신종 스미싱 수법 종류와 피해 예방을 위한 행동 수칙 완벽 정리

택배 배송 오류, 모바일 청첩장, 교통범칙금, 정부기관 안내처럼 평소 받을 법한 내용의 문자에 인터넷주소가 포함되어 있다면 순간적으로 진짜인지 가짜인지 판단하기 어려울 수 있습니다.

특히 최근의 스미싱은 단순히 수상한 문구를 보내는 수준을 넘어 실제 기관이나 서비스를 사칭해 가짜 사이트 접속, 개인정보 입력 또는 악성앱 설치를 유도하는 방식으로 이어질 수 있습니다.

하지만 여기서부터 정확하게 구분할 필요가 있습니다.

문자 속 링크를 한 번 눌렀다고 해서 곧바로 스마트폰의 모든 정보가 탈취됐다고 단정할 수는 없습니다. 어떤 정보를 입력했는지, 앱이나 APK 파일을 설치했는지, 어떤 권한을 허용했는지를 확인하는 것이 중요합니다.

1. KISA가 설명하는 스미싱·큐싱이란?

한국인터넷진흥원(KISA)은 스미싱·큐싱 공격에 대응하기 위해 이동통신사와 스팸솔루션사 등과 협력해 의심 문자와 QR코드를 탐지하고 관련 정보를 공유하고 있습니다.

KISA가 공식적으로 예시로 드는 대표적인 스미싱 문구에는 택배와 청첩장 등 일상생활에서 흔히 접하는 내용이 포함됩니다.

이런 메시지에 포함된 인터넷주소나 QR코드를 통해 가짜 사이트에 접속하게 만들거나 악성앱 설치를 유도하고, 이후 전화번호·문자정보 등 개인정보를 유출해 추가 피해로 이어지게 하는 방식입니다.

2. 실제로 많이 악용되는 사칭 유형

스미싱은 사람에게 ‘지금 바로 확인해야 한다’는 심리를 유발하기 위해 일상적인 소재를 이용하는 경우가 많습니다.

교통범칙금·과태료 사칭

경찰청은 실제로 ‘경찰청 교통’, ‘교통경찰24’, ‘교통민원’, ‘교통24(이파인)’ 등을 사칭한 스미싱이 대량 유포됐다며 공식적으로 주의를 당부한 바 있습니다.

택배·배송 사칭

‘배송지 오류’, ‘주소 불일치’, ‘배송 보류’처럼 실제 택배 이용자가 당황하기 쉬운 문구를 사용해 외부 사이트 접속을 유도할 수 있습니다.

청첩장·부고장 사칭

KISA가 공식적으로 언급하는 대표적인 생활형 스미싱 사례입니다.

아는 사람에게서 온 것처럼 보이더라도 메시지에 포함된 링크를 바로 누르기보다 실제 지인에게 별도의 전화나 기존 연락처를 통해 사실 여부를 확인하는 편이 안전합니다.

사회적 이슈 악용

KISA는 2025년에도 유심 무료교환·유심보호서비스 같은 사회적 관심사를 악용한 피싱·스미싱 사례를 별도로 경고했습니다.

따라서 ‘지금 사람들이 많이 검색하는 이슈니까 공식 사이트겠지’라고 판단해서는 안 됩니다.

3. 문자 링크만 눌러도 바로 해킹될까?

이 부분은 온라인에서 가장 과장되기 쉬운 내용입니다.

KISA 공식 대응 안내에서는 문자에 포함된 인터넷주소를 클릭한 것만으로 악성앱에 감염되는 것은 아니라고 설명합니다.

대신 인터넷주소를 통해 앱이나 APK 파일을 내려받고 실제 설치했다면 악성앱 감염 가능성을 확인해야 합니다.

따라서 단순히 ‘링크 한 번 눌렀으니 휴대전화를 당장 버려야 한다’는 식으로 불안해할 필요는 없지만, 이후 어떤 행동까지 했는지는 반드시 확인해야 합니다.

4. 경찰청 교통민원24 사칭 문자, 이렇게 구별하세요

교통법규 위반 통지 문자는 스미싱에 자주 악용되는 소재입니다.

경찰청은 2025년 4월 교통민원24를 사칭하는 문자사기와 해킹메일이 전국적으로 대량 유포됐다며 별도의 공식 주의 공지를 냈습니다.

경찰청 안내에 따르면 경찰서가 부과하는 교통법규 위반 고지서는 기본적으로 종이 우편으로 발송하거나, 수신에 동의한 경우 국민비서 모바일 고지서 또는 공인전자주소 샵메일을 이용합니다.

경찰청은 교통민원24 관련 문자에서 혼동을 막기 위해 범칙금 납부 등을 유도하는 웹사이트 링크를 넣지 않는다고도 안내하고 있습니다.

