피싱 사이트와 가짜 거래소 앱 구별하는 법
검색창에 거래소 이름을 입력했을 때 가장 위에 뜨는 사이트가 항상 진짜라는 보장은 없다. 피싱(phishing)은 공식 사이트나 앱을 사칭해 로그인 정보나 자금을 가로채는 사기 수법이며, 거래소 디자인과 로고를 그대로 베끼고 도메인 철자만 한두 글자 바꾸는 방식이 가장 흔하다. 진짜 거래소인지 확인하려면 도메인 전체 주소, 앱스토어 등록 정보, 공식 SNS 공지 세 가지를 직접 대조하는 과정이 필요하다.
피싱 사이트와 가짜 거래소 앱의 주요 수법 유형
가장 많이 쓰이는 방식은 도메인 유사 사이트다. 공식 거래소 홈페이지의 디자인, 로고, 메뉴 구성을 그대로 복사한 뒤 알파벳 l을 숫자 1로 바꾸거나, 도메인 끝에 -kr, -app 같은 문자를 붙여 공식 사이트처럼 보이게 만든다. 주소창을 대충 훑으면 공식 사이트와 구분하기 어렵고, 로그인 화면까지 똑같이 만들어 아이디와 비밀번호를 그대로 입력하게 유도한다.
두 번째는 앱스토어를 거치지 않은 가짜 앱이다. 공식 구글 플레이스토어나 애플 앱스토어 심사를 피해, 문자메시지나 카카오톡 링크로 APK 파일을 직접 설치하도록 유도하는 방식이다. 아이콘과 초기 화면은 실제 앱과 동일하게 만들어두고, 설치 과정에서 연락처·저장소 접근 같은 과도한 권한을 요구하는 경우가 많다.
세 번째는 메신저를 통한 사칭이다. 텔레그램이나 오픈채팅방에서 거래소 직원, 고객센터, 또는 수수료 페이백 담당자를 사칭해 먼저 말을 걸어오는 경우가 대표적이다. 레퍼럴(내가 남을 추천해 가입시키면 그 사람이 낸 거래 수수료의 일부가 추천인인 나에게 커미션으로 지급되는 제도)이나 수수료 페이백 이벤트를 미끼로 지갑 연결, 시드문구, OTP 번호를 요구하면 사칭일 가능성이 높다. 정상적인 페이백 절차는 거래소 UID(계정 고유번호)를 서비스에 등록하는 것으로 끝나며, 시드문구나 개인키를 요구하지 않는다.
아래 표는 자주 나타나는 수법 유형과 노리는 정보, 구분 포인트를 정리한 것이다. 표를 보면서 최근 받은 메시지나 방문한 사이트가 어느 항목에 해당하는지 하나씩 대조해보면 판단이 빨라진다.
| 수법 유형 | 주요 특징 | 주로 노리는 정보 | 구분 포인트 |
|---|---|---|---|
| 도메인 유사 사이트 | 공식 사이트와 디자인 동일, 철자 한두 글자 변경 | 로그인 비밀번호, OTP | 주소창 전체 철자를 끝까지 대조 |
| 가짜 앱(APK 직접 설치) | 앱스토어를 거치지 않고 링크로 설치 유도 | 지갑 주소, 개인정보, 과도한 권한 | 공식 홈페이지 링크를 거쳐 설치했는지 |
| 메신저 사칭 | 직원·고객센터·페이백 담당자 사칭 | 시드문구, 지갑 연결 정보 | 공식 채널은 먼저 DM을 보내지 않음 |
| 가짜 이벤트·페이백 미끼 | 과도한 보상, 긴급성 강조 | 개인정보, 선입금 | 공식 공지와 대조, 선입금 요구 여부 |
주소와 앱 출처를 확인하는 방법
가장 기본적인 방법은 북마크를 쓰는 것이다. 한 번 공식 사이트 주소를 확인했다면 브라우저 북마크에 등록해두고, 이후에는 검색 대신 북마크로만 접속한다. 매번 검색해서 들어가면 광고나 유사 도메인을 클릭할 확률이 계속 남는다. 접속할 때마다 주소창에 뜨는 전체 URL을 끝까지 읽어 철자가 하나라도 다른지 확인하는 습관이 필요하다.
