핵심 POINT
국민건강보험공단 안내자료에 따르면 연간 건강검진 수검자의 약 40%가 4분기에, 약 20%가 12월 한 달에 몰립니다. 검진 안내가 가장 자주 오가는 시기라 공단을 사칭한 메일과 문자가 섞여도 알아채기 어렵습니다.
출처가 불분명한 주소는 누르지 말고 바로 삭제하고, 알 수 없는 출처의 앱은 설치하지 않아야 합니다. 의심되면 118과 보호나라 스미싱·피싱 확인서비스로 확인하고 신고하는 것이 좋습니다.
링크를 눌렀더라도 앱을 설치하지 않았다면 메시지 삭제와 신고로 마무리할 수 있지만, 앱을 설치했다면 백신 점검과 번호도용 차단, 결제 내역 확인이 필요합니다. 상황별 조치 순서까지 정리했습니다.
건강검진 시즌에 주의해야 할 국민건강보험공단 사칭 피싱 메일·문자, 대응 수칙 4가지
건강검진 시즌에는 국민건강보험공단의 검진 안내와 회사의 검진 독촉 메일이 한꺼번에 오갑니다. '건강검진표 확인', '검진 통보 내역 확인' 같은 문구를 보면 누구나 한 번쯤 열어 보게 되고, 이 점을 노린 사칭 메일과 문자도 함께 확인되고 있습니다.
링크 한 번, 앱 설치 한 번이 아이디와 비밀번호, 주민등록번호 유출로 이어질 수 있어 주의가 필요합니다. 이번 글에서는 건강검진 시즌에 사칭 메일과 문자가 늘어날 수 있는 이유, 한국인터넷진흥원(KISA)이 권고하는 대응 수칙 4가지, 링크를 눌렀거나 앱을 설치했을 때의 조치 순서, 기업이 챙길 점검 사항을 정리합니다.
■ 건강검진 시즌에 사칭 메일과 문자가 늘어날 수 있는 이유
출처: AI(ChatGPT) 생성 이미지
국민건강보험공단의 2024년 건강iN 안내자료에 따르면 연간 건강검진 수검자의 약 40%가 4분기에 검진을 받고, 12월 한 달에만 약 20%가 몰립니다. 공단은 연말에 수검자가 몰려 예약과 검진이 어려울 수 있으니 미리 받기를 권하고 있습니다.
이 시기에는 검진을 아직 받지 않은 사람을 향한 실제 안내가 늘고, 직장인은 회사의 검진 안내 메일까지 받습니다. 진짜 안내가 많이 오가는 만큼 같은 모양으로 꾸민 사칭 메일과 문자가 섞여 들어와도 구별하기 어렵습니다.
실제로 2026년 10월에는 국민건강보험공단을 발송 기관으로 표시하고 '건강검진표 및 안내문 알림'이라는 제목으로 '확인하러 가기' 버튼을 누르게 하는 피싱 메일이 확인됐습니다. 버튼은 공단 홈페이지를 흉내 낸 가짜 사이트로 이어져 아이디, 비밀번호, 주민등록번호 입력을 유도할 가능성이 큰 것으로 알려졌습니다. 이런 사이트는 입력된 정보를 외부 서버로 보낸 뒤 진짜 공단 홈페이지로 다시 이동시키는 경우가 많아서, 입력한 사람은 정보가 빠져나갔다는 사실을 알기 어렵습니다.
KISA 118상담센터에 접수된 민원 사례에도 '[건강보험공단] 건강검진 통보내역 정상발송. 내용보기'와 같은 문자로 링크 클릭을 유도하는 건강보험공단 사칭 유형이 포함돼 있습니다. 메일이든 문자든 '내용 확인' 링크를 누르게 하는 점은 같습니다.
■ 공단이 밝힌 안내 방식으로 보는 의심 신호
국민건강보험공단은 사칭 메일에 대해 다음과 같이 밝혔습니다. 건강검진 결과표는 신청자에 한해 사용자 인증을 거쳐야 받을 수 있는 전자문서 형태로 전달하고, 건강검진표는 올해 상반기에 이미 전량 공유돼 추가로 보내지 않으며, 안내 과정에서 어떤 URL도 누르게 유도하지 않는다는 설명입니다. 이 기준에 어긋나는 메일과 문자는 피싱일 가능성이 높습니다.
| 확인 항목 | 공단이 밝힌 방식 | 의심해야 하는 모습 |
|---|---|---|
| 결과표 전달 | 사용자 인증을 거치는 전자문서 | 메일·문자 버튼으로 바로 확인 |
| 건강검진표 | 올해 상반기 전량 공유, 추가 전송 없음 | 연말에 '검진표 확인' 알림 |
| 링크 | URL 클릭을 유도하지 않음 | '확인하러 가기', '내용보기' 링크 |
■ KISA가 권고하는 스미싱·피싱 대응 수칙 4가지
출처: AI(ChatGPT) 생성 이미지
KISA 보호나라는 스미싱 문자 예방 방법과 신고 방법을 안내하고 있습니다. 건강검진 사칭 메일과 문자에도 그대로 적용할 수 있는 4가지를 건강검진 상황에 맞춰 정리했습니다.