앱을 새로 설치해야 한다면 문자에서 내려받으라는 파일을 설치하지 말고 Google Play나 Apple App Store 같은 공식 앱스토어를 이용해야 합니다.

5. QR코드도 안심할 수 없습니다｜큐싱(Qshing)

KISA는 스미싱과 함께 큐싱 공격도 별도로 탐지하고 대응하고 있습니다.

큐싱은 QR코드를 이용해 사용자를 피싱사이트나 악성앱 설치 경로 등으로 유도하는 공격을 말합니다.

QR코드는 문자열 형태의 주소를 직접 읽지 않고 스마트폰 카메라로 바로 실행하는 경우가 많기 때문에 연결될 주소를 미리 확인하기 어렵다는 특징이 있습니다.

따라서 다음 상황에서는 특히 주의하는 편이 좋습니다.

• 기존 안내판 위에 다른 QR 스티커가 덧붙여져 있는 경우
• QR 스캔 뒤 앱이나 APK 설치를 요구하는 경우
• 주민등록번호·카드정보·인증번호 등을 갑자기 요구하는 경우
• 원래 이용하려던 업체와 전혀 다른 인터넷주소가 표시되는 경우

KISA는 의심스러운 APK나 앱 다운로드가 유도되는 경우 보호나라 카카오톡 채널의 스미싱 확인 서비스를 활용해 악성 여부를 확인하도록 안내하고 있습니다.

6. 링크를 눌렀거나 앱을 설치했다면 어떻게 해야 할까?

① 링크만 눌렀고 아무 정보도 입력하지 않았다면

먼저 다운로드된 파일이나 새로 설치된 앱이 없는지 확인합니다.

이상한 앱이 없다면 문자 자체를 삭제하고 필요하면 KISA 118 또는 보호나라 스미싱 확인서비스에서 상담할 수 있습니다.

② 개인정보를 입력했다면

어떤 정보를 입력했는지 확인해야 합니다.

계정 비밀번호를 입력했다면 해당 서비스의 공식 사이트나 앱에 직접 접속해 비밀번호를 변경하고, 다른 사이트에서도 같은 비밀번호를 사용했다면 함께 변경하는 것이 좋습니다.

③ APK나 앱까지 설치했다면

KISA와 경찰청의 공식 대응안내에서는 다음 조치를 권고합니다.

1. 모바일 백신으로 악성앱 검사 및 삭제
2. 의심되는 앱 직접 삭제
3. 삭제가 어렵다면 휴대전화 서비스센터 방문
4. 금융서비스를 사용했다면 금융 인증수단 등의 노출 가능성 점검

악성앱이 설치됐던 스마트폰으로 금융서비스까지 이용했다면 금융회사에도 상황을 설명하고 필요한 인증수단 폐기·재발급 여부를 확인하는 것이 좋습니다.

7. 스미싱으로 휴대전화 소액결제 피해가 발생했다면?

KISA가 안내하는 스미싱 소액결제 피해 대응 절차는 비교적 구체적입니다.

모든 사건에서 자동으로 환불이 보장되는 것은 아니므로 실제 사건의 결제경위와 통신사·결제대행사의 확인절차에 따라 처리결과는 달라질 수 있습니다.

8. 118과 1394는 언제 이용할까?

2026년에는 신고번호를 구분해서 알아두는 것이 좋습니다.

번호	기관·용도
118	KISA 인터넷침해대응센터. 스미싱·큐싱, 악성앱·해킹·바이러스 등 기술상담 및 신고
1394	전기통신금융사기 통합신고 대표번호. 보이스피싱 의심·피해상담 및 관계기관 연계

1394는 2026년부터 새롭게 사용되는 번호입니다.

경찰청은 기존 전기통신금융사기 통합 신고번호였던 1566-1188을 기억하기 쉬운 특수번호 1394로 변경했다고 안내했습니다.

경찰청 안내에 따르면 다음과 같은 상황에서 1394를 이용할 수 있습니다.

• 금융기관·수사기관을 사칭하며 돈을 요구할 때
• 앱 설치나 원격제어를 요구할 때
• 신분증 사진이나 개인정보를 보낸 경우
• 의심스러운 링크를 클릭한 경우
• 보이스피싱임을 모르고 방금 돈을 송금한 경우
• 추가 출금이나 다른 계좌 피해가 우려되는 경우

1394는 경찰청 안내 기준 365일 24시간 피해상담과 관계기관 연계 등을 지원합니다.

9. 평소 해두면 좋은 스미싱 예방 습관

KISA와 경찰청의 공식 안내를 기준으로 정리하면 거창한 보안기술을 알아야 하는 것은 아닙니다.

