스미싱 문자? 내 폰의 AI로 직접 확인하는 법

문자가 도착합니다. “[Web발신] CJ대한통운: 배송 주소가 일치하지 않아 소포가 보류되었습니다. 확인하시려면 여기를 클릭하세요:” 그리고 링크가 함께 오죠. 정말로 택배를 기다리고 있을 수도 있고, 아닐 수도 있습니다. 하지만 손가락은 이미 화면 위에 떠 있는 상태입니다. 그 찰나의 망설임이 바로 사기꾼이 노리는 심리적 틈새입니다.

더 현명한 선택이 있습니다. 약 1분 정도 걸리며, 아예 아무것도 누르지 않아도 되는 방법이에요. 클릭하기 전에 AI에게 메시지를 먼저 분석하게 하는 거죠. 구글은 이 기능을 안드로이드용 ‘서클 투 서치(Circle to Search)‘와 아이폰에서도 작동하는 ‘Google Lens’에 기본 탑재해 뒀습니다. ChatGPT, Gemini, Claude도 텍스트를 복사해 붙여넣기만 하면 유사한 역할을 수행합니다. 모두 무료로 이용할 수 있습니다.

실제로 이런 방법을 실천하는 사람들이 꽤 많습니다. 악용 사례를 다룬 OpenAI의 2025년 10월 보고서에는, 사람들이 온라인 사기를 파악하고 예방하기 위해 ChatGPT를 “한 달에 수백만 번 이상” 활용한다는 데이터가 명시되어 있죠. 따라서 핵심 질문은 ‘이 방법이 통하는가’가 아니라, 불필요한 개인정보를 노출하지 않으면서도 AI를 맹신하지 않게 어떻게 체계적으로 활용할 것인가입니다.

이 가이드는 한국 사용자 관점에서 실제로 중요한 부분에 집중했습니다. 스마트폰에서 어떤 경로를 선택할지, 무엇을 붙여넣고 무엇을 생략해야 할지, 국내에서 자주 유포되는 스미싱 패턴을 바탕으로 한 실제 사례 4가지, AI가 판단을 잘못할 수 있는 지점, 그리고 정확한 신고처(KISA 118과 보호나라. 영어권 가이드에서 흔히 나오는 미국의 ‘7726으로 전송’ 조언과는 다릅니다)를 차례로 다룹니다. 한국은 해외와 달리 특화된 보안 인프라를 갖추고 있다는 점이 큰 장점입니다. 카카오뱅크와 K Bank 앱에는 의심 문자를 붙여넣으면 자동으로 AI가 검증해주는 기능이 이미 탑재되어 있고, KISA에서도 공식 URL 검사 도구를 운영 중이죠. 이 글에서는 기존 일반 AI 도구들이 이러한 국내 전용 서비스와 어떻게 조화롭게 결합해 쓰일 수 있는지 보여드립니다.

테스트 방식에 대한 솔직한 설명을 덧붙입니다. 저는 갤럭시나 픽셀 테스트폰을 여러 대 보유하지 않았기에, 서클 투 서치와 렌즈 사용법은 구글 공식 문서와 공개된 실제 테스트 결과를 참고해 작성했으며, 관련 출처 링크를 걸어뒀습니다. 챗봇 예시는 이 글에 제시된 프롬프트와 제가 직접 구성한 가상의 의심 문자 4개를 Claude에 입력해 얻은 결과입니다. 일부 샘플 답변은 가독성을 위해 분량을 줄였습니다. 또한 세 가지 챗봇을 정면 비교 테스트한 것은 아니라는 점도 미리 말씀드립니다.