1. 출처가 불분명한 주소는 클릭하지 않고 삭제
KISA는 문자를 받았을 때 출처가 불분명한 사이트 주소는 클릭을 자제하고 바로 삭제하라고 권고합니다. 의심되는 주소는 정상 사이트와 일치하는지 확인해야 합니다. 검진 안내가 궁금하다면 메일이나 문자 속 링크 대신 국민건강보험공단 홈페이지(nhis.or.kr)나 The건강보험 앱에 직접 접속해 확인하는 것이 안전합니다.
2. 알 수 없는 출처의 앱은 설치하지 않기
KISA는 알 수 없는 출처의 앱이나 문서를 설치하지 말라고 안내합니다. 스마트폰 설정에서 '출처를 알 수 없는 앱 설치'를 '모두 허용 안 함'으로 두면 링크를 잘못 눌러도 앱이 설치되는 상황을 막을 수 있습니다. 또한 정부기관과 금융회사는 전화나 문자로 원격제어 앱 설치를 요구하지 않으며, 정상 스토어에 등록된 앱이라도 마찬가지입니다.
3. 개인정보와 인증번호는 신뢰된 사이트에만 입력
KISA는 휴대폰번호, 아이디, 비밀번호 같은 개인정보는 신뢰된 사이트에만 입력하고, 인증번호는 모바일 결제로 이어질 수 있으니 한 번 더 확인하라고 권고합니다. 소액결제 차단 서비스, 번호도용문자 차단 서비스, 웹 발신 확인 서비스에 가입해 두면 피해를 줄이는 데 도움이 됩니다. 번호도용문자 차단은 이동통신사 부가서비스에서 무료로 신청할 수 있습니다.
4. 의심되면 확인하고 신고
보호나라 카카오톡 채널의 '스미싱·피싱 확인서비스'에 문자나 주소를 보내면 악성 여부를 확인하고 신고할 수 있습니다. 스마트폰 문자 화면의 '스팸으로 신고'도 활용할 수 있습니다. 상담과 신고는 국번 없이 118, 금전 피해가 있다면 국번 없이 112입니다. KISA 118상담센터 사례에는 기관과 지인의 번호로 스미싱 문자가 발송되는 경우도 있어, 발신번호만 보고 믿어서는 안 됩니다.
■ 입력한 정보가 어디로 가고 어떻게 쓰이는지
탈취된 개인정보는 불법 해킹 포럼 등을 통해 거래되거나 크리덴셜 스터핑, 보이스피싱 같은 2차 범죄에 악용될 우려가 큽니다. 크리덴셜 스터핑은 유출된 아이디와 비밀번호 조합을 다른 서비스에 차례로 넣어 보며 로그인에 성공하는 계정을 찾는 공격입니다.
직장인에게 특히 중요한 대목입니다. 사칭 사이트에 입력한 아이디와 비밀번호가 포털, 쇼핑몰, 회사 메일에서도 쓰는 조합이라면 피해가 계정 하나에서 끝나지 않을 수 있습니다. 주민등록번호처럼 바꾸기 어려운 정보는 이후 금융사기나 보이스피싱에서 본인 확인 절차를 흉내 내는 재료로 쓰일 가능성이 있습니다.
■ 링크를 눌렀거나 앱을 설치했다면 이어가야 할 조치 순서
출처: AI(ChatGPT) 생성 이미지
KISA는 문자메시지에 포함된 주소를 클릭한 것만으로는 악성 앱에 감염되지 않고, 주소를 통해 앱을 설치했을 때 악성 앱에 감염된다고 설명합니다. 아래 순서는 KISA의 대응 방법을 바탕으로 정리했으며, 상황에 맞는 단계부터 진행하면 됩니다.
• 1단계. 추가 입력을 멈추고 창을 닫습니다. 눌렀을 뿐 앱을 설치하거나 정보를 입력하지 않았다면 해당 메일과 문자를 삭제하고 신고하는 것으로 충분한 경우가 많습니다.
• 2단계. 앱을 설치했다면 스마트폰을 점검합니다. 모바일 백신으로 악성 앱을 삭제하고, 삭제되지 않으면 수동으로 지우거나 서비스센터를 방문합니다.
• 3단계. 번호도용 문자 차단을 신청합니다. 피해자 번호가 스미싱 재발송에 도용될 수 있으므로 이동통신사 부가서비스에서 무료로 신청합니다.
• 4단계. 모바일 결제 내역을 확인합니다. 통신사 고객센터에서 결제 내역을 확인하고, 피해가 확인되면 문자를 캡처해 두고 통신사에 피해를 신고한 뒤 소액결제확인서를 발급받아 경찰서에 신고합니다.
