데이터 유출 후 암호화폐 피싱: 가짜 거래소 이메일의 경고 신호

2026년 9월 21일 읽는 시간 약 20분

암호화폐 피싱은 거의 매번 같은 지점에서 정체가 드러납니다. 바로 메시지가 당신에게 요구하는 정보입니다. 진짜 암호화폐 거래소는 절대 시드 구문, 개인 키, 또는 인증 앱의 코드를 요구하지 않습니다. 이메일, 문자 메시지, 소셜 미디어 메시지 등에서 이러한 정보 중 하나라도 요구하는 경우, 발신자와 디자인이 아무리 그럴듯해 보여도 사기일 가능성이 높습니다. 이제부터는 이 한 문장을 일상생활에 효과적으로 적용하는 방법에 대해 알아보겠습니다.이 가이드는 2026년 늦여름의 상황을 배경으로 합니다. 금융 및 전자지갑 제공업체의 대규모 데이터 유출로 인해 범죄자들은 더 이상 무작정 공격을 시도할 필요가 없어졌습니다. 그들은 표적의 이름, 주소, 전화번호는 물론이고 경우에 따라서는 계좌 잔액까지도 알고 있습니다. 따라서 단순한 대량 메일 발송이 개인 맞춤형 메시지처럼 위장되어 언뜻 보기에 설득력을 갖게 됩니다. 독일 연방 정보 보안국이 발표한 2026년 사이버 보안 모니터 보고서는 이러한 현상이 얼마나 만연해 있는지 보여줍니다.

전년도에만 인터넷 사용자 중 11%가 온라인 범죄의 피해를 입었고 , 그중 12%가 피싱이었으며,
피해자 3명 중 1명은 금전적 손실을 경험했다고 보고했습니다.

암호화폐 피싱과 일반 스팸의 차이점은 무엇일까요?

피싱은 위조된 메시지를 이용해 사용자의 계정 정보나 로그인 정보를 빼내거나 결제를 유도하는 행위입니다. 이 용어는 낚시에서 유래했는데, 메시지는 미끼이고 계정은 물고기에 비유할 수 있습니다. 스팸은 무언가를 팔려고 시도하며 시간을 낭비하게 하지만, 피싱은 사용자의 계정 정보를 노리고 금전적 손실을 초래합니다.암호화폐 시장에서는 기술적인 이유로 문제가 더욱 심각해집니다. 은행 송금은 때때로 취소할 수 있고, 자동이체는 당연히 취소할 수 있습니다. 하지만 공개 블록체인 상의 거래는 일단 확인되면 최종 확정됩니다.

비트코인 이든이더리움 이든 , 이를 되돌릴 수 있는 기관은 존재하지 않습니다 . 잘못된 것에 서명한 사람은 더 이상 협상할 수 없고, 손해만 감수하면 됩니다. 바로 이 점 때문에 암호화폐 시장에서
피싱 범죄는 막대한 수익을 올리고, 피해자는 큰 손해를 입게 되는 것입니다.

두 번째 특이점은 다음과 같습니다. 은행의 경우 사기꾼은 고객의 로그인 자격 증명이 필요합니다. 하지만 개인 보관 지갑의 경우, 겉보기에 무해해 보이는 승인서에 서명하는 것만으로도 충분한 경우가 많습니다. 이 두 가지 경로는 서로 다른 방어 전략을 요구하며, 이 글에서는 각각을 별도로 다룹니다.

한 제공업체의 데이터 유출이 전혀 다른 암호화폐 거래소를 사칭한 피싱 이메일을 유발하는 이유는 무엇일까요?

데이터 유출이란 서비스 제공업체의 시스템에서 고객 데이터가 의도치 않게 유출되는 것을 말합니다. 사용자 입장에서 중요한 것은 어떤 데이터가 유출되었는지입니다. 신분증 사본, 주소, 전화번호, 거래 내역 등이 유출되었다면 당분간은 코인이 안전합니다. 왜냐하면 이러한 정보로는 코인 지갑을 열 수 없기 때문입니다. 이러한 기록들은 다음 단계의 해킹을 위한 원자재로 사용될 때 비로소 위험해집니다.