현재 한국에서 스미싱이 심각한 이유

한국의 스미싱은 이제 단순한 스팸의 범주를 넘어 조직적이고 피해 규모도 어마어마합니다. 2025년 11월 26일 서울경찰청 사이버수사과는 중국 현지에서 활동하는 스미싱 범죄 네트워크 일당을 적발했습니다. 체포된 멤버는 4명이고, 조직원 9명은 불구속 송치됐습니다. 관련 보도에 따르면 이들은 2023년 7월부터 2025년 6월까지 무려 1,000여 명의 피해자로부터 약 120억 원을 가로챘다고 합니다. 이번 가이드에서 꼭 짚어야 할 건 바로 이들의 정교한 수법입니다. 결혼식 초대장이나 조문 안내, 심지어 과태료 고지서로 가장한 문자를 보내면 사람들은 자연스럽게 링크를 클릭하게 됩니다. 여기서 악성 앱이 설치되면 스마트폰의 핵심 권한이 순식간에 탈취됩니다. 권한을 장악한 조직은 사후 동의 없이 알뜰폰 SIM 카드를 신규로 개설하거나, 모바일 뱅킹 인증 절차를 우회해 계좌 잔고를 텅 비워 버리곤 합니다.

뱅크들도 어떤 유인 문자에 취약한지 속속 파악하고 대응책을 내놓고 있습니다. 카카오뱅크는 2024년 12월 ‘AI 스미싱 체크’ 기능을 선보였는데요. 의심 가는 문자 내용을 앱에 그대로 붙여넣기만 하면 AI가 자동으로 분석해 네 가지 등급(스미싱 위험 높음, 안전, 단순 스팸, 판단 불가)으로 분류해 줍니다. 2025년 7월에는 첫 반년 동안 접수된 약 37,000건의 사례를 분석한 결과를 공개하기도 했습니다. 2025년 상반기 기준 위장 유형을 보면, 개인정보 유출 또는 수집을 가장한 경우가 37%로 가장 많았고요. 금융기관 사칭이 19%, 기업·광고 사칭이 18%, 지인 사칭(결혼식 초대장 및 조문 안내 등)이 12%, 제재 사칭(과태료 및 벌금 등)이 10%, 기타가 4%였습니다. 분석 결과에서는 대학 합격 발표나 오징어 게임 협찬 소식, 건강검진 결과지 등을 빙자한 최신 트렌드 공략형 문자도 다수 발견됐습니다. 한편, 2025년 12월 KISA와 카카오뱅크는 기술 협력 양해각서를 체결해 KISA의 국가 단위 스미싱 탐지 데이터와 검사 서비스를 카카오뱅크의 언어 모델 분석 엔진과 연동하기로 했습니다. KB국민은행 역시 2026년 1월 유사한 붙여넣기 검사 기능을 도입했다는 보도가 나왔습니다.

과거에 흔히 쓰던 ‘오타를 찾아보자’는 조언은 이제 효력이 떨어졌습니다. 생성형 AI가 완벽한 한국어 문장을 만들어 내다 보니, 오히려 눈에 띄는 건 급박함을 조장하는 문구, 예상치 못한 외부 링크, 그리고 개인정보를 요구하는 문장들뿐이기 때문입니다.

최근 몇몇 뉴스에서도 주목할 만한 변화가 감지됩니다. 구글의 ‘Circle to Search’와 ‘Lens’ 기능이 의심스러운 메시지를 분석하는 데 활용될 수 있다는 점인데요. 다만 시기를 정확히 짚어둘 필요가 있습니다. 이 기능은 이미 2025년 12월 2일에 공식 발표된 지 오래되었습니다. 2026년 10월 중순 영어권 테크 매체들이 다시 이 소식을 다루면서 화제가 됐지만, 저는 이번 주 주요 IT 포털이나 매체를 통해 해당 기능을 설명하는 국내 기사를 찾아보지 못했어요. 그래서 이번 가이드를 집필하게 된 배경이기도 합니다. 아울러 10월 14일자 보도에 따르면, ‘Google Messages’도 Gemini 기반의 강화된 사기 방어 기능을 탑재하고 있으며, 옵트인 방식으로 최근 출시된 기기들에 순차적으로 적용 중이라고 합니다. 각 기능이 언제쯤 국내 사용자에게 완전히 공개될지는 기종과 통신사 정책에 따라 다를 수 있으니, 스마트폰 설정 창을 한 번씩 확인해 보시는 것을 추천드립니다.

사용 가능한 네 가지 옵션과 선택 가이드

사기 의심 문자를 확인할 수 있는 방법은 총 네 가지입니다. 각 방법마다 필요한 준비 작업이 다르고, 메시지를 분석하는 방식도 조금씩 달라요.