• 5단계. 금융 정보를 점검합니다. 악성 앱에 감염된 스마트폰으로 금융서비스를 이용했다면 공동인증서와 보안카드 정보를 폐기하고 재발급받습니다.
• 6단계. 비밀번호를 바꾸고 주변에 알립니다. 같은 비밀번호를 쓰는 서비스는 모두 바꾸고 2단계 인증을 켭니다. 악성 앱이 주소록을 이용해 지인에게 비슷한 문자를 보낼 수 있으므로 주변 지인에게도 피해 사실을 알립니다.
■ 회사 검진 안내 메일이 오가는 시기에 기업이 챙길 점검 사항
직장가입자의 검진은 회사와 얽혀 있어 사칭이 파고들 여지가 더 큽니다. 산업안전보건법상 회사가 한 해 두 차례 이상 서면이나 메일로 검진을 안내하고 독촉한 기록을 남기면 사업주 과태료가 면제되기 때문에, 이 시기에는 회사의 검진 안내 메일이 여러 번 오갑니다. 같은 모양으로 꾸민 사칭 메일이 섞이면 임직원이 구별하기 어렵습니다.
• 사내 안내 방식 통일. 회사가 보내는 검진 안내는 외부 링크 없이 사내 포털이나 담당자 연락처로 안내한다는 원칙을 정해 두면 외부 링크가 담긴 메일을 의심하기 쉬워집니다.
• 임직원 공지. 공단은 결과표를 메일로 보내지 않고 안내 과정에서 URL을 누르게 하지 않는다는 점과, KISA의 스미싱 대응 수칙을 사내 공지에 포함합니다.
• 신고 경로 안내. 의심 메일을 받으면 열지 말고 보안 담당 부서에 전달하는 창구를 알려 줍니다.
• 비밀번호 재사용 점검. 개인 서비스와 업무 계정의 비밀번호를 같게 쓰지 않도록 안내하고, 업무 계정에는 다단계 인증 적용 여부를 확인합니다.
• 모의훈련 활용. 건강검진, 연말정산, 택배처럼 시즌별로 흔한 사칭 소재를 모의 피싱 메일 훈련에 반영하면 임직원이 체감하기 쉽습니다.
SK쉴더스는 임직원 보안 인식 교육과 악성메일 모의훈련, 메일 보안 점검 등을 통해 기업이 피싱 대응 체계를 점검하도록 지원하고 있습니다.
■ 자주 묻는 질문
Q. 연말에 건강검진 안내 메일이나 문자가 왔는데 진짜일 수도 있지 않나요?
A. 검진을 받지 않은 사람에게 가는 실제 안내도 있을 수 있습니다. 다만 공단은 결과표를 메일이나 문자로 전달하지 않고 URL 클릭을 유도하지 않는다고 밝혔습니다. 링크를 누르지 말고 공단 홈페이지나 The건강보험 앱에 직접 접속해 확인하는 것이 안전합니다.
Q. 링크를 눌렀는데 스마트폰이 감염되나요?
A. KISA는 문자에 포함된 주소를 클릭한 것만으로는 악성 앱에 감염되지 않고, 주소를 통해 앱을 설치했다면 감염될 수 있다고 설명합니다. 앱을 설치하거나 정보를 입력하지 않았다면 메시지를 삭제하고 118 또는 보호나라 스미싱·피싱 확인서비스로 신고하면 됩니다.
Q. 앱을 설치했거나 정보를 입력했다면 어떻게 하나요?
A. 모바일 백신으로 악성 앱을 삭제하고, 번호도용 문자 차단을 신청하고, 통신사에서 모바일 결제 내역을 확인합니다. 아이디와 비밀번호를 입력했다면 같은 조합을 쓰는 서비스의 비밀번호를 모두 바꾸고, 금전 피해가 있으면 112에 신고합니다.
Q. 발신번호가 공단 대표번호처럼 보이면 믿어도 되나요?
A. 믿기 어렵습니다. KISA 118상담센터 사례에는 기관이나 지인의 번호로 스미싱 문자가 발송되는 경우가 포함돼 있습니다. 번호보다 링크가 들어 있는지, 링크 클릭을 요구하는지를 기준으로 판단하고, 확인이 필요하면 직접 찾은 대표번호로 문의합니다.
Q. 회사 메일로 받았다면 회사에 알려야 하나요?
A. 회사 메일로 받았다면 열었는지 여부와 관계없이 보안 담당 부서에 전달하는 것이 좋습니다. 같은 메일이 다른 임직원에게도 도착했을 수 있고, 차단 조치를 하면 추가 피해를 줄일 수 있습니다.
[콘텐츠 출처]
KISA 보호나라, 이커머스 해킹 피해 악용 스미싱·피싱 주의 권고 (2025.11.29)
KISA 보호나라, 스미싱 주의보 (2024.01.04)