암호화폐 제공업체의 고객이라는 사실, 이름, 거주지 등을 아는 사람이라면 누구든 당신에게 합법적인 것처럼 접근할 수 있습니다. 그리고 이러한 접근은 해킹이 발생한 제공업체에만 국한되지 않습니다. 독일 암호화폐 고객 목록은 어떤 사기 수법에도 이용될 수 있습니다. 전혀 다른 거래소를 사칭한 보안 경고, 지갑 제조업체의 제품 리콜을 가장한 전화, 허위 사기 부서를 사칭한 전화 등 다양한 수법이 사용될 수 있습니다. 많은 사람들이 이러한 수법의 위험성을 간과합니다. 한 제공업체의 해킹으로 발생한 자금이 다른 모든 제공업체를 사칭한 피싱 공격으로 이어지는 것입니다.저희 보도 사례를 하나 들어보겠습니다. 2026년 9월 12일, 저희는

고객들이 레볼루트(Revolut) 데이터 유출 사태에 연루되었는지 확인하는 방법을 설명했습니다 .
당시 입수 가능한 정보에 따르면 유출된 데이터에는 신분증 사본, 본인 확인을 위한 셀카 사진, IBAN(은행 계좌 번호), 그리고 전체 거래 내역이 포함되어 있었습니다. 이 중 비밀번호는 단 하나도 없었습니다. 그럼에도 불구하고 이 데이터는 이후 몇 주 동안 개인에게 발송된 이메일의 근거가 되었습니다. 저희는 2026년 여름, 배송업체를 통해 고객 주소 정보가 유출된 여러 하드웨어 지갑 제공업체에서도 유사한 사례를 목격했습니다.

금속 캐비닛에 부서진 황동 자물쇠가 걸려 있고, 빈 색인 카드들이 쏟아져 나와 있으며, 앞쪽에는 금화 한 개가 놓여 있다. — 데이터 세트 자체는 지갑을 열어주지 않습니다. 그것은 나중에 지갑을 열어주려는 메시지에 신뢰성을 더해줄 뿐입니다.

피싱의 전형적인 징후: 메시지 자체에 포함된 7가지 경고 신호

아래 경고 신호는 2026년 한 해 동안 저희와 독일 소비자 상담 센터에서 접한 사례들을 바탕으로 작성되었습니다. 이 중 어느 하나만으로도 증거가 될 수는 없습니다. 두 개 이상의 신호가 해당될 경우, 해당 메시지를 사기로 간주하십시오.

시간에 쫓기는 상황. 마감 시한이 몇 시간밖에 남지 않았고, 서비스 중단이 임박했다는 통보를 받았으며, 그렇지 않으면 지급금이 소멸될 위기에 처해 있습니다. 평판이 좋은 업체들은 몇 주 정도의 여유를 주고 미리 알림을 보내줍니다.
제공된 링크를 통해서만 작동하는 작업입니다. 중요한 문의 사항은 거래소 주소를 직접 입력하고 로그인하여 처리하실 수 있습니다.
비밀 정보 요청입니다. 시드 구문, 개인 키, 비밀번호 또는 인증 앱의 6자리 숫자 등이 필요할 수 있습니다. 자세한 내용은 아래를 참조하세요.
본인이 등록하지 않은 출금 주소입니다. 이메일에 “안전한 보관”을 위해 자금을 이체해야 하는 지갑 주소가 포함되어 있다면, 해당 문제는 해결된 것입니다.
첨부 파일입니다. 암호화폐 거래소는 세금 보고서와 계좌 명세서를 받은 편지함의 파일이 아닌 로그인한 계정을 통해 제공합니다.
수신자 필드에 잘못된 이메일 주소가 입력되었습니다. 해당 제공업체에 계정이 없는 주소로 메시지가 도착하면 구매한 데이터 세트에서 발송된 것입니다.
너무나 좋은 제안입니다. 시장 손실 보상, 수익 보장, 단 한 번의 승인만 하면 받을 수 있는 에어드롭까지.

