거래하는 은행에 문의하고, 피해가 생겼다면 위의 ECRM 절차로 신고하세요.

문자로 온 보안 경고는 어떻게 확인하나요?

KISA 스미싱 확인서비스에 메시지를 붙여 넣어 물어볼 수 있습니다. KISA는 정상, 주의, 악성 세 가지로 답하며, 처음 신고된 메시지는 주의로 표시되고 10분 뒤 재검사에서 정상이나 악성으로 판정된다고 설명합니다. 결과를 기다리는 동안 링크는 누르지 마세요.

은행이 메일로 내 정보를 확인해 달라고 하나요?

NCSC는 은행이나 다른 공식 기관이 이메일로 개인 정보를 보내 달라고 요청하지 않는다고 말합니다. 그런 메시지를 받았다면 카드에 적힌 번호나 은행의 공식 웹사이트로 직접 문의하세요.

Apple을 사칭한 문자도 신고할 수 있나요?

Apple은 Apple을 사칭한 것으로 보이는 SMS 문자 메시지는 스크린샷을 찍어 이메일에 첨부한 뒤 reportphishing@apple.com으로 보내라고 안내합니다.