문제

문자에 han.gl/xxxx, bit.ly/xxxx, me2.do/xxxx 같은 짧은 주소가 있습니다. 눌러 보기 전에는 어디로 가는지 알 수 없습니다. 은행 공지일 수도, 쇼핑몰 이벤트일 수도, 피싱 사이트일 수도 있습니다.

단축 URL은 원래 긴 주소를 문자에 넣기 위해 만든 도구라 정상적인 기업·기관도 많이 씁니다. 바로 그 점 때문에 스미싱에도 가장 많이 쓰입니다. 가짜 주소를 가려 주니까요.

증상

  • 문자에 짧은 주소만 있고 목적지가 보이지 않는다.
  • 단축 URL을 눌렀더니 여러 번 다른 주소로 넘어간 뒤 페이지가 열렸다.
  • 열린 페이지 주소가 문자 속 회사 이름과 관계없다.
  • 최종 주소가 .apk 파일이거나, 앱 설치를 요구한다.

누르지 않고 진짜 목적지를 보는 법

① 리다이렉트를 대신 따라가는 검사기 쓰기 — 가장 간단합니다. 단축 URL은 서버가 “이 주소로 가라”는 응답(리다이렉트)을 보내는 방식이라, 내 휴대폰 대신 다른 곳에서 그 응답을 따라가면 최종 주소를 알 수 있습니다. 여러 번 이어지는 리다이렉트도 끝까지 따라가야 합니다. 첫 번째 목적지가 또 다른 단축 URL인 경우가 흔하거든요.

② 미리보기 기능 쓰기 — 일부 단축 서비스는 주소 끝에 +를 붙이면 목적지를 보여 주는 미리보기 페이지를 제공합니다. 다만 모든 서비스가 지원하지는 않고, 이중 단축은 첫 단계만 보입니다.

③ 최종 주소를 읽는 법 — 주소를 알아냈다면 맨 끝 도메인을 보세요. kbstar.com.secure-login.xyz의 진짜 도메인은 kbstar.com이 아니라 secure-login.xyz입니다. 이어서 그 도메인이 언제 생겼는지 확인하면 됩니다.

DechoNet으로 진단

  • 피싱 링크 검사에 단축 URL이나 문자 전체를 붙여넣으면 서버에서 리다이렉트를 최대 6단계까지 따라가 최종 주소와 거쳐 간 단계를 보여 줍니다. 페이지 본문은 받지 않으므로 내 휴대폰이 그 사이트에 접속하지 않습니다. 최종 도메인의 등록일, 브랜드 사칭, APK 다운로드, 위협 피드 등재 여부도 함께 봅니다.
  • HTTP 헤더 점검으로 리다이렉트 체인과 응답 헤더를 자세히 볼 수 있습니다.
  • 도메인 등록 정보로 최종 도메인의 등록일과 등록기관을 확인합니다.

해결 체크리스트

  • 단축 URL은 누르기 전에 최종 주소를 먼저 확인합니다.
  • 리다이렉트가 여러 단계면 마지막 주소까지 확인합니다.
  • 최종 주소의 맨 끝 도메인이 공식 도메인인지 봅니다.
  • 최종 도메인이 최근에 생겼거나 .apk로 끝나면 열지 않습니다.
  • 판단이 어려우면 문자 속 링크 대신 해당 회사 공식 앱에서 직접 확인합니다.

에스컬레이션 시점

문자를 붙여넣어 바로 확인

문자 전체나 링크만 붙여넣으세요. 문자는 저장하지 않고, 링크가 실제로 어디로 가는지 따라가 봅니다.