평소 거래하지 않던 업체에서 주문서·견적서·세금계산서라는 이름의 HTML 첨부파일을 받은 분이라면, 파일을 열지 말고 공식 앱이나 직접 저장해 둔 주소에서 실제 거래 내역부터 확인하세요. 발신자 이름과 로고가 익숙해도 첨부파일 안에서 로그인하거나 결제 정보를 입력해서는 안 됩니다.
확인 전 준비와 적용 범위
- 첨부파일을 열지 않은 상태의 원본 메일
- 해당 쇼핑몰·은행·업무 서비스의 공식 앱 또는 기존에 저장한 주소
- 메일에 적힌 번호가 아닌 계약서·주소록 등에 보관된 연락처
이 방법은 첨부파일 이름이 .html 또는 .htm으로 끝나거나, 파일 형식이 웹 문서로 표시되는 경우에 적용합니다. HTML은 단순 문서가 아니라 로그인 양식과 외부 전송 기능을 포함할 수 있습니다. 컴퓨터 안의 파일 주소로 열렸더라도 입력한 정보가 외부 서버로 전송될 수 있으므로 주소창만 보고 안전하다고 판단하면 안 됩니다.
열기 전에 진위를 가리는 순서
- 확장자를 확인합니다. 아이콘과 파일 이름 앞부분은 믿지 말고 마지막 확장자를 봅니다. 윈도우는 파일 탐색기에서 파일 확장명 표시를 켜고, macOS는 파일의 정보 화면에서 이름과 확장자를 확인할 수 있습니다. 메뉴 위치는 운영체제 버전에 따라 다르므로 탐색기나 Finder 설정에서 ‘확장자’를 검색하세요. 모바일 메일 앱에서 전체 이름이나 형식을 확인할 수 없다면 내려받지 말고 PC 또는 웹메일의 첨부 상세 정보에서 확인합니다.
- 표시 이름이 아닌 실제 발신 주소를 봅니다. 보낸 사람 영역을 펼쳐 전체 주소와 회신 주소를 확인하세요. 철자 하나가 다르거나 불필요한 하위 도메인이 붙은 주소는 의심해야 합니다. 다만 주소가 정상이어도 발신 계정이 탈취됐을 수 있으므로 이것만으로 확정하지 않습니다.
- 메일 안의 링크를 사용하지 않습니다. 공식 앱을 직접 실행하거나 평소 저장한 주소를 입력해 주문, 청구, 메시지 내역에 같은 요청이 있는지 확인합니다. 검색 결과의 광고나 메일에 제공된 고객센터 버튼은 별도 확인 수단이 아닙니다.
- 기존 연락처로 교차 확인합니다. 업무 파일은 주소록이나 계약서에 있는 전화번호로 발송 여부를 묻습니다. 주문번호, 금액, 담당자 정보가 실제 기록과 일치할 때만 다음 업무를 진행하세요.
의심 신호를 판단하는 기준
- 로그인 만료, 미결제, 배송 취소처럼 즉시 행동을 재촉합니다.
- 문서를 보려면 비밀번호, 카드번호 또는 인증번호를 입력하라고 합니다.
- 파일명이 길거나 ‘주문서.pdf.html’처럼 문서 확장자를 흉내 냅니다.
- 평소 사용하던 문서 형식과 다르고 공식 서비스 내역에는 같은 알림이 없습니다.
문장 오류나 어색한 디자인이 없다는 이유로 정상이라고 판단해서는 안 됩니다. 반대로 HTML 형식이라는 이유만으로 악성이라고 단정할 수도 없으므로, 독립된 경로에서 거래 사실을 확인하는 것이 핵심입니다.
이미 열었다면 입력·실행 여부부터 구분하세요
- 열기만 하고 아무것도 입력하지 않았다면 창을 닫고 브라우저 다운로드 기록과 다운로드 폴더에서 추가 파일이 생겼는지 확인합니다. 운영체제와 보안 프로그램을 최신 상태로 갱신한 뒤 전체 검사를 실행하세요. 개인 기기에서는 의심 파일과 복사본을 삭제할 수 있지만, 회사 기기는 증거 보존 지침을 먼저 따릅니다.
- 아이디나 비밀번호를 입력했다면 신뢰할 수 있는 다른 기기에서 해당 서비스의 비밀번호를 변경합니다. 같은 비밀번호를 사용한 다른 계정도 서로 다른 값으로 바꾸고, 로그인 기록에서 모르는 기기와 세션을 종료하세요. 가능하면 2단계 인증을 설정하고 복구 이메일·전화번호가 바뀌지 않았는지 확인합니다.
- 카드·계좌·인증 정보를 입력했다면 금융사의 공식 앱이나 카드 뒷면에 적힌 고객센터를 통해 결제 차단, 카드 정지, 계좌 보호 또는 재발급 필요 여부를 문의합니다. 조치 범위와 비용은 기관별로 다를 수 있으므로 처리 전에 직접 확인하세요.
- 추가 프로그램을 실행하거나 권한을 허용했다면 네트워크 연결을 끊고 보안 검사를 진행합니다. 업무용 기기는 임의 초기화나 파일 삭제를 하지 말고 즉시 사내 보안 담당자에게 신고하세요. 초기화는 데이터 손실과 증거 훼손으로 이어질 수 있습니다.
변경이나 신고가 되지 않을 때
비밀번호가 이미 바뀌었거나 로그인이 막혔다면 해당 서비스의 공식 앱이나 직접 입력한 홈페이지에서 계정 복구 절차를 시작하세요. 이메일 계정까지 같은 비밀번호를 썼다면 이메일 복구를 우선하고, 고객센터에 계정 탈취 가능성을 알립니다. 회사 메일은 원본을 개인 메일이나 외부 분석 사이트로 전달하지 마세요. 주문번호, 고객명, 내부 자료가 유출될 수 있으므로 조직의 신고 기능이나 지정 채널을 이용해야 합니다.
조치 후 최종 점검
- 공식 서비스에서 실제 주문·청구 내역을 확인했는지 점검합니다.
- 다운로드 폴더와 브라우저 기록에 예상하지 못한 파일이 없는지 봅니다.
- 입력한 계정의 비밀번호, 활성 세션, 복구 정보를 확인합니다.
- 금융정보를 입력했다면 금융사 신고와 거래 내역 확인을 마쳤는지 점검합니다.
- 업무용 메일은 삭제 전에 보안 담당자의 보존 지침을 받았는지 확인합니다.
백신에서 이상이 발견되지 않았더라도 정상 파일이라는 뜻은 아닙니다. 피싱은 악성 프로그램 없이 입력 정보만 빼낼 수 있으므로, 검사 결과보다 공식 거래 내역과 별도 연락 결과를 우선해 판단하세요.