이제 철자 오류나 삐뚤어진 레이아웃은 경고 신호로 더 이상 사용될 수 없습니다. 2026년의 메시지는 언어적으로 완벽하고, 픽셀 단위까지 정교하게 제작되었습니다. 오타를 찾는 사람은 엉뚱한 곳을 보고 있는 것입니다. 이러한 보안 강화 조치는

제조사의 정식 발송 경로를 거쳐 모든 기술적 진위 검사를 통과한 위조 보안 경고를 사용한 사례를 통해 이미 설명드린 바 있습니다 .

링크를 클릭하지 않고 피싱 링크인지 확인하는 방법

가장 확실한 방법은 10초밖에 걸리지 않으며, 해당 링크를 아예 사용하지 않는 것입니다. 평소처럼 즐겨찾기나 설치된 앱을 통해 거래소나 지갑 앱을 여세요. 동일한 알림 메시지가 표시되면 이메일은 진짜입니다. 만약 표시되지 않는다면, 아무런 위험 부담 없이 답을 얻을 수 있습니다.링크 자체를 판단하고 싶다면 첫 번째 슬래시 바로 앞 부분을 살펴보세요. 그 부분이 실제 도메인입니다. 그 앞의 내용은 임의로 만들어낼 수 있습니다.

exchangename.security-login.example 형식의 주소는 거래소가 아닌

security-login.example 운영자의 주소입니다 . 범죄자들은 비슷하게 생긴 문자나 추가적인 하이픈을 이용하기도 합니다. 휴대전화에서는 링크를 길게 누르면 링크를 열지 않고도 목적지 주소를 확인할 수 있습니다.

일상적인 암호화폐 사용을 위한 두 가지 추가 사항입니다. 첫째, 브라우저에 표시되는 인증서와 자물쇠 아이콘은 연결이 암호화되었다는 의미일 뿐입니다. 사기 웹사이트는 이 두 가지를 모두 보여줍니다. 둘째, 내용을 전혀 읽지 않은 상태에서 지갑 연결을 요청하는 페이지가 나타나면 즉시 닫으세요. 신뢰할 수 있는 업체는 사용자가 특정 작업을 수행한 후에만 연결을 요청합니다.

암호화폐 거래소가 이메일로 절대 요청하지 않는 데이터는 무엇일까요?

다음 세 가지는 필수 사항입니다. 신뢰할 수 있는 업체라면 이메일, 전화, 채팅 등 어떤 상황에서도 해당 정보를 요구하지 않습니다.

시드 구문 은 지갑 복구 구문으로, 일반적으로 고정된 순서로 배열된 12개 또는 24개의 단어로 구성됩니다. 지갑에 있는 모든 개인 키는 이 시드 구문을 통해 다시 계산할 수 있습니다. 시드 구문을 소유한 사람은 누구든 즉시, 추가적인 절차 없이 사용자의 코인을 소유하게 됩니다. 제조사, 고객 지원 센터, 공공 기관 누구도 시드 구문을 필요로 하지 않습니다.

개인 키는 특정 주소가 거래에 서명하는 데 사용하는 암호화 값이며, 시드 구문에도 동일하게 적용됩니다. 인증 앱에서 발급받은

2단계 인증 코드는 30초 동안만 유효하며, 사용자 본인 외에는 아무도 알 수 없도록 만들어졌습니다. 2단계 인증 코드를 요구하는 사람은 바로 그 순간 거래소 로그인 화면을 보고 있는 사람일 뿐입니다.

네 번째 항목은 겉보기에는 무해해 보이지만 더 교묘합니다. 바로 증거로 스크린샷을 요구하는 것입니다. 자칭 고객 지원 담당자가 계정이나 지갑 화면의 스크린샷을 보내달라고 요청하는 경우가 있습니다. 범죄자들은 이 스크린샷을 통해 잔액, 사용 중인 네트워크, 심지어 주소의 일부까지 파악하여 더욱 그럴듯한 메시지를 만들어냅니다. 먼저 연락해 온 사람에게는 절대로 스크린샷을 보내지 마세요.

가짜 지지와 자금 유출 사기: 유출된 데이터를 돈으로 바꾸는 수법

실제로 하나의 데이터 세트에서 네 가지 유형의 사기 수법이 발생하며, 각 수법마다 다른 방어 전략이 필요하므로 이를 구분하여 관리해야 합니다.