의심가는 문자 대처법

문자 도착 예상치 못한 내용, 긴급함, 링크 포함

탭하지 마세요, 답장하지 마세요 답장하면 번호가 활성 상태임을 알려줘요

AI에게 확인 요청해요 Circle to Search, Lens 또는 챗봇 활용해요

공식 채널로 확인해요 내 앱 또는 알고 있는 번호 선택해요

신고 후 삭제해요 KISA 118 또는 경찰 신고해요

AI 확인은 2단계예요. 3·4단계는 결과와 무관하게 안전을 지켜줘요.

옵션 1: Circle to Search / 서클 투 서치 (안드로이드)

구글이 2025년 12월 2일 자 공식 블로그에서 안내한 절차는 간단합니다. 안드로이드 폰의 홈 버튼이나 하단 내비게이션 바를 길게 누른 뒤, 의심 가는 텍스트 주변에 원을 그리세요. 구글에 따르면 이 동작 후 시스템이 AI와 웹 정보를 활용해 해당 메시지가 사기성일 가능성을 판단하고, 문제점 요약과 함께 해결 방안 및 다음 단계 권고를 보여줍니다.

출처: 구글 뉴스, “Use Circle to Search and Google Lens to spot scam messages” (2025년 12월 2일).

예상되는 결과는 짧고 명확한 AI 오버뷰입니다. 메시지 중 어디가 수상한지, 그리고 어떻게 대처해야 하는지(링크 클릭 금지, 공식 채널을 통한 회사 연락 등)를 한눈에 알려주죠.

여기서 꼭 짚어야 할 두 가지 포인트가 있습니다. 첫째, 구글은 사기성 판단 결과가 시스템의 응답 품질에 대해 높은 신뢰도를 가질 때만 노출된다고 명시했습니다. 따라서 원을 그려도 결과가 뜨지 않는다면, 그것이 ‘안전하다’는 뜻은 절대 아닙니다. 그냥 구글이 판단을 유보했을 뿐이에요. 둘째, 이 기능은 화면에 보이는 것을 직접 원으로 감싸는 방식이라 WhatsApp이나 SNS 앱, 이메일 등 모든 앱의 메시지에도 적용됩니다. 사용자가 직접 실행하는 수동 도구이며, 백그라운드에서 자동으로 스캔해주는 프로그램과는 차이가 있죠.

옵션 2: Google Lens (아이폰, 및 Circle to Search 미지원 안드로이드)

구글은 안드로이드와 iOS 모두에서 동일한 기능을 구글 렌즈(Lens)로 제공한다고 설명합니다. 준비물은 단 세 단계입니다. 먼저 메시지 캡처를 찍은 뒤, 구글 앱 내 렌즈를 열고 캡처한 이미지를 탭하면 끝납니다. 아이폰 사용자라면 이 방법이 가장 확실한 구글 솔루션이에요. 단, 사전에 구글 앱을 설치해 두셔야 합니다.

결과물은 옵션 1과 같은 유형의 오버뷰가 나옵니다. 캡처 이미지를 기반으로 분석하기 때문에, 실제 링크를 건드리지 않고도 안전하게 확인할 수 있다는 점이 큰 메리트입니다.

옵션 3: ChatGPT, Gemini 또는 Claude에 붙여넣기

이 방법은 스마트폰 기종에 제한 없이 작동하며, 단일 결과만 보여주는 구글 오버뷰와는 달리 추가 문맥을 전달하거나 후속 질문을 던질 수 있다는 장점이 있습니다. 구체적인 프롬프트는 다음 섹션에서 확인해 보세요. 대신 고려할 점은 무엇인지 직접 결정해야 하며, 붙여넣은 데이터는 각 AI 기업 고유의 개인정보 처리 방침에 따라 저장될 수 있다는 점입니다(아래에서 상세히 다룸).

옵션 4: 국내 공식 채널과 스마트폰 기본 필터를 우선 활용하기

AI 기반 확인 경로가 아니라면, 한국에는 이미 무료로 준비된 대안이 잘 갖춰져 있습니다.

