4단계 URL 구조 분석: 진짜 사이트 1초 만에 구별하는 법

URL(Uniform Resource Locator)은 단순한 인터넷 주소가 아니라, 웹사이트의 신분증과 같습니다. 이 구조를 이해하는 것이 온라인 안전의 첫걸음입니다. 모든 URL은 약속된 규칙에 따라 구성되며, 크게 4가지 핵심 요소로 나눌 수 있습니다. 이 요소들의 의미를 알면 링크를 클릭하기 전에 그 정체를 파악할 수 있습니다.

URL의 기본 구조는 다음과 같습니다.

• 프로토콜 (Protocol): https:// 처럼 주소의 가장 앞에 붙습니다. 웹서버와 통신하는 방식을 정의하며, https는 보안 통신을 의미합니다.
• 서브도메인 (Subdomain): www나 mail, login처럼 핵심 도메인 앞에 붙는 추가 주소입니다. 도메인 소유자가 목적에 따라 자유롭게 만들 수 있습니다.
• 핵심 도메인 (Root Domain): example.com 처럼 웹사이트의 실질적인 소유자를 나타내는 가장 중요한 부분입니다. 이 부분을 정확히 확인해야 합니다.
• 경로 (Path): /news/article.html 처럼 도메인 뒤에 붙어 사이트 내의 특정 페이지나 파일 위치를 알려줍니다.

URL에서 가장 먼저 확인해야 할 부분은 바로 ‘핵심 도메인’입니다. 피싱 사기범들은 사용자를 속이기 위해 서브도메인이나 경로에 naver나 google 같은 익숙한 단어를 교묘하게 섞어 넣습니다. 하지만 핵심 도메인은 위조할 수 없습니다. 핵심 도메인은 최상위 도메인(.com, .co.kr)과 바로 그 앞의 이름(2단계 도메인)으로 구성됩니다.

URL의 소유자는 오직 핵심 도메인으로만 판단해야 합니다. 서브도메인이나 경로에 어떤 이름이 있든 현혹되지 마십시오.

가짜 URL과 진짜 URL 비교

어떤 부분이 핵심 도메인인지 명확히 구분하는 것이 중요합니다. 아래 표를 통해 사기 사이트가 어떻게 진짜처럼 보이는지, 그리고 어떻게 구별하는지 확인하십시오.

구분	URL 예시	핵심 도메인	분석
진짜 네이버	https://mail.naver.com	naver.com	'naver'가 소유한 도메인의 'mail' 서비스입니다. 안전합니다.
가짜 네이버	https://naver.login-page.com	login-page.com	'naver'는 서브도메인일 뿐, 실제 주인은 login-page.com입니다. 위험합니다.
진짜 구글	https://accounts.google.com	google.com	'google'이 소유한 도메인의 'accounts' 서비스입니다. 안전합니다.
가짜 구글	https://google.com.security-check.net	security-check.net	google.com 처럼 보이지만, 실제 주인은 security-check.net입니다. 위험합니다.

이처럼 핵심 도메인 이름을 정확히 찾아내는 훈련만으로도 대부분의 피싱 공격을 막을 수 있습니다. 주소창의 슬래시(/)가 나오기 직전, .com이나 .kr 앞 단어를 확인하는 습관을 들이십시오.

주소창의 자물쇠 아이콘과 https는 내 컴퓨터와 웹사이트 서버 간의 통신이 암호화되었다는 의미일 뿐입니다. 이것이 곧 해당 사이트가 '안전한 공식 사이트'라는 것을 보증하지는 않습니다. 최근에는 피싱 사이트들도 무료 인증서를 발급받아 https를 사용하는 경우가 매우 흔합니다. 사기꾼이 만든 사이트와의 통신이 암호화되는 것일 뿐, 그 사이트 자체가 안전하다는 뜻이 아닙니다.

따라서 자물쇠 아이콘은 최소한의 보안 조건일 뿐, 신뢰의 기준으로 삼아서는 안 됩니다.

