문자 링크를 눌렀다는 사실만으로 바로 금전 피해나 휴대폰 감염이 발생했다고 단정할 수는 없습니다. 사이트만 열었는지, 정보를 입력했는지, 파일을 받거나 앱을 설치했는지, PC에서 명령어까지 실행했는지를 먼저 구분해야 합니다. 추가 입력·설치·명령 실행을 멈춘 뒤, 행동별로 필요한 대응을 설명해 드리겠습니다.

계정을 보호하거나 복구할 때는 등록된 휴대전화로 받는 인증번호 등 본인확인이 필요할 수 있습니다. 서비스의 공식 앱이나 계정 화면을 직접 열고 안내받아야 합니다. 앱 설치나 명령 실행이 의심된다면 계정 보호는 안전한 다른 기기에서 진행해야 합니다.

링크를 누른 뒤 어디까지 진행했는지 확인해야 합니다

위험 가능성을 판단할 때는 문자 내용뿐 아니라 링크를 연 뒤 한 행동이 중요합니다. 다음 중 자신에게 해당하는 항목을 확인해야 합니다.

  • 웹페이지가 열렸지만 아무것도 입력하지 않고 닫았다.
  • 이름, 전화번호, 생년월일 같은 개인정보를 입력했다.
  • 아이디와 비밀번호로 로그인했다.
  • 카드번호, 계좌정보 또는 인증번호를 입력했다.
  • APK 같은 파일을 내려받았다.
  • 앱을 설치하고 접근성, 문자, 연락처 같은 권한을 허용했다.
  • PC 실행 창이나 터미널에 지시받은 내용을 붙여넣거나 실행했다.
  • 상대방의 안내를 받아 송금하거나 소액결제를 승인했다.

페이지 열기, 파일 다운로드, 실제 실행은 다른 행동입니다. 정보 입력과 파일 실행, 권한 승인도 없었는지 확인해야 합니다. ‘설치 버튼을 누르지 않았다’는 기억만으로 PC 명령 실행까지 없었다고 판단하면 안 됩니다. 브라우저나 운영체제가 오래됐거나 다른 행동을 함께 했다면 추가 점검이 필요합니다.

사이트만 열고 아무 정보도 입력하지 않았다면

페이지를 닫고 같은 링크를 다시 열면 안 됩니다. 브라우저의 다운로드 목록에서 자신이 요청하지 않은 파일이 생겼는지 확인해야 합니다. 파일이 내려받아졌더라도 직접 열거나 설치하지 않았다면 실행하지 말고 삭제해야 합니다.

휴대폰의 최근 설치 앱 목록도 확인해야 합니다. 낯선 앱이 없다는 사실과 아무 명령도 실행하지 않았다는 사실은 별개입니다. PC에서 링크를 열었다면 실행 창·터미널을 사용했는지도 따로 확인해야 합니다. 모르는 로그인, 카드 승인, 소액결제 알림을 발견하면 며칠 더 지켜보며 기다리기보다 해당 서비스의 공식 화면과 고객센터에서 확인해야 합니다.

운영체제와 브라우저가 오래됐다면 공식 업데이트를 적용하는 것이 좋습니다. 문자에 적힌 앱이나 보안 프로그램을 설치하면 안 됩니다. 기기의 설정, 공식 앱 마켓과 제조사에서 제공하는 업데이트를 이용해야 합니다.

링크를 연 뒤 브라우저에서 바이러스 경고가 반복된다면 크롬의 사이트 알림 차단과 보안 경고 확인 방법을 확인해야 합니다. 사이트 알림을 허용한 상태와 앱을 설치하거나 특별 권한을 준 상태는 구별해야 합니다. 알림을 닫는 것만으로 발신 권한이 차단된 것은 아니며, 경고에 표시된 전화번호로 연락하거나 치료 비용을 결제하면 안 됩니다.

이름이나 비밀번호를 입력했다면 대응이 달라집니다

이름과 전화번호만 입력한 경우라도 이후 본인을 정확히 아는 것처럼 접근하는 전화와 문자가 올 수 있습니다. 상대방이 앞서 입력한 정보를 말하더라도 정상 기관이라는 증거는 아닙니다. 링크가 아닌 공식 앱이나 대표번호를 이용해 사실을 확인해야 합니다.

아이디와 비밀번호를 입력했다면 해당 서비스의 공식 앱이나 주소를 직접 열어 비밀번호를 바꿔야 합니다. 같은 비밀번호를 다른 서비스에서도 사용했다면 그 계정들도 각각 다르게 변경해야 합니다. 이용 가능한 2단계 인증을 설정하는 것이 좋습니다. 로그인된 기기 목록과 최근 접속 기록을 확인하고 모르는 기기는 로그아웃해야 합니다.

카드정보, 계좌정보, 주민등록번호, 신분증 사진 또는 인증번호까지 입력했다면 지켜보기만 해서는 안 됩니다. 스미싱 링크에서 개인정보를 입력했을 때 해야 할 일을 확인하고 해당 금융회사나 서비스의 공식 고객센터에 즉시 알려야 합니다.

파일을 받았지만 설치하지 않았다면

안드로이드에서 APK 파일이 다운로드 폴더에 있어도 설치 확인을 거쳐 실제 설치하지 않았다면 앱이 실행 중인 상태와는 다릅니다. 파일을 열지 말고 삭제한 뒤 다운로드 목록을 확인해야 합니다. 설정의 앱 목록에서 같은 시각에 추가된 낯선 앱이 없는지도 살펴야 합니다.

아이폰도 웹사이트에서 구성 프로필을 내려받는 것과 실제 설치는 별개입니다. 설정 화면에서 설치를 승인하지 않았다면 바로 설치된 것으로 보기는 어렵습니다. 설정에 ‘프로필이 다운로드됨’이 보이거나 ‘VPN 및 기기 관리’에 모르는 항목이 있다면 설치 여부를 확인해야 합니다.