KISA 보호나라 카카오채널. KISA가 2025년 경고문에서도 반복해서 강조한 원칙은 이렇습니다. 의심 문자의 URL은 절대 클릭하지 말고, 대신 카카오채널에 ‘보호나라’를 검색해 등록한 뒤 ‘스미싱’ 메뉴를 통해 해당 주소가 정상인지 검증하세요. 링크 자체를 확인하려면 이것이 공식적인 첫 관문입니다.
은행권 AI 검사 기능. 카카오뱅크나 K Bank를 이용 중이라면, 앱 내에 의심 문자를 붙여넣기만 해도 분류 결과와 그 이유를 바로 알려줍니다. 이는 실제 스미싱 데이터를 기반으로 구축된 기능이며(카카오뱅크의 경우 KISA 점검 시스템과 연동됨), 매우 정확한 편입니다.
스마트폰 기본 필터. 구글 메신저(Google Messages)는 스팸 보호 설정에서 끌 수 있지만, 기본적으로 의심스러운 대화 패턴을 실시간으로 단말기 내에서 감지하는 사기 탐지 기능을 탑재하고 있습니다. 애플의 iOS 26 역시 알 수 없는 발신자의 메시지를 별도 폴더로 분류하는 필터를 지원하죠. 다만 애플 측은 이것이 단순 선별(Screening)이지 절대적 보장(Guarantee)이 아님을 강조하고 있습니다.

기본 필터와 국내 공식 검수 도구는 별도의 복잡한 조작 없이 자동 작동하거나, 텍스트를 빠르게 붙여넣기만 하면 결과를 줍니다. 반면 일반 AI는 이러한 시스템이 판단하지 못한 특수 케이스나, 링크 주변의 문맥(예: 보낸 사람이 정확히 무엇을 원하는지)을 파악해야 할 때 유용하게 쓰입니다.

어떤 방법을 써야 할까요? 가장 중요한 첫 번째 규칙은 ‘절대 링크를 열지 마라’입니다. 링크 자체는 반드시 보호나라로 확인하시고, 전체 메시지 맥락은 호환되는 갤럭시나 픽셀에서는 Circle to Search를, 아이폰에서는 캡처한 이미지로 Google Lens를 사용해 보세요. 추가 질문이 필요하다면 채팅봇에 붙여넣거나, 은행 앱에 검사 기능이 있다면 그곳에 맡기는 것도 좋습니다.

안전하게 묻는 방법: 어떤 내용을 붙여넣고 어떤 건 빼야 할까

텍스트를 붙여넣거나 스크린샷을 찍기 전에 꼭 기억해야 할 세 가지 규칙이 있습니다.

링크는 절대 클릭하지 마세요. ‘잠깐만 확인해 볼까’ 하고 탭했다간 바로 사기꾼의 표적이 됩니다. 만약 대화창에 텍스트를 넣어야 한다면, 링크 주소의 마침표 부분을 대괄호로 감싸서 작성하세요(예: cj-delivery-check[.]top). 이렇게 하면 실수로 클릭되는 것을 막으면서도 AI가 내용을 정확히 파악할 수 있습니다.
개인 정보는 반드시 제외하세요. 이름, 전체 주소, 계좌 번호처럼 유출되면 곤란한 정보는 모두 가리거나 다시 타이핑해 주세요. 스크린샷에는 발신자의 전화번호나 내 연락처 정보가 함께 담길 수 있으니 주의가 필요합니다. AI가 분석하는 데엔 불필요한 정보니까요.
‘안전한가요?’보다 ‘무엇을 하라고 유도하는지’ 물어보세요. 아래에서 자세히 다루겠지만, F-Secure가 AI 비서를 테스트한 결과 같은 질문을 반복해도 답변이 매번 달라지는 경우가 많았습니다. 따라서 ‘네, 안전합니다’라는 짧은 답변만 믿고 넘어가는 건 위험할 수 있어요.

제가 실제로 사용했던 프롬프트입니다. 복사해서 마지막 줄만 바꿔주시면 됩니다.

I got this text message and I have NOT clicked or replied. Help me
assess it. Any link has [.] in place of dots on purpose. Answer in
this format:

1. MY READ: likely scam / suspicious / probably legitimate / can't tell,
   with one sentence on why.
2. RED FLAGS: what in the text looks off (type of sender, urgency,
   a request for money, a login, a code or personal details, a link
   that doesn't match the brand, odd wording).
3. WHAT I CAN'T TELL FROM THE TEXT ALONE: for example, whether the
   account or package it mentions is real.
4. SAFE NEXT STEP: what to do using an official app, a website I type
   in myself, or a phone number I already have. Never use anything
   from the text.