• http: 통신 내용이 암호화되지 않아 중간에 가로채일 위험이 있습니다. 개인정보를 입력하면 안 됩니다.
• httpss: 통신 내용이 암호화됩니다. 하지만 사이트 운영자의 신원은 보장하지 않습니다.

결론적으로, https 자물쇠가 없으면 무조건 피해야 하지만, 자물쇠가 있다고 해서 무조건 믿어서는 안 됩니다. HTTPS 자물쇠 피싱은 이제 기본적인 사기 수법이 되었으므로, 항상 핵심 도메인을 함께 확인해야 합니다. 안전한 통신을 위한 기술적 정보는 HTTPS 관련 문서를 참고할 수 있습니다.

URL 구조를 알아도 몇 가지 흔한 실수 때문에 피싱에 당할 수 있습니다. 다음 3가지 실수는 반드시 피해야 합니다.

실수 1: 단축 URL 원본 주소 미확인

단축 URL(bit.ly, me2.do 등)은 긴 주소를 짧게 줄여주지만, 원본 주소를 가리는 위험이 있습니다. 문자나 메신저로 받은 단축 URL은 절대 바로 클릭하지 마십시오. 클릭하기 전에 원본 주소를 미리 확인하는 서비스를 이용해야 합니다. 이는 단축 URL 안전 확인 방법을 통해 더 자세히 배울 수 있습니다.

실수 2: 서브도메인과 핵심 도메인 혼동

앞서 강조했듯이 가장 흔하고 치명적인 실수입니다. daum.net.login-ok.com 이라는 주소에서 daum.net 이라는 글자에 안심하고 비밀번호를 입력하는 순간 정보가 유출됩니다. 이 주소의 주인은 login-ok.com입니다. 항상 마침표(.)를 기준으로 가장 오른쪽 두세 단어 묶음(login-ok.com, example.co.kr)이 진짜 주인임을 기억해야 합니다.

실수 3: 눈에 익은 로고나 디자인만 보고 신뢰

피싱 사이트는 공식 사이트와 완전히 똑같이 보이도록 디자인을 복제합니다. 웹사이트의 로고, 색상, 레이아웃은 얼마든지 따라 할 수 있습니다. 유일하게 속일 수 없는 증거는 주소창의 URL뿐입니다. 화면이 아무리 익숙해 보여도, 최종 판단은 반드시 URL로 해야 합니다.

링크를 클릭했거나 사이트에 접속했다면, 개인정보나 로그인 정보를 입력하기 전에 아래 체크리스트를 따라 최종 점검을 하십시오. 이 습관이 당신의 계정과 자산을 지킵니다.

이 체크리스트는 모든 웹사이트에 접속할 때 적용할 수 있는 보편적인 안전 수칙입니다. 10초만 투자하여 잠재적인 위험을 차단하십시오.

1. 프로토콜 확인: 주소창이 https://로 시작하는가? 아니라면 즉시 페이지를 닫으십시오.
2. 핵심 도메인 식별: 주소에서 진짜 주인을 나타내는 핵심 도메인(example.com)을 정확히 찾아내십시오.
3. 도메인 철자 확인: 핵심 도메인에 오타나 불필요한 단어, 하이픈(-)이 섞여있지 않은가? (예: gooogle.com, naver-login.com)
4. 기대와 일치 여부: 확인한 핵심 도메인이 내가 접속하려던 그 회사의 공식 주소가 맞는가? 의심스럽다면 검색 엔진을 통해 공식 사이트 찾는 법을 다시 확인하십시오.
5. 단축 URL 경유 여부: 단축 URL을 통해 접속했다면, 확장된 최종 URL이 위의 모든 항목을 만족하는가?
6. 팝업창 경계: 로그인이나 정보 입력을 유도하는 팝업창의 경우, 그 팝업창의 주소도 본 페이지와 동일한 핵심 도메인을 사용하는지 확인하십시오.