가짜 고객 지원 센터입니다. 거래소의 보안 부서라고 주장하는 곳에서 전화나 문자가 옵니다. 그들은 당신의 이름과 마지막 입금액을 알고 있으며, 있지도 않은 의심스러운 출금 건을 이유로 듭니다. 그들이 제시하는 해결책은 항상 같습니다. 읽어야 하는 코드를 주거나 “안전 보관 계좌”로 이체하라는 것입니다. 전화를 끊고 해당 업체 웹사이트에 나와 있는 번호로 다시 전화하세요.

가짜 로그인 페이지. 피싱 공격의 전형적인 수법입니다. 링크를 클릭하면 가짜 계정으로 연결되고, 입력한 정보는 범죄자에게 넘어가 실제 계정에 실시간으로 로그인하는 데 사용됩니다. 유일하게 확실한 보호 방법은 다른 사람에게 전달할 수 없는 2단계 인증, 즉 정품 도메인에 연결된 암호 키 또는 보안 키를 사용하는 것입니다. 이는 가짜 계정에서는 작동하지 않습니다.

지갑 탈취 공격. 이 수법은 비밀번호가 아닌 서명을 노립니다. 사용자가 특정 페이지에 접속하여 지갑을 연결하고 승인을 확인하면, 스마트 계약이 이 승인 한 번으로 외부 계약이 언제든지 토큰을 인출할 수 있도록 설정됩니다. 지갑에는 이 과정에서 금액이 표시되지 않고 기술적인 권한만 나타나는데, 범죄자들은 바로 이 점을 노립니다. 서명할 때마다 어떤 권한이 부여되는지 정확히 확인하고, 이해가 안 되는 부분이 있으면 서명을 취소하세요.

가짜 리콜 또는 교체. 특히 하드웨어 공급업체의 데이터 유출 사고 이후에 흔히 발생합니다. 기기를 무료로 교체해 준다고 하는데, 새 기기에는 복구 문구가 이미 설정되어 있습니다. 미리 만들어진 시드 문구를 제공하는 기기는 항상 변조된 것입니다. 정품 지갑은 설정 과정에서 사용자가 보는 앞에서 복구 문구를 생성합니다.

피싱 외 암호화폐 사기 유형: 혼동하지 말아야 할 것들

암호화폐 사기를 알아차리려면 흔히 발생하는 암호화폐 사기 유형을 구분해야 합니다. 각 유형마다 대응 방식이 다르기 때문입니다. 피싱은 이미 보유하고 있는 계정 접근 권한을 빼앗아 갑니다. 그 외 널리 퍼진 사기 수법들은 피해자가 자발적으로 새로운 돈을 입금하도록 유도합니다.

투자 사기에서 암호화폐 사기꾼들은 보통 메신저나 데이팅 플랫폼을 통해 몇 주에 걸쳐 투자자와 관계를 구축하고, 수익률이 상승하는 것처럼 보이는 허위 거래 플랫폼으로 투자자를 유인합니다. 처음에는 소액의 수익을 지급하여 신뢰를 얻지만, 이후 요구하는 금액이 점점 늘어나고, 결국에는 수익금을 지급하기 전에 수수료를 요구합니다. 러그 풀(Rug Pull) 사기에서는 새로 출시된 토큰을 만든 팀이 모금된 자금과 함께 사라집니다. 가짜 경품 행사에서는 도용된 프로필이 특정 주소로 돈을 보내면 투자금을 두 배로 불려준다고 광고합니다.

두 세계의 경계는 유동적입니다. 동일한 전술이 동일한 유출 데이터 세트를 기반으로 구축되기 때문입니다. 따라서 주의해야 할 점은 간단한 원칙 하나입니다. 피싱 공격에서는 누군가가 당신이 이미 가지고 있는 것을 요구합니다. 투자 사기에서는 누군가가 존재하지 않는 것을 약속합니다. 두 가지 방법 모두 동일한 블록체인에서 끝나며, 두 경우 모두 완전한 손실의 위험이 현실적입니다.

Macro shot of a small matte metal security device with a single push button and cable on a dark wooden surface — 기기에서 확인해야 할 사항은 위조된 웹사이트만으로는 활성화될 수 없습니다.