Don't tell me a message is "safe". If you see no red flags, say "no
red flags in the text" and still give the safe next step.

TEXT:
[paste the message here]

구체적으로 살펴보는 4가지 예시

이 네 가지 문자 메시지는 실제 사건을 그대로 복사한 것은 아니지만, 한국인터넷진흥원(KISA), 경찰청, 카카오뱅크의 데이터에서 추출된 전형적인 수법 패턴을 바탕으로 구성했습니다. 각 사례 아래에는 AI가 내린 판단(간략히 요약)과 즉시 취해야 할 행동 요령을 정리했어요.

사례 1: 택배 배송 관련 문자

"[Web발신] CJ대한통운: 주소 불일치로 배송이 보류되었습니다. 주소 확인: cj-delivery-check[.]top/ok"

AI 분석 결과: 사기일 가능성이 매우 높음. 해당 도메인은 택배사와 무관하며, 긴급성을 조장해 링크를 통해 개인정보를 ‘확인’하라고 유도합니다. 또한 본인에게 실제로 배송될 물건이 있는지까지 AI가 확인할 수는 없죠.

지금 당장 할 일: 절대 탭하지 마세요. 만약 정말 택배를 기다리고 있다면, 택배사 공식 앱을 실행하거나 정확한 운송장 번호를 공식 사이트에 직접 입력해 확인하세요. 이후 아래에 설명된 대로 신고하고 메시지를 삭제하는 것이 안전합니다. 여전히 택배 지연이나 관세 납부 안내 문자는 가장 빈번하게 쓰이는 스미싱 미끼입니다.

사례 2: 모바일 청첩장 문자

"[모바일 청첩장] 저희 결혼합니다. 시간 되시면 꼭 와주세요 ♥ wedding-card-view[.]com"

AI 분석 결과: 의심스럽고 위험도가 높음. 발신자가 익명이거나 알 수 없는 도메인 링크가 포함되었고, 무언가를 열게 만드는 ‘카드’ 형태의 패턴으로 분류됩니다. AI가 판단할 수 없는 부분은 바로 ‘결혼식을 치르는 사람을 알고 있나’ 하는 점이에요.

지금 당장 할 일: 절대 열지 마세요. 이미 알고 있는 지인의 기존 연락처로 직접 전화를 걸어, 과연 초대를 보냈는지 확인하세요. 서울경찰청의 실제 사례에서도 나온 전형적인 수법이에요. 악성 앱을 설치하게 만든 뒤 피해자 명의로 알뜰폰 유심을 몰래 개통하는 것으로 이어집니다. 이 수법은 예의 바르게 답해야 한다는 습관이 오히려 함정에 빠지게 만드는데, 특히 50대 이상층에서 이러한 유혹이 더 잘 먹히는 편입니다.

사례 3: “개인정보 유출” 경고 문자

"[국외발신] 회원님의 개인정보가 유출되었습니다. 확인 및 조치: privacy-check[.]kr"

AI 분석 결과: 의심스럽고 위험도가 높음. 기업이나 공공기관은 문자 메시지 링크를 통해 개인정보 유출 사실을 통보하지 않습니다. 또한 해당 도메인이 공식 사이트가 아니며, 당황하게 만들어 즉각적인 행동을 취하도록 압박하는 구조예요. 물론 나에게 실제로 어떤 사고가 발생했는지를 AI가 미리 알 수는 없습니다.

지금 당장 할 일: 클릭하지 마세요. 만약 진짜 유출 사고가 걱정된다면, 주소를 직접 입력해 회사 앱이나 공식 홈페이지로 접속해 확인하세요. 카카오뱅크의 2025년 상반기 데이터에서 가장 많은 비중(37%)을 차지하는 유형이기도 합니다. 실제 해킹 뉴스를 배경으로 삼아 허위 정보를 믿게 만드는 교묘한 전략이에요.

사례 4: 진짜 인증번호 문자

"[Web발신] [인증번호 482915] 타인에게 알려주지 마세요. 5분 안에 입력해 주세요."

