국민건강보험공단 이름으로 ‘보안 고지서 확인’, ‘환급금 확인’, ‘보험료 체납 확인’ 같은 문자가 오면 먼저 링크부터 누르지 않는 것이 안전합니다. 국민건강보험공단은 2026년 8월 25일 공단을 사칭해 보안 고지서 확인을 유도하고 악성 앱 설치로 이어지게 하는 사례에 대한 주의 안내를 게시했습니다.
문자에 공단 이름이 적혀 있거나 발신번호가 그럴듯하다는 이유만으로 진짜라고 판단할 수는 없습니다. 가장 안전한 확인 방법은 문자 안 링크를 거치지 않고 직접 국민건강보험공단 공식 홈페이지나 공식 앱에 접속하거나, 대표전화 1577-1000을 통해 해당 안내가 실제로 있는지 확인하는 것입니다.
문자를 받았을 때는 세 단계로 나눠 판단한다
| 현재 상태 | 우선 행동 | 주의할 점 |
|---|---|---|
| 문자만 읽었고 링크는 누르지 않음 | 문자 링크를 열지 말고 공식 홈페이지·앱에서 직접 확인 | 발신번호와 기관명만 믿지 않기 |
| 링크는 눌렀지만 앱을 설치하지 않음 | 추가 설치·개인정보 입력을 멈추고 브라우저를 닫은 뒤 기기 점검 | 다운로드된 APK 파일이 있는지 확인 |
| 앱 설치 또는 개인정보·금융정보 입력 | 악성앱 삭제·보안 점검과 함께 금융회사·통신사·신고기관 대응을 즉시 검토 | 감염된 기기로 비밀번호 변경이나 금융거래를 계속하지 않기 |
공단 이름이 있어도 링크로 확인하지 않는다
국민건강보험공단은 사칭 범죄 안내에서 공단 직원을 사칭한 개인정보 요구, 피싱메일, 환급을 미끼로 한 주민등록번호 요구 등 여러 유형을 경고해 왔습니다. 최근에는 보안 고지서 확인을 내세운 악성문자와 앱 설치 유도 사례까지 별도로 주의를 알렸습니다.
따라서 문자 속 주소를 보고 공식 도메인처럼 보이는지 사람이 눈으로만 판별하려고 애쓰기보다, 사용자가 직접 주소창이나 즐겨찾기에서 공단 공식 홈페이지를 여는 방식이 안전합니다. 환급금이나 보험료 상태도 문자 링크가 아니라 공식 서비스의 ‘환급금 조회/신청’, ‘보험료 납부’ 메뉴에서 확인할 수 있습니다.
링크만 눌렀다면 무엇부터 확인할까
KISA 보호나라 안내에 따르면 문자 속 인터넷주소를 클릭한 것만으로 곧바로 악성 앱 감염이 확정되는 것은 아닙니다. 다만 링크를 통해 설치파일이 내려받아졌거나 사용자가 앱 설치에 동의했다면 악성 앱 감염 가능성을 점검해야 합니다.
링크를 누른 뒤 앱 설치 화면이 떴지만 설치하지 않았다면 더 진행하지 말고 브라우저를 닫습니다. 다운로드 폴더에 출처를 알 수 없는 설치파일이 생겼는지 확인하고 삭제합니다. 이후 스마트폰의 공식 보안 점검 기능이나 모바일 백신을 최신 상태로 실행하는 것도 도움이 됩니다.
앱까지 설치했다면 ‘삭제만 하고 끝’으로 보면 안 된다
악성 앱을 설치했다면 그 앱이 전화번호, 문자, 주소록 등 정보에 접근했을 가능성을 고려해야 합니다. KISA는 모바일 백신 또는 수동 삭제, 필요 시 서비스센터 방문을 안내하고 있으며, 스미싱 상담·신고는 국번 없이 118 또는 보호나라 카카오톡 채널 등을 이용할 수 있다고 안내합니다.
악성 앱이 설치된 상태에서 금융서비스를 이용했거나 계정정보를 입력했다면 금융회사에 이상거래 여부를 확인하고 비밀번호·인증수단을 안전한 다른 기기에서 변경하는 조치가 필요할 수 있습니다. 실제 금전 피해가 발생했다면 경찰청 사이버범죄 신고시스템이나 112·182 등 공식 신고 경로를 이용하는 것이 좋습니다.
개인정보를 입력한 경우
주민등록번호, 계좌정보, 카드정보, 인증번호를 입력했다면 단순 스팸문자 문제보다 개인정보·금융정보 유출 가능성을 먼저 생각해야 합니다. 사용한 계정의 비밀번호가 다른 사이트와 같다면 다른 계정까지 함께 변경하고, 가능한 서비스에는 2단계 인증을 설정합니다.
진짜 국민건강보험 안내인지 확인하는 가장 단순한 방법
- 문자 안 링크를 누르지 않습니다.
- 직접 국민건강보험공단 공식 홈페이지 또는 공식 앱을 엽니다.
- 문자에서 언급한 환급금·보험료·고지 내역이 실제로 조회되는지 확인합니다.
- 확신이 서지 않으면 공단 대표전화 1577-1000으로 문의합니다.
- 스미싱이 의심되면 KISA 118에 상담·신고합니다.
문자보다 ‘내가 거친 경로’를 기억하는 게 중요하다
스미싱은 기관명과 문구가 계속 바뀌기 때문에 특정 문장 하나를 외워 구별하기 어렵습니다. ‘문자 링크로 공공기관 업무를 처리하지 않고, 내가 직접 공식 앱이나 주소로 들어간다’는 원칙을 정해 두면 환급금·세금·택배·과태료처럼 소재가 달라져도 같은 방식으로 대응할 수 있습니다.
특히 앱 설치를 요구하는 순간에는 즉시 중단하는 것이 중요합니다. 이미 설치했다면 침착하게 앱 삭제와 기기 점검, 금융·통신 내역 확인, 신고 절차를 순서대로 진행해야 합니다. 국민건강보험공단의 최신 안내와 KISA의 공식 대응 지침을 기준으로 보면 ‘문자를 받음’, ‘링크를 누름’, ‘앱을 설치함’은 서로 다른 단계이며 대응도 달라집니다.
댓글 쓰기