2026-11-12

단축링크 안전한지 확인하는 법 — 스미싱 링크 판별과 대처

"택배 배송지 확인하세요" 문자 끝에 붙은 xxx.com/aB3kZ9. 출처도 모르고, 링크가 뭘 가리키는지 보이지도 않습니다. 단축링크가 보안의 양날의 검이 된 이유입니다. 합법 서비스는 링크를 깔끔하게 줄여주지만, 범죄자는 같은 기능으로 위험한 목적지를 숨깁니다.

이 글에서는 누르기 전에 단축링크의 실체를 확인하는 방법과 스미싱 판별 기준, 이미 눌러버렸을 때의 대처를 정리합니다.

단축링크가 악용되는 이유

단축링크의 본질은 앞선 글에서 봤듯 "표지판"입니다. 문제는 주소창에서는 표지판만 보이고 목적지는 안 보인다는 점입니다.

긴 URL의 도메인(www.example.com/...)은 한눈에 위조 여부를 의심할 수 있지만, 6자리 슬러그에서는 아무 단서도 읽을 수 없습니다.
문자·SNS에서는 발신자 표시도 위조 가능해서, 단축링크까지 쓰면 진짜처럼 가장하기가 쉬워집니다.
그래서 택배·과태료·선물하기·구인 사칭 스미싱에 단축링크가 높은 비중으로 등장합니다.

중요한 건 단축링크 자체가 위험한 게 아니라, 발신을 알 수 없는 단축링크가 위험하다는 사실입니다.

누르기 전 목적지 확인하는 법 4가지

1. 단축 서비스의 미리보기(Lookup) 기능

일부 단축 서비스는 링크의 목적지·성과를 조회하는 미리보기 기능을 제공합니다.

Bitly 계열은 한때 링크 끝에 +를 붙이면 통계·목적지 페이지가 열리는 방식이 있었습니다(해당 서비스가 발급한 링크에만 작동). 단, 지원 여부와 방식은 수시로 바뀌니 각 서비스의 공식 안내 페이지에서 확인하세요.
무료 링크 조회 사이트들도 같은 원리입니다: 단축링크를 붙여넣으면 따라간 최종 주소를 보여줍니다. 이 역시 어디까지나 참고고, 조회 사이트 자체가 목적지를 변형해서 보여줄 가능성까지 고려하면 최종 판단 기준은 아래 3번입니다.

2. 메신저 미리보기 활용

카카오톡·메신저 앱에 링크를 붙여넣으면 제목·이미지 미리보기가 뜨는 경우가 있습니다. 이때 나타나는 실제 도메인이 사칭한 기관과 다르면(예: "공사"를 사칭했는데 도메인이 xyz-login.top) 즉시 가짜입니다.

3. 발신자·문맥 검증

기술이 아니라 상식 단계입니다. 아래 하나라도 걸리면 누르지 마세요.

낯선 번호에서 온 문자, 개인처럼 떠 있는 발신자 이름
"확인하세요", "마감 예정", "계정 정지" 같은 압박 표현
관공서·은행·택배가 단축링크로 유도 (이들은 공식 앱·홈페이지 안내가 기본)
URL의 도메인이 본사와 비슷하지만 한 글자 다른 위조 도메인

4. 눌러야 한다면 '격리'해서

확인 목적으로 눌러야 한다면 로그인 정보가 남아있는 브라우저 본체가 아니라, 시크릿 모드나 로그인 전 환경에서 여세요. 자동 리다이렉트가 반복되면 주소창의 최종 도메인을 확인하고 즉시 닫습니다.

이미 눌렀다면: 증상별 대처

단순 접속만 하고 아무것도 입력하지 않았다면 — 앱 설치 창·알림 허용 창이 뜬 게 아니라면 대부분 이대로 괜찮습니다. 뒤로 가지 말고 창을 닫으세요.

로그인 정보를 입력했다면

해당 서비스 비밀번호를 즉시 변경
같은 비밀번호를 쓰던 다른 계정 모두 변경
2단계 인증(2FA) 활성화
카드·계좌 연동 서비스는 거래 내역을 확인하고, 이상 있으면 즉시 정지

앱 설치가 진행됐다면 — 즉시 삭제 후 설치 허용 기록을 확인하세요.

신고처: 스미싱·피싱은 KISA 침해대응센터 118, 사기는 경찰 사이버범죄신고시스템(ecrm.police.go.kr) 또는 182. 증거가 되니 문자는 삭제하지 말고 캡처해 보관하세요.

링크를 '만드는 쪽'이라면: 차단 안 당하는 법

정상 업체·크리에이터라도 단축링크를 남용하면 메신저·메일 스팸 필터에 걸려 링크 자체가 차단될 수 있습니다. 신뢰도를 지키는 기준은 명확합니다.

본인 도메인(브랜디드 링크) 사용: 커스텀 도메인으로 만든 링크는 생판 모르는 임의 도메인보다 필터 통과율도, 클릭 직전 확인 가능성도 높습니다. 받는 사람이 링크만 보고도 "어디 사이트인지" 알 수 있으니까요.
HTTPS 목적지만 링크: http 목적지로 보내는 단축링크는 그 자체로 의심받습니다.
계정과 이력이 남는 서비스 사용: 익명·무가입 남용 구조의 무료 단축기는 같은 도메인의 악성 링크에 함께 묶여 신뢰도가 같이 떨어집니다. 포스터·명함에 QR 넣는 법도 같은 맥락에서 읽고 넘어가세요.
유도 문구를 투명하게: "택배 확인"보다 "OO몰 11월 세일 페이지"처럼 목적지를 문장에 쓰는 편이 차단도 클레임도 적습니다.

자주 묻는 질문

Q. 단축링크를 눌렀는데 바로 닫으면 안전한가요? 요즘 공격은 '접속'만으로 장악당하지 않습니다. 앱 설치 유도나 정보 입력 없이 창만 닫았다면 큰 문제는 없습니다.

Q. .kr 도메인이 아니면 안전한 건가요? 아닙니다. 도메인 확장자와 안전성은 무관합니다. 가짜 사이트는 .kr, .com, 신생 확장자를 가리지 않습니다.

Q. 단축 안 된 긴 링크는 안심해도 되나요? 긴 링크도 위조일 수 있습니다. naver.com.shop-deal.top처럼 진짜 브랜드를 앞에 붙여 놓는 수법이 대표적입니다. 이건 naver.com이 아니라 shop-deal.top의 하위 주소입니다. 주소의 실체는 http(s):// 다음부터 첫 슬래시 /(또는 포트 :) 직전까지입니다. 판단 기준은 "진짜 회사 도메인이 맨 처음부터 딱 오는가"이며, 어딘가에 포함되어 있는지가 아닙니다.

Q. 우리 회사 링크가 자꾸 차단돼요. 임의 도메인 무료 단축기를 여러 업체가 공동으로 쓰는 구조라면, 같은 도메인의 악성 링크 때문에 함께 차단되는 '연좌 차단'일 가능성이 큽니다. 브랜디드 도메인으로 옮기세요.

정리

모르면 누르지 않는 게 1원칙. 그래도 궁금하면 미리보기 기능·메신저 미리보기로 목적지를 확인하되, 최종 판단은 발신자·문맥·도메인 전체로.
링크를 만들 일이 있으면 임의 도메인보다 내 도메인 단축이 정답입니다. rdurl 커스텀 도메인으로 링크 안에 브랜드를 넣으면, 받는 사람이 누르기 전에 출처를 확인할 수 있습니다.