AI 분석 결과: 정상일 가능성이 높으나 주의 필요. 일반적인 일회용 인증번호 형식이에요. 다만 한 가지 덧붙이자면, 방금 로그인 시도를 하지 않았다면 누군가가 내 계정에 접근하려 할 확률이 높습니다. 고객센터라며 전화한 사람에게도 절대 인증번호를 알려주지 말고 비밀번호 변경부터 진행하세요.

왜 이 사례를 넣었을까요? AI 점검은 사기를 잡는 것뿐만 아니라, 정당한 메시지에 대한 불필요한 긴장을 내려놓게 해주는 역할도 합니다. 동시에 AI가 오경보(false alarm)를 낼 수 있는 경우를 보여주는 거죠. F-Secure의 조사에 따르면, 완전히 안전한 요청임에도 약 5분의 1은 여전히 사기 경고를 띄운다고 합니다. 만약 AI가 실제 인증번호를 의심스럽게 표시하더라도, 결국엔 공식 앱을 통해 최종 검증하는 것이 핵심입니다.

도구별 비교: 주요 기능 나란히 보기

	Circle to Search	Google Lens	ChatGPT / Gemini / Claude	Phone filters
지원 기기	안드로이드	아이폰 및 안드로이드	모든 기기	안드로이드(Google 메시지), 아이폰(iOS 26)
비용	무료	무료	무료 플랜	기본 제공
사용 방법	길게 누른 뒤 동그라미 그리기	스크린샷 찍고 렌즈 실행	텍스트 붙여넣기 또는 스크린샷 업로드	자동 적용
추가 질문 가능 여부	아니요	아니요	예	아니요
판단 기준	구글의 신뢰도가 높을 때만	동일	답변은 주지만 매번 결과가 다를 수 있음	스팸으로 분류하거나 경고 표시
공유 범위 제어	동그라미로 그을 영역 직접 선택	찍은 스크린샷 전체 공유	붙여넣을 내용 직접 선택	없음
추천 사용처	안드로이드에서 빠른 확인용	아이폰 사용자용	이상하거나 긴 메시지 확인용	첫 번째 방어선
한계점	답이 안 나온다고 해서 무조건 안전하지는 않음	동일	틀렸어도 확신하는 듯한 어조로 말할 수 있음	새로운 기법이나 서서히 진행되는 사기는 놓칠 수 있음

한국에서 가장 빈번하게 노출되는 스미싱 유인물 5가지

해당 순위는 공식 통계가 아니라, KISA 경보 사례, 경찰청 수사 기록, 카카오뱅크가 공개한 자료를 제가 종합해 정리한 것입니다:

택배 및 관세금 문자

배송 문제, 소액 요금 및 유사 택배사 링크

과태료 및 벌금

위장 경찰·교통민원 페이지의 과태료 고지 및 즉각 납부 유도

개인정보 유출 및 지원금

유출 알림, 건강검진 결과 등 공식 문자엔 없는 링크 포함

결혼식 초대와 조문 안내

지인 사칭 링크로 악성 앱 설치 및 SIM/계정 탈취

엄마 나 폰 고장났어

번호 변경 및 기기 고장 사유로 금전·기프트카드·인증번호 요구

AI 탐지가 쉬워요 적발 위험도 높아요 탐지가 가장 어려워요

앞서 다룬 두 가지 유형은 링크와 함께 AI가 분석해 볼 만한 맥락이 명확합니다. 반면 나머지 두 가지는 첫 메시지에 별다른 이상이 없어 보일 수도 있고, 아예 믿고 있던 연락처나 이름으로 날아올 수도 있죠. 바로 이 이유 때문에 ‘AI가 괜찮다고 했어’라는 생각만으로 최종 확인을 대신해서는 절대 안 됩니다.

AI의 답변은 얼마나 신뢰할 수 있을까?

솔직히 말해, “ChatGPT, Gemini, Claude가 스팸 문자를 검사하는 정확도”를 깔끔하게 비교한 공식 수치는 아직 공개된 적이 없습니다. 제가 찾아본 자료들은 이와 비슷한 임무들을 다루고 있는데, 결론은 하나입니다. AI는 결정적인 판단을 내리는 ‘심판관’이 아니라, 유용한 ‘두 번째 의견’일 뿐이라는 점이에요.

