사칭 사이트 피해의 대부분은 주소창을 한 번만 제대로 봤어도 막을 수 있는 경우입니다. 문제는 도메인이 어디까지인지, 어느 부분이 진짜 주인을 뜻하는지 헷갈린다는 점입니다. 이 글은 주소창의 구조를 읽는 법부터 자주 쓰는 속임수까지 순서대로 설명합니다.
주소의 구조부터 읽기
https://www.gov.kr/portal/main 같은 주소는 네 부분으로 나뉩니다. https://는 통신 방식, www는 서브도메인, gov.kr이 등록 도메인, /portal/main은 경로입니다. 사이트의 주인을 결정하는 것은 등록 도메인 하나뿐입니다.
등록 도메인은 마지막 점 앞뒤의 두세 단어입니다. naver.com, gov.kr, hometax.go.kr처럼 국가 코드가 붙는 경우는 세 단어까지가 등록 도메인입니다. 그 앞에 붙는 www, m, mail, login 같은 단어는 같은 주인이 만든 하위 주소일 뿐입니다.
가장 흔한 속임수: 서브도메인으로 속이기
naver.com.secure-login.xyz 같은 주소는 얼핏 네이버처럼 보이지만 등록 도메인은 secure-login.xyz입니다. 앞에 붙은 naver.com은 사기꾼이 마음대로 만든 서브도메인입니다. 항상 주소의 뒤쪽, 첫 번째 슬래시 직전의 도메인을 보세요.
비슷한 철자도 자주 쓰입니다. 알파벳 l과 숫자 1, o와 0, rn과 m처럼 눈으로 구별하기 어려운 조합이나, naver 대신 navar처럼 한 글자만 바꾼 도메인이 대표적입니다. 최상위 도메인만 바꾼 경우(.com 대신 .net, .co)도 흔합니다.
공공기관과 금융회사 도메인의 특징
정부기관은 go.kr, 공공기관과 협회는 or.kr, 대학은 ac.kr을 씁니다. 국세청이 .com 도메인을 쓰거나 경찰청이 .net 도메인으로 안내 문자를 보내는 일은 없습니다.
금융회사는 각자의 대표 도메인을 쓰기 때문에 외우기 어렵습니다. 주소와이의 은행·카드 분야 페이지에 공식 도메인을 정리해 두었으니 로그인 전에 비교해 보세요. 문자나 메신저로 받은 링크로는 금융 사이트에 접속하지 않는 것이 원칙입니다.
모바일에서 확인하는 요령
스마트폰 브라우저는 주소창을 짧게 줄여 보여줍니다. 주소창을 한 번 누르면 전체 주소가 나타나므로, 로그인이나 결제 전에는 주소창을 눌러 등록 도메인을 확인하세요. 앱 안에서 열리는 웹 페이지(인앱 브라우저)는 주소가 아예 보이지 않을 수 있으니 기본 브라우저로 열어 확인하는 것이 안전합니다.
확인 순서 정리
- 주소창을 눌러 전체 주소를 표시합니다.
- 첫 번째 슬래시(/) 앞부분에서 마지막 두세 단어가 등록 도메인입니다.
- 등록 도메인이 공식 도메인과 정확히 같은지 철자를 한 글자씩 비교합니다.
- https 잠금 표시가 있는지 봅니다. 단, 잠금 표시는 암호화 여부일 뿐 진짜라는 보증은 아닙니다.
- 의심되면 링크를 닫고 주소와이나 즐겨찾기에서 공식 주소로 다시 접속합니다.