SSL 자물쇠 아이콘이 떠 있다고 안전하다고 단정할 수 없다. 자물쇠는 통신 구간이 암호화되어 있다는 뜻일 뿐, 그 사이트가 공식 거래소인지는 보장하지 않는다. 피싱 사이트도 얼마든지 자물쇠 아이콘을 띄울 수 있으므로, 자물쇠 유무보다 도메인 철자와 공식 안내 경로를 더 중요하게 봐야 한다.
앱을 설치할 때는 플레이스토어나 앱스토어 안에서 개발자명, 출시일, 업데이트 이력을 확인한다. 공식 거래소명과 개발자명이 다르거나, 리뷰 수가 짧은 기간에 비정상적으로 급증한 경우 의심해봐야 한다. 가장 안전한 방법은 거래소 공식 홈페이지에 걸려 있는 다운로드 링크를 거쳐 앱스토어로 이동하는 것이다.
아래 표는 주소와 앱을 확인할 때 살펴볼 채널과 각 채널에서 나타나는 가짜 신호를 정리한 것이다. 한 채널만 보고 판단하지 말고 최소 두 채널 이상을 교차로 확인하는 것이 안전하다.
| 확인 채널 | 확인 방법 | 가짜일 때 흔한 신호 | 비고 |
|---|---|---|---|
| 웹 주소 | 북마크 또는 공식 안내 링크로 접속, 전체 URL 확인 | 철자 오류, 낯선 상위 도메인 | SSL 자물쇠만으로는 판단 불가 |
| 앱스토어 | 개발자명, 출시일, 업데이트 이력 확인 | 개발자명 불일치, 리뷰 비정상 급증 | 공식 홈페이지 링크 경유 설치 권장 |
| 공식 SNS·공지 | 트위터, 텔레그램 공지와 URL 대조 | 팔로워 수 대비 활동이 어색함 | 복수 채널에서 같은 주소인지 확인 |
| 고객센터 | 의심되면 거래소 공식 채널로 역으로 문의 | 상대가 먼저 개인정보를 요구 | 공식 채널은 선제적으로 DM을 보내지 않음 |
검색 광고의 함정
포털이나 구글 검색 결과 상단에 뜨는 광고 영역은 누구나 비용을 내고 입찰하면 올릴 수 있는 자리다. 공식 거래소가 아니어도 광고비만 내면 검색 결과 맨 위를 차지할 수 있기 때문에, 상단 노출 여부와 공식 여부는 전혀 관계가 없다. 검색 결과에 '광고' 또는 'Ad'라는 작은 표시가 붙어 있는지 먼저 확인하는 습관이 필요하다.
더 교묘한 경우는 광고 소재에 표시되는 URL은 공식 도메인처럼 보이지만, 실제 클릭하면 전혀 다른 주소로 리디렉션되는 방식이다. 이런 광고는 설명 문구에 어색한 번역체나 과장된 할인·이벤트 문구가 섞여 있는 경우가 많다. 클릭 전에 광고 소재 전체를 다시 한번 읽고, 공식 거래소가 평소 쓰는 표현과 다른 느낌이 들면 클릭을 멈추는 편이 낫다.
검색 광고를 아예 피하는 가장 간단한 방법은 처음부터 공식 링크를 신뢰할 수 있는 경로에서 확보해두는 것이다. 테더맥스 플러스+가 어떤 서비스인지 궁금하다면 /what-is-tethermax 페이지에서 설명을 참고할 수 있고, 거래소 이용을 처음 시작하는 절차는 /guide/start에서 단계별로 안내한다. 이런 경로로 확보한 링크를 북마크에 저장해두면 매번 검색할 필요가 줄어든다.
이미 정보를 입력했다면 할 일
피싱 사이트에 비밀번호나 OTP를 이미 입력했다면, 의심이 드는 즉시 아래 순서로 조치하는 것이 중요하다. 시간이 지날수록 자금이 빠져나갈 위험이 커지므로 순서를 지켜 빠르게 처리한다.
- 해당 거래소 공식 앱이나 공식 홈페이지(북마크로 재확인)에서 즉시 비밀번호를 변경한다. 같은 비밀번호를 다른 사이트에서도 썼다면 그 사이트들의 비밀번호도 함께 바꾼다.
- OTP·2차 인증 수단을 재설정하고, 로그인되어 있는 다른 기기 세션을 전부 로그아웃 처리한다.