F-Secure의 ASK 벤치마크(2026년 8월 13일 발표): 총 35가지 사기 시나리오를 테스트했으며, 각 시나리오별로 경계 신호가 몇 개나 포함되었는지에 따라 4단계로 나눴습니다. 이때 ChatGPT와 Gemini가 생성한 840개의 응답에 대해 Claude가 심사위원으로 평가했어요. 평균적으로 두 모델 모두 사기 가능성을 95% 이상 적발했고, 사기 수법이 명확히 드러난 경우에도 약 95%의 정확도를 보였습니다. 다만 이 테스트는 ‘사용자가 작업을 도와줄 때 AI가 자발적으로 경고를 띄웠는지’만 따졌지, 업로드된 텍스트 그대로를 정확하게 분류했는지는 평가하지 않았습니다. 또 흥미로운 점은 무해한 질문 중 약 20%에서도 여전히 사기 경고가 뜨는 일이 잦았고요. ‘재배송 조달 담당자’ 관련 질문을 동일한 조건으로 세 번 반복했을 때, ChatGPT의 점수는 각각 0, 4, 4로 나왔습니다. 한 번은 아예 경고 없이 안전하다고 판정했다는 의미죠. ‘용돈 벌이 속임수’로 위장한 기프트카드 사기 테스트에서는 두 AI 모두 카드 사용 방법을 안내하는 엉뚱한 답변만 내놓기도 했습니다.
2024년 AI 스피어 피싱 연구(Heiding 및 동료들, arXiv 2412.00586): 381통의 이메일(피싱 363통, 정상 18통)을 대상으로 Claude 3.5 Sonnet을 테스트했습니다. 결과적으로 피싱 이메일의 97.25%를 적발했으며, 오탐지(false positive)는 단 한 건도 없었습니다. 다만 기존 방식의 일부 피싱 이메일은 81%만 잡아냈죠. 연구진은 또한 모델이 이메일의 의도를 묻는 것보다 “이 메일이 의심스럽습니까?”라고 물었을 때 훨씬 더 나은 성능을 보인다는 점도 확인했습니다. 앞서 제시한 프롬프트가 왜 ‘경계 신호’ 위주로 물어보게 했는지 그 이유이기도 하죠. 결과는 고무적이지만, 이는 이메일 기반이고 문자 메시지가 아닙니다. 게다가 정상 메일은 단 18통뿐이라 오탐지 수치를 믿기엔 표본이 너무 작아요.
언어의 중요성. 현재까지 나온 연구의 대부분은 영어를 기반으로 합니다. 저는 모잠비크의 포르투갈어 모바일 송금 스미싱에 대한 2025년 벤치마크(MOZ-Smishing, AfricaNLP 2025) 자료도 발견했는데요. 이는 영어 기반 사기로 최적화된 검증 도구가 다른 언어와 현지 특유의 사기 패턴에는 쉽게 적용되지 않을 수 있음을 일깨워줍니다.
Google 자체 주의사항: Google 시스템이 높은 확신을 갖출 때에만 사기 평가 결과가 표시됩니다. 별도로 공개된 정확도 수치도 없습니다.

F-Secure가 제시한 네 가지 권장 사항은 누구나 지켜야 할 현명한 가이드라인입니다. AI에게 질문한 맥락을 충분히 알려주되, 주민등록번호나 비밀번호 같은 민감한 정보는 절대 공유하지 마세요. 경고가 없었다고 해서 무조건 안전하다고 믿지도 마시고요. 뭔가 수상하다 싶으면 “이거 사기일 수도 있나요?”라고 직접 물어보는 게 좋습니다. 돈이나 시간 압박, 비밀 유지 등이 걸린 중요한 상황이라면 반드시 신뢰할 만한 사람과 상의하세요. 결국 F-Secure가 강조하듯, AI는 최종 결정을 내리는 ‘판결문’이 아니라 참고용 ‘두 번째 의견’일 뿐이니까요.

AI가 답한 후 할 일: 국내 신고 및 대응 채널

AI가 내놓는 답변이 어떻든, 사실 가장 확실한 방어막은 아래 단계들입니다.