• 출처가 분명하지 않은 메시지의 인터넷주소를 바로 누르지 않습니다.
• 앱은 Google Play·Apple App Store 등 공식 앱스토어를 이용합니다.
• 문자에서 APK 설치를 요구하면 설치하지 않습니다.
• 의심스러운 사이트에 휴대전화번호·계정정보·인증번호를 입력하지 않습니다.
• 인증번호가 모바일 결제 등 다른 거래와 연결되는 것은 아닌지 확인합니다.
• 중요한 서비스는 가능하면 2단계 인증을 설정합니다.
• 스마트폰과 앱을 최신 버전으로 유지합니다.
• 모바일 백신을 최신 상태로 유지하고 필요할 때 검사합니다.

가족이나 지인을 사칭하며 돈을 요구하는 메시지가 왔다면 해당 대화방에서 계속 확인하기보다 기존에 알고 있던 전화번호로 직접 전화해서 확인하는 편이 안전합니다.

공공기관 문자 역시 메시지 안의 링크를 기준으로 판단하기보다 기관 공식 사이트나 공식 앱을 직접 실행해 동일한 내용이 실제로 존재하는지 확인하는 습관이 좋습니다.

10. 자주 묻는 질문

Q1. 스미싱 링크를 실수로 한 번 눌렀습니다. 휴대전화를 초기화해야 하나요?

링크 클릭만으로 악성앱 감염을 단정할 수는 없습니다. KISA 역시 인터넷주소 클릭 자체와 앱 설치를 구분합니다. 앱을 설치했는지, 개인정보를 입력했는지부터 확인하는 것이 좋습니다.

Q2. APK 파일을 다운로드했지만 설치하지 않았습니다.

해당 파일을 삭제하고 스마트폰 보안검사를 진행하는 것이 좋습니다. 의심이 남는다면 KISA 118에 상담할 수 있습니다.

Q3. 교통민원24 문자에 주소가 들어있는데 진짜일까요?

경찰청은 교통민원24 사칭 스미싱에 대해 공식적으로 주의를 당부하고 있습니다. 메시지의 링크를 누르지 말고 교통민원24 공식 사이트나 공식 앱을 직접 실행해 위반내역을 확인하는 편이 안전합니다.

Q4. 청첩장이나 부고장은 지인이 보냈으니 괜찮지 않나요?

그렇게 단정하기 어렵습니다. KISA도 청첩장 등을 사칭한 스미싱을 대표적인 공격 유형으로 안내합니다. 평소와 다른 번호에서 링크가 왔거나 내용이 이상하다면 실제 지인에게 별도로 확인하세요.

Q5. QR코드는 문자 링크보다 안전한가요?

항상 그렇지는 않습니다. KISA는 악성 QR코드를 이용하는 ‘큐싱’ 공격도 별도로 탐지·대응하고 있습니다. QR을 스캔한 뒤 앱 설치나 민감정보 입력을 요구한다면 중단하는 것이 좋습니다.

Q6. 스미싱이 의심되면 어디에 전화해야 하나요?

스미싱·악성앱 등 기술상담은 KISA 118을 이용할 수 있습니다. 보이스피싱이나 전기통신금융사기 피해가 우려되는 경우에는 2026년 현재 통합신고번호 1394를 이용할 수 있습니다.

Q7. 휴대전화 소액결제가 이미 발생했습니다.

통신사에서 결제내역을 확인하고 스미싱 문자 등 증거를 보관하세요. 통신사에서 소액결제확인서를 발급받아 경찰 신고와 통신사·결제대행사 피해처리 절차를 진행할 수 있습니다.

마무리｜’링크를 눌렀다’보다 그다음 행동을 확인하세요

스미싱 피해가 의심될 때 가장 먼저 할 일은 인터넷에서 과장된 피해사례를 찾아 불안해하는 것이 아닙니다.

내가 링크만 눌렀는지, 개인정보를 입력했는지, 앱을 다운로드했는지, 실제 설치하고 권한까지 허용했는지를 차례대로 확인하는 것이 중요합니다.

공식 확인 자료

• 한국인터넷진흥원(KISA), 스미싱·큐싱 공격 대응
• 한국인터넷진흥원 보호나라, 스미싱 피해 대응 안내
• KISA 불법스팸대응센터, 피싱·스미싱 공격 주의 공지
• 경찰청, 교통민원24 사칭 문자사기(스미싱) 주의 공지
• 경찰청, 교통민원24 사칭 문자 주의 카드뉴스
• 경찰청, 전기통신금융사기 통합신고 대표번호 1394 안내

※ 최종 확인일: 2026년 8월 22일. 스미싱·큐싱 수법과 신고체계는 변경될 수 있습니다. 실제 피해가 의심되면 KISA·경찰청·이용 중인 이동통신사 및 금융회사의 최신 안내를 우선 확인하시기 바랍니다.