- 거래소 공식 고객센터에 피싱 피해 사실을 신고하고, 필요하면 계정 임시 동결을 요청한다.
- 지갑 시드문구나 프라이빗키까지 입력했다면 해당 지갑의 자산을 즉시 새로 만든 지갑으로 옮긴다. 시드문구가 노출된 지갑은 더 이상 안전하지 않다고 봐야 한다.
- 신분증, KYC(실명 확인) 서류까지 유출됐을 가능성이 있다면 경찰 사이버수사 관련 신고 절차를 알아보고, 서류 재발급이나 명의 도용 방지 조치를 확인한다.
조치를 끝낸 뒤에는 어떤 경로로 피싱 사이트에 접속했는지 되짚어보는 것이 재발 방지에 도움이 된다. 검색 광고를 클릭했는지, 메신저 링크를 눌렀는지, 어떤 앱을 설치했는지 기록해두면 비슷한 패턴을 다음에 더 빨리 알아챌 수 있다.
판단이 애매할 때 확인하는 방법
도메인 철자도 맞는 것 같고 앱스토어에도 있는 것 같은데 확신이 서지 않는 경우가 있다. 이럴 때는 한 가지 채널만 보지 말고, 웹 주소·앱스토어 정보·공식 SNS 공지 세 가지를 동시에 열어 서로 일치하는지 대조하는 방법이 가장 확실하다. 세 곳 중 하나라도 불일치하면 접속이나 설치를 멈추고 공식 고객센터에 먼저 문의하는 편이 안전하다.
수수료 페이백이나 레퍼럴 관련 안내를 받았을 때도 같은 원칙이 적용된다. 정상적인 페이백은 거래소가 지급하는 레퍼럴 커미션을 재원으로 하며, UID 연동(거래소 계정 고유번호를 서비스에 등록하는 절차)만으로 적립이 시작된다. 개인정보나 시드문구, 선입금을 요구하는 페이백 안내는 정상적인 구조가 아니다.
궁금한 점이 더 있거나 특정 사이트·앱이 의심스러운 경우에는 자주 묻는 질문 모음인 /faq 페이지에서 관련 안내를 확인할 수 있다. 이 글에서 다룬 체크 방법을 한 번 더 정리해두면, 비슷한 상황이 생겼을 때 당황하지 않고 순서대로 확인할 수 있다.
자주 묻는 질문
Q. 공식 사이트 주소는 어디서 처음 확인해야 하나요?
처음 확인할 때는 검색 결과보다 공식 앱스토어 등록 정보나 공식 SNS 계정의 고정 공지에 걸린 링크를 활용하는 것이 안전하다. 확인한 주소는 바로 브라우저 북마크에 등록해두고, 이후에는 검색창 대신 북마크로만 접속한다. 여러 채널에서 같은 주소가 반복해서 나오는지 교차 확인하면 신뢰도가 높아진다.
Q. 앱스토어에 등록된 앱이면 항상 안전한가요?
앱스토어 심사를 거쳤다고 해서 전부 안전하다고 단정할 수는 없다. 개발자명이 공식 거래소명과 다르거나, 출시 이력이 짧은데 리뷰 수만 비정상적으로 많다면 의심해볼 필요가 있다. 공식 홈페이지에 걸린 다운로드 링크를 거쳐 설치하는 방식이 가장 안전하다.
Q. 이미 OTP 번호까지 입력했는데 지금 할 수 있는 조치가 있나요?
비밀번호 변경, OTP 재설정, 다른 기기 로그아웃을 가장 먼저 처리하고 거래소 고객센터에 신고하는 것이 우선이다. 시드문구나 프라이빗키까지 노출됐다면 해당 지갑 자산을 즉시 다른 지갑으로 옮겨야 한다. 시간이 지체될수록 피해 범위가 커질 수 있으므로 의심이 든 즉시 조치하는 것이 중요하다.
Q. 수수료 페이백 안내 메시지가 왔는데 진짜인지 어떻게 확인하나요?
정상적인 페이백은 거래소 UID를 서비스에 등록하는 절차만으로 적립이 시작되며, 시드문구·개인키·선입금을 요구하지 않는다. 메신저로 먼저 접근해 지갑 연결이나 개인정보를 요구한다면 사칭 가능성이 높다. 애매할 때는 /faq 페이지에서 정상적인 절차를 다시 확인해보는 것이 좋다.
