거래소 유출 안내 문자, 챗봇으로 1차 선별하는 법

왜 이번 문자는 더 위험한가

2026년 가을 국내 가상자산 거래소에서 해킹이 잇따랐다. 프라뱅은 핫월렛 비정상 출금으로 약 1억 원어치 코인을 탈취당하고 서비스를 잠정 중단했는데, 유출된 정보에 성명·이메일·휴대전화 번호뿐 아니라 OTP 키값과 로그인 비밀번호까지 포함됐다고 공지됐다. 비슷한 시기 빗썸에서도 고객 844명과 임직원 715명의 정보가 유출됐다.

문제는 그다음이다. 공격자가 이름과 전화번호를 이미 쥐고 있으면, "고객님 계정이 유출돼 긴급 보호가 필요하다"는 식의 문자가 진짜처럼 보인다. 유출 안내, 보상 신청, 본인 확인, 자산 긴급 이전 같은 명목이 흔하다.

타이밍도 혼란을 키운다. 빗썸은 해킹을 인지하고도 고객 공지까지 53시간 넘게 걸렸다. 거래소의 실제 통지가 늦게 나오는 사이, 그 공백을 노린 사칭 문자가 '공식 안내'를 가장해 먼저 도착하기도 한다. 그래서 문자 한 통만 보고 진위를 가리기는 쉽지 않다.

챗봇에 붙여넣어 점검하는 법

Ann Hannes

받은 문자를 챗봇에 그대로 넣고 네 가지를 항목별로 물어보면 1차 선별에 쓸 만하다.

• 이 문자의 발신처는 어디로 보이는가
• 링크의 도메인이 해당 거래소의 공식 주소와 같은가, 비슷하게 흉내 낸 주소는 아닌가
• 나에게 무엇을 하라고 요구하는가(클릭, 앱 설치, 번호 회신, 정보 입력)
• 피싱으로 의심할 근거가 있는가

KISA도 '계정 정지', '본인 확인', '새 기기 접속'처럼 불안을 자극하는 문구를 의심 신호로 꼽는다. 챗봇에 "이 문자가 불안을 자극해 서두르게 만드는 표현을 쓰는지" 함께 물어보면 도움이 된다.

주의할 점이 있다. 개인정보, OTP 키값, 비밀번호는 챗봇에 붙여넣지 마라. 입력하는 순간 외부 서버로 전송된다. 링크는 도메인 확인용으로 보여주되 직접 누르지 않는다.

AI 판단을 믿으면 안 되는 지점

챗봇은 문자의 '모양'을 분석할 뿐, 사실 확인을 대신하지 못한다.

그 링크가 실제로 악성인지 접속해 확인하지 못하고, 어떤 주소가 진짜 공식 도메인인지는 최신 정보가 없으면 틀리게 답할 수 있다. 발신번호가 변조(스푸핑)됐는지도 문자 텍스트만으로는 알 수 없다. 무엇보다 챗봇은 그럴듯한 설명을 지어내기도 한다. 그래서 "안전해 보인다"는 답을 받아도 그대로 신뢰해선 안 된다. AI는 의심 신호를 빠르게 추려주는 도구이지, 안전을 보증하는 도장이 아니다.

AI와 별개로, 확인은 이 순서로

의심 문자를 받았다면 결국 공식 채널로 되돌아가야 한다.

1. 문자 안의 링크나 전화번호로는 접속·회신하지 않는다.
2. 거래소 공식 앱을 직접 실행하거나, 평소 저장해 둔 북마크로 공식 홈페이지에 들어가 같은 공지가 있는지 확인한다.
3. 공식 고객센터 번호로 직접 전화해 문자의 진위를 묻는다.
4. 카카오톡 보호나라의 스미싱 확인 서비스로 주소를 점검하고, 의심 문자는 #118로 전달해 신고한다. 금전 피해가 났다면 112다.

마지막으로 기억할 원칙 하나. 정상적인 거래소나 은행은 문자로 비밀번호나 OTP를 요구하지 않는다. 이 점만 지켜도 가장 흔한 수법은 걸러진다.

출처

1. 코인 1억 털린 '프라뱅'… 빗썸, 고객 정보도 유출
2. 프라뱅, 1억원 자산 탈취 이어 개인정보도 유출
3. KISA, 디지털 범죄 차단 나선다