클릭 직후: 첫 한 시간 동안 중요한 것

만약 그런 일이 실제로 일어났다고 가정해 봅시다. 링크를 클릭하고, 데이터를 입력하거나, 승인서에 서명했습니다. 이때 결과는 속도뿐만 아니라 단계의 순서에 따라 결정됩니다.

접근을 차단하세요. 로그인 자격 증명을 입력했다면 다른 기기에서 Exchange 암호를 변경하고 모든 활성 세션에서 로그아웃하세요. 공급업체에 따라 이 기능은 “기기 관리” 또는 “활성 세션 관리”라고 합니다.
지갑에 문제가 발생한 경우 잔액을 이동하세요. 승인 서명을 하셨다면 비밀번호를 변경해도 해결되지 않습니다. 남은 자산을 새로운 시드 구문을 사용하여 새로 설정한 지갑으로 옮기세요. 기존 지갑의 자산은 이 시점부터 소각 처리됩니다.
부여했던 권한을 취소하세요. 스마트 계약이 있는 네트워크에서는 기존 승인을 철회할 수 있습니다. 이는 2단계 절차를 대체하는 것은 아니지만, 자금 이동이 진행되는 동안 추가적인 자금 유출을 방지합니다.
증거를 확보하세요. 메시지의 전체 헤더를 포함하여 스크린샷을 찍고, 거래 내역과 시간, 주소를 기록해 두세요. 이러한 기록이 없으면 형사 고발은 제대로 진행되지 않을 것입니다.
신고서를 작성하여 서비스 제공업체에 알리십시오. 신고는 관할 경찰서 또는 해당 연방 주 정부의 사이버 범죄 신고 포털을 통해 온라인으로 접수할 수 있습니다. 서비스 제공업체는 자금이 규제 대상 거래소를 통해 도착하는 경우 수취인 주소를 표시할 수 있습니다.

기대치를 설정하는 데 있어 불편한 진실은 회복의 길이 좁다는 것입니다. 실제로 회복은 도난 금액이 신원 확인이 가능한 규제 플랫폼에 도착하여 신속하게 동결될 때만 가능합니다. 시간이 흐를수록 회복 가능성은 낮아집니다.

하드웨어 지갑, 암호 키, 출금 허용 목록: 피싱 공격을 완전히 무력화시키는 요소는 무엇일까요?

가장 효과적인 조치는 사기 시도를 알아차릴 필요 없이, 사기가 성공하더라도 아무런 영향을 미치지 않도록 하는 것입니다. 암호화폐를 수백 유로 이상 보유하고 있는 사람이라면 다음 세 가지 조치를 고려해 볼 만합니다.

하드웨어 지갑은 인터넷에 연결되지 않는 기기 내부에 개인 키를 보관합니다. 모든 거래는 버튼 하나만 누르면 기기 자체에서 확인되며, 확인 과정 동안 수신자와 금액이 화면에 표시됩니다. 가짜 웹사이트는 그럴듯한 모습을 연출할 수 있지만, 이 버튼을 누를 수는 없습니다. 각 기기의 차이점과 구매 시 고려해야 할 사항은

하드웨어 지갑 비교 에서 자세히 확인할 수 있습니다 .
하드웨어 지갑은 반드시 제조사에서 직접 구매하세요.

패스키 또는 보안 키는 인증 앱의 코드를 실제 도메인과 연결된 절차로 대체합니다. 재구성된
로그인 페이지에서는 유효한 응답이 전혀 생성되지 않습니다. 이는 거래소 계정에 사용되는 가장
일반적인 공격 방식을 차단합니다. 거래소의 보안 설정에서 패스키 또는 보안 키가 제공되는지 확인하고, 필요하기 전에 설정해 두십시오.

출금 승인 주소 목록은 모든 설정 중에서 가장 과소평가되는 기능 중 하나입니다. 많은 암호화폐
거래소에서는 미리 등록한 주소로만 출금을 제한할 수 있으며, 새 주소를 등록할 때마다 1~2일의
대기 기간이 적용됩니다. 이렇게 하면 계정을 탈취당한 사람이라도 즉시 돈에 접근할 수 없으므로, 대응할 시간을 벌 수 있습니다.