설치하지 않았어도 PC 명령어를 실행했다면

문자 링크를 PC에서 열었는데 ‘로봇 인증’이나 ‘오류 해결’을 이유로 실행 창·PowerShell·Windows Terminal에 내용을 붙여넣으라고 했다면 별도로 확인해야 합니다. Microsoft의 ClickFix·TerminalFix 분석에는 이런 지시로 악성 프로그램이 실행되는 사례가 나옵니다. 눈에 띄는 앱 설치 창이 없었다고 아무 일도 없었다고 단정하면 안 됩니다.

복사만 한 경우와 실행한 경우를 나눠야 합니다. 다만 터미널에 내용을 붙여넣었다면 Enter를 누른 기억이 없다는 이유만으로 실행되지 않았다고 확신하면 안 됩니다. 불확실한 경우에도 어떤 창을 열고 무엇을 붙였는지 상담 담당자에게 알려야 합니다.

개인 PC에서 실행이 의심되면 인터넷 연결과 중요한 로그인을 멈추고 가짜 로봇 인증을 따라 명령어를 실행했을 때 대응 방법을 확인해야 합니다. 회사·학교 PC라면 다른 안전한 전화로 보안 담당자에게 먼저 알리고 격리·조사 지시를 따라야 합니다. 창이 사라졌거나 오류가 보였다고 대응을 끝내거나, 확인하려고 같은 명령어를 다시 실행하면 안 됩니다.

앱을 설치하거나 권한을 허용했다면 바로 조치해야 합니다

앱 설치까지 했다면 링크만 연 경우보다 우선도가 높습니다. 특히 문자, 연락처, 전화, 접근성, 알림 읽기, 기기 관리자 권한을 허용했다면 금융 앱 사용과 인증번호 확인을 잠시 멈추고 점검해야 합니다.

스미싱 링크를 눌러 앱을 설치했을 때 대응 방법에서 앱 확인, 권한 해제, 검사, 계정 보호 순서를 확인해야 합니다. 삭제가 되지 않거나 화면이 임의로 움직이고 전화가 가로채지는 것 같다면 다른 안전한 전화로 통신사와 금융회사에 연락하고 제조사 서비스센터의 도움을 받는 편이 안전합니다.

앱 설치 후 본인이 보내지 않은 문자를 받았다는 연락까지 왔다면 내 번호로 스미싱 문자가 발송됐을 때 수신 자료와 차단 적용을 확인하는 방법도 확인해야 합니다. 번호 사칭 차단 신청과 휴대폰의 악성 앱 점검은 서로 대신할 수 없는 조치입니다.

돈을 보냈거나 결제가 발생했다면 검색보다 신고가 먼저입니다

이미 송금했거나 본인이 승인하지 않은 결제를 발견했다면 해당 금융회사나 이동통신사에 즉시 피해 사실을 알려야 합니다. 송금 피해는 금융회사에 지급정지를 요청하고, 결제 피해는 해당 금융회사나 이동통신사에 내역 확인과 피해 처리를 요청해야 합니다. 전기통신금융사기 피해는 112에 신고해 도움을 받을 수 있습니다. 스미싱 문자와 악성 여부 상담은 한국인터넷진흥원 118을 이용할 수 있습니다.

문자 화면, 발신번호, 수신 시각, 링크 주소, 결제 알림은 삭제하기 전에 캡처해 두는 것이 좋습니다. 신고와 사실 확인에 도움이 됩니다. 다만 증거를 남기려고 링크를 다시 누르거나 앱을 다시 실행하면 안 됩니다.

지금 확인할 항목

  • 링크 뒤에 개인정보나 로그인 정보를 입력했는가
  • 인증번호, 카드번호 또는 계좌정보를 전달했는가
  • 다운로드한 파일을 열거나 앱을 설치했는가
  • PC 실행 창·터미널에 내용을 붙여넣거나 실행했는가
  • 낯선 앱에 문자, 연락처, 접근성 권한을 허용했는가
  • 모르는 로그인, 결제, 소액결제 알림이 있는가
  • 송금이나 현금 전달이 이미 이뤄졌는가

아무 입력·설치·명령 실행 없이 페이지를 닫았다면 지나친 공포를 가질 필요는 없습니다. 반대로 개인정보 입력, 앱 설치, 명령 실행, 인증번호 전달, 송금 중 하나라도 있었다면 해당 단계에 맞는 조치를 시작해야 합니다.

문자 자체는 카카오톡에서 KISA 보호나라 채널의 스미싱 확인서비스로 확인할 수 있습니다. 답변은 ‘정상·주의·악성’이며, 처음 신고된 메시지나 분석 중인 메시지 등은 ‘주의’로 표시될 수 있습니다. KISA는 10분 이후 다시 검사해 결과를 확인하도록 안내하고 있습니다. ‘주의’를 곧바로 정상이나 악성으로 단정하면 안 됩니다.

이 서비스는 메시지의 악성 여부를 판단하는 것이므로, ‘정상’ 답변을 기기 전체의 안전 판정이나 이미 발생한 결제 취소로 받아들이면 안 됩니다. 이미 정보를 입력했거나 프로그램을 실행했거나 돈을 보냈다면 재검사 결과를 기다리며 필요한 대응을 미루면 안 됩니다. 결과가 불확실하거나 기기 점검이 필요하면 118에 상담해야 합니다.

2026년 10월 8일 KISA 스미싱 확인서비스, Microsoft ClickFix·TerminalFix 분석, Google 계정 보호와 경찰청 피해 대응 안내를 확인해 보강했습니다.