카카오톡으로 짧은 링크 하나만 날아옵니다. 택배 알림이라고, 청첩장이라고, 사진 모아둔 거라고 합니다. 누르면 어디로 가는지는 눌러야만 알 수 있습니다.

그게 단축 링크의 편리함이자 동시에 구조적인 약점입니다. 목적지를 가려주기 때문에, 가리고 싶은 목적지를 가진 쪽도 똑같이 씁니다.

실제로 들어온 수법

저희도 무료 링크 단축 서비스를 운영합니다. 2026년 7월, 저희 서비스로 만들어진 링크가 악성 앱 설치 파일을 뿌리는 통로로 쓰이는 것을 발견했습니다. 형태는 아래처럼 단순했습니다.

보시다시피 특별한 기술이 들어간 게 아닙니다. 숫자로 된 주소 + 앱 설치 파일, 이 두 가지 조합이 전부였습니다. 그런데 이 조합이 왜 하필 위험한지에는 분명한 이유가 있습니다.

숫자 주소가 위험한 이유

정상적인 서비스는 거의 예외 없이 도메인 이름을 씁니다. 도메인은 등록 기록이 남고, 신고가 쌓이면 브라우저와 백신이 차단 목록에 올립니다. 즉 평판이 축적됩니다.

반면 숫자 주소는 서버를 빌려 그 자리에서 바로 쓸 수 있습니다. 신고당하면 서버를 옮기고 숫자만 바꾸면 그만입니다. 축적될 평판 자체를 만들지 않는 것이 목적입니다. 그래서 "도메인 없이 숫자로 직접 연결되는 링크"는 그 자체로 강한 경고 신호입니다.

왜 하필 앱 설치 파일인가

안드로이드는 스토어를 거치지 않고도 설치 파일을 직접 실행해 앱을 깔 수 있습니다. 문제는 그렇게 설치된 앱이 요구하는 권한입니다.

• 문자 읽기 권한 — 은행과 카드사가 보내는 인증번호를 그대로 가져갑니다. 비밀번호를 몰라도 본인 확인을 통과할 수 있게 됩니다.
• 연락처 접근 권한 — 저장된 번호로 같은 링크를 다시 뿌립니다. 아는 사람 이름으로 오니 다음 사람은 더 쉽게 누릅니다.
• 접근성 권한 — 화면에 뜬 내용을 읽고 대신 눌러줍니다. 원래는 시각장애인 보조용 기능인데, 악용되면 사실상 원격 조종이 됩니다.

정리하면 이렇습니다. 링크는 미끼일 뿐이고, 실제 피해는 설치 이후 권한을 허용하는 순간 시작됩니다.

누르기 전 3초 확인법

가장 확실한 방법은 누르지 않고 목적지를 먼저 보는 것입니다. 저희 링크는 주소 형태가 seq.kr/s/코드 인데, 이때 아래 주소를 대신 열면 이동하지 않고 목적지만 확인할 수 있습니다.

seq.kr/api/v1/short-url/코드

목적지 주소와 만들어진 날짜, 클릭 수가 그대로 나옵니다. 여기서 숫자로 시작하는 주소거나 .apk로 끝나는 주소가 보이면 그대로 닫으시면 됩니다.

다른 서비스로 만들어진 링크라면 이 방법이 통하지 않습니다. 그럴 땐 이 세 가지를 기억하세요.

• 눌렀는데 다운로드가 시작되면 즉시 취소합니다. 정상적인 안내 페이지는 파일부터 내려주지 않습니다.
• 안드로이드 설정에서 '출처를 알 수 없는 앱 설치'를 꺼둡니다. 실수로 눌러도 한 단계가 더 막아줍니다.
• 어떤 앱이든 접근성 권한은 주지 않습니다. 은행 앱도 택배 앱도 이 권한을 요구하지 않습니다.

이미 설치했다면

당황해서 순서를 놓치기 쉬우니 그대로 따라 하시면 됩니다. 먼저 인터넷을 끊는 것이 첫 번째입니다.

• 비행기 모드로 전환 — 정보가 빠져나가는 통로를 먼저 막습니다.
• 설치된 앱 삭제 — 지워지지 않으면 안전 모드로 재부팅한 뒤 삭제합니다.
• 다른 기기로 금융 계정 확인 — 감염된 폰으로 은행에 접속하면 그 과정까지 노출될 수 있습니다.
• 통신사 부가서비스 조회 — 소액결제가 걸려 있는지 확인하고 차단을 신청합니다.

피해가 확인되면 경찰청 112, 통신 침해 관련은 한국인터넷진흥원 118로 신고할 수 있습니다. 금융 피해는 해당 금융사 고객센터에 지급정지부터 요청하는 것이 빠릅니다.

저희는 이렇게 막았습니다

발견 즉시 두 지점에서 검사하도록 고쳤습니다. 만들 때 한 번, 누를 때 또 한 번입니다.

두 번 검사하는 이유가 있습니다. 생성 시점에만 막으면 규칙을 추가하기 전에 이미 만들어진 링크는 그대로 작동합니다. 클릭 시점에서 다시 보기 때문에, 규칙을 강화하는 순간 과거 링크까지 함께 막힙니다.

차단 대상은 아래와 같습니다.

한 가지 더 손본 게 있습니다. 이동 방식을 영구 이동에서 임시 이동으로 바꿨습니다. 영구 이동은 브라우저가 목적지를 오래 기억해두기 때문에, 나중에 그 링크를 차단해도 이미 한 번 눌러본 사람은 계속 옛 목적지로 갑니다. 임시 이동으로 바꾸니 차단이 즉시 반영됩니다.

과하게 막지 않는 것도 중요합니다

이런 규칙은 정상 링크를 잘못 막는 순간 신뢰를 잃습니다. 그래서 확장자를 볼 때 주소의 경로 부분만 검사합니다.

예를 들어 검색 결과를 공유하는 .../search?q=naver.com 같은 주소는 물음표 뒤에 .com이 들어 있을 뿐 파일을 내려받는 링크가 아닙니다. 물음표 뒤까지 싸잡아 검사하면 이런 멀쩡한 링크가 무더기로 막힙니다. 실제로 저희도 초기에 이 함정에 걸려 정상 링크를 잘못 지운 적이 있습니다. 지금은 경로만 보도록 고쳐 두었습니다.

자주 묻는 질문

Q. 짧은 링크는 다 위험한가요?
아닙니다. 문자 수 제한이 있는 곳, 명함, 포스터, QR코드처럼 긴 주소를 그대로 쓸 수 없는 자리에서 정상적으로 쓰입니다. 위험한 건 링크 자체가 아니라 목적지를 확인할 방법이 없는 상황입니다.

Q. 아이폰은 안전한가요?
앱 설치 측면에서는 안드로이드보다 제약이 많습니다. 다만 가짜 로그인 페이지로 유도하는 방식은 기기와 무관하게 통합니다. 주소창의 도메인을 직접 확인하는 습관이 필요합니다.

Q. 백신 앱을 깔면 되나요?
도움은 되지만 완전하지 않습니다. 새로 만들어진 악성 앱은 탐지 목록에 오르기까지 시간이 걸립니다. 가장 확실한 방어는 여전히 설치하지 않는 것입니다.