일상적인 사용을 위해서는 몇 가지 추가 사항이 적용됩니다. 암호화폐 계정 전용 이메일 주소를 별도로 사용하고, 각 제공업체별로 고유한 비밀번호를 설정하는 비밀번호 관리자를 사용하며, 공개된 소셜 미디어 프로필에 암호화폐 보유 사실을 언급하지 않는 것입니다. 암호화폐 보유자로 식별되지 않는 사람은 목록에 거의 나타나지 않습니다.

정식 허가를 받은 서비스 제공업체를 알아보는 방법과 그것이 피싱 공격 방지에 도움이 되는 이유

유럽 암호화폐 규정인 MiCA가 발효된 이후, EU 내 개인 고객을 대상으로 하는 서비스 제공업체는 독일 금융감독청(BaFin)의 인가 및 감독을 받아야 합니다. 이는 두 가지 측면에서 피싱 사기 방지 효과를 제공합니다. 첫째, 감독 기관은 인가받은 업체 목록을 공개하고 있으며, 목록에 없는 업체는 신뢰할 수 없습니다. 둘째, 인가받은 서비스 제공업체는 고객과의 소통에 있어 엄격한 규칙을 준수해야 하므로, 허용되는 채널 수가 제한되어 검증이 용이합니다. MiCA 라이선스에 적용되는 의무 사항은 당사에서 지속적으로 업데이트하고 있습니다.2025년부터 이미 알려진 수법입니다. 사기범들은 승인받지 않은 금융기관을 사칭하여 EU 고객들에게 자산을 인출하라고 요구합니다. 이러한 요구를 확인하는 방법은

MiCA 마감일 이후 인출 요구에 대한 별도의 가이드 에서 설명했습니다 . 확인 경로는 이 글에서 설명하는 것과 동일합니다. 메시지에 포함된 링크를 통해서는 절대 확인하지 말고, 항상 본인이 직접 개설한 계좌를 통해 확인해야 합니다.

피싱 신고: 소비자 상담 센터, 서비스 제공업체 및 법 집행 기관

보고서는 당신에게는 별 도움이 되지 않지만 다른 모든 사람에게는 큰 도움이 됩니다. 식별된 전파를 더 빨리 차단할 수 있기 때문입니다. 세 개의 주소를 찾는 데 드는 노력은 충분히 가치가 있습니다.

독일의 소비자 상담 센터는 의심스러운 메시지를 접수하는 공동 메일함을 운영하고 있으며, 발견된 사기 수법들을 피싱 레이더 에 지속적으로 게시합니다 . 의심스러운 메시지를 받을 때는 예방 차원에서 해당 사이트를 확인하는 것이 좋습니다. 이메일이 발송된 업체는 대부분 자체적인 사기 신고 주소를 가지고 있으며, 해당 주소는 도움말 섹션에 나와 있습니다. 또한 경찰은 각 주 정부의 사이버 범죄 포털을 통해 온라인으로 신고를 접수하며, 피해가 발생하지 않은 경우에도 신고할 수 있습니다.

암호화폐 피싱: 핵심 요점

다음번 보안 침해 사고가 발생하기 전에 지금 바로 보안 설정을 확인하세요. 2단계 인증을 암호 키로 변경하고, 출금 허용 목록을 활성화하고, 오래된 세션에서 로그아웃하세요. 이용 중인 암호화폐 거래소에서 이러한 기능을 제공하는지 여부는 저희가 제공 하는 규제 대상 거래소 비교표 에서 확인할 수 있습니다 .
브라우저에서 키를 꺼내세요. 장기 보유 포지션을 가진 사람은 물리적 확인이 가능한 기기에 보관해야 합니다. 하드웨어 지갑 비교 에서 차이점과 가격을 확인할 수 있습니다 .
일상적인 사용과 보관을 분리하세요. 구매 및 승인용으로는 소형 소프트웨어 지갑을 사용하고, 보유 자산은 계약 승인이 전혀 필요 없는 별도의 주소에 보관하세요. 어떤 소프트웨어 지갑이 이러한 용도에 적합한지는 소프트웨어 지갑 비교 에서 확인할 수 있습니다 .