“Amazon 계정을 안전하게 이용하려면 확인해 주세요.” 정중한 인사, 회사 이름, 저작권 문구까지 갖춘 메일이 도착했다. 겉모습만 보면 대기업 고객센터 모범 답안이다.
하지만 계정 확인 링크의 실제 호스트는 Amazon이 아니다. 결론부터 말하면, 피싱을 강하게 의심해야 하는 메시지다. 메일 속 링크로 로그인하지 말고 공식 Amazon 앱이나 평소 쓰던 북마크에서 직접 확인해야 한다.
1. 중요한 안내라면서 무엇이 중요한지는 말하지 않는다
메일은 계정에 관한 “중요한 공지”라고 한다. 그런데 비정상 로그인인지, 결제 오류인지, 주소 문제인지 구체적인 설명은 없다. 대신 “확인만 하니 정보는 바뀌지 않는다”고 안심시킨다.
모르는 사람이 현관에서 “보안을 위해 집 열쇠를 잠깐 확인하겠습니다”라고 말한다고 상상해 보자. “잠깐”이라는 단어는 신분증이 아니다.
그럴듯한 로고 설명이나 회사 표기는 누구든 복사할 수 있다. 문장이 자연스럽다는 이유만으로 진짜 메일로 판단할 수 없다.
2. URL에서 @ 앞은 목적지가 아니다
문제가 된 URL을 접속할 수 없도록 바꾼 설명용 예시는 다음과 같다.
URL은 사용자정보@호스트 구조를 가질 수 있다. 이때 @ 앞의 Amazon 비슷한 문구는 서버 주소가 아니라 사용자 정보 영역이다. 실제 호스트는 @ 뒤의 share.google이다. MDN의 URL 문서에도 이 구조가 명시되어 있다.[1]
즉 “주소 맨 앞에 Amazon이라고 써 있으니까 Amazon 사이트겠지?”라는 착각을 이용한 셈이다. 유니폼은 Amazon인데 출입증에는 다른 회사 이름이 적힌 모습이다.
3. share.google은 Google의 진짜 도메인이다
더 헷갈리는 점이 있다. share.google 자체는 Google 앱이 사용하는 정식 단축 링크 도메인이다. Google 고객센터가 이를 설명한다.[2]
따라서 “Google 도메인이 가짜다”라고 말하는 것도 틀리다. 문제는 Amazon 인증을 요구하는 이메일이 Amazon이 아닌 단축 링크와 혼동을 유도하는 문자열을 사용했다는 점이다.
단축 링크의 최종 도착지는 여기서 확인하지 않았다. 가짜 로그인 화면이 나타났는지, 정보가 유출됐는지는 단정할 수 없다. 그러나 이 구조만으로도 클릭을 멈출 이유는 충분하다.
4. 회사 이름과 수신 거부 링크도 증명서가 아니다
메일 하단에는 답장 불가 안내, 저작권 표기, 수신 거부처럼 보이는 링크가 있었다. 이런 글자는 누구나 본문에 넣을 수 있다.
또한 원본 이메일 헤더와 전송 인증 기록은 분석하지 않았으므로 발신 서버를 확정한 것은 아니다. 확인한 것은 제공된 문구와 URL 구조의 높은 위험성이다.
5. 이미 눌렀다면 어떻게 할까?
열지 않았다면: 본문 링크와 수신 거부 링크를 무시하고 공식 앱으로 계정 상태를 확인한다. 메일은 피싱으로 신고한다.
열기만 했다면: 페이지를 닫고 파일이나 앱이 설치됐는지 확인한다. 링크를 눌렀다는 사실만으로 계정 탈취가 확정되지는 않는다.
비밀번호를 입력했다면: 공식 경로로 Amazon에 접속해 비밀번호를 변경하고, 같은 비밀번호를 쓰는 다른 서비스도 변경한다. 다중 인증과 주문·결제 내역을 확인한다.
카드 정보를 입력했다면: 카드사 공식 창구에 즉시 연락한다. FTC도 예상치 못한 메시지의 링크 대신 신뢰할 수 있는 공식 경로를 사용할 것을 권한다.[3]
결론
말투는 대기업, 서명도 대기업, 링크의 구조는 전혀 다른 이야기. 진짜 회사 확인은 화려한 메일의 예절 점수가 아니라 독립적인 공식 접속으로 한다.