클릭하지 마세요. 답장도 하지 말고, 걸려온 번호로 다시 전화하지 마세요. 한국인터넷진흥원(KISA)에 따르면 정부 기관이나 금융사에서 보내는 공식 문자에는 클릭할 URL이 포함되어 있지 않습니다. 따라서 행동하라는 링크가 들어온 문자는 무조건 의심하는 것이 맞습니다.
링크를 열지 않고 미리 확인하세요. KISA는 카카오채널 ‘보호나라’의 ‘스미싱’ 메뉴를 활용해 URL이 정상인지 먼저 점검해보라고 권합니다.
신고하세요. 휴대폰의 스팸 신고 기능이나 전기통신금융사기 통합신고대응센터를 이용할 수 있습니다. 이미 피해를 입었거나 의심된다고 느껴지면 즉시 경찰(112)이나 사이버범죄 신고 시스템에 접수하세요. 악성 앱 감염 상담을 포함한 다양한 사이버 보안 문제는 KISA 118 사이버 헬프라인에서 무료로 받을 수 있습니다(실시간 24시간 운영).
차단하고 삭제하세요. 발신 번호를 차단한 뒤 메시지를 지워주세요.

이미 버튼을 누르거나 앱을 설치했다면? 당황하지 말고 멈추세요. 문자 링크로 앱을 절대 설치하지 마세요. 만약 이미 설치했다면 118에 연락해 악성 앱 제거 방법을 문의하세요. 계좌 정보를 입력했다면 해당 은행 공식 고객센터로 바로 전화해 결제 정지를 요청하세요. 경찰 신고 시 필요할 테니 화면 캡처, 송금 내역, URL은 반드시 보관하세요. 서울 사례에서도 알 수 있듯 속도가 중요한 이유입니다. 악성 앱이 권한을 확보하는 순간, 다음 단계로는 당신 명의로 알뜰폰 유심이 몰래 개통될 수 있기 때문입니다.

개인정보 보호: 붙여넣은 텍스트는 어디로 가는가

채팅봇을 사용할 때 학습 설정은 다른 서비스와 동일하게 적용됩니다. 각 제공업체의 도움말 페이지 기준 2026년 10월 20일 현재 상황을 빠르게 정리하면 다음과 같습니다.

ChatGPT: 데이터 관리 설정에서 “Improve the model for everyone” 옵션을 끄지 않는 한, 무료 계정 대화 내용이 모델 개선에 활용될 수 있습니다. Temporary Chat은 모델 학습에 쓰이지 않지만, 보안상 최대 30일까지 저장될 수 있습니다.
Gemini: 저장된 활동 기록은 Google 서비스 개선에 사용되며, 일부 대화는 인간 검토 대상이 됩니다. “Keep Activity” 기능을 끄거나, 학습에 사용되지 않으며 72시간만 보관되는 임시 채팅을 이용하세요.
Claude: 허용할 경우 대화가 Claude 모델 개선에 사용될 수 있습니다. 개인정보 설정에서 “Help improve our AI models"를 비활성화하거나, 학습에 쓰이지 않고 기본적으로 30일간 보관되는 시크릿 모드를 이용하세요.

사기성 문자를 분석해야 한다면 방법이 간단합니다. 이름, 전화번호, 계좌 정보는 가리거나 다시 타이핑해서 공유 자료에 포함되지 않게 하세요. 실제로 검증이 필요한 건 사기 메시지 그 자체뿐이며, 이 부분에는 당신의 신원이 필요 없습니다.

나에게 필요한 현실적인 대응법

삼성 갤럭시나 구글 픽셀을 쓴다면. 이미 가장 빠른 대안을 손에 쥐고 계실 거예요. 첫 번째로 오늘 당장 안전한 문자로 Circle to Search(원형 검색) 기능을 한 번 테스트해 보세요. 무서운 문자가 왔을 때 결과가 어떤지 미리 알고 있으면 덜 당황하니까요. 메시지 앱의 스팸 차단 기능도 켜져 있는지 꼭 확인하세요.

아이폰을 쓴다면. 구글 앱을 설치했다면 한 번쯤 ‘스크린샷+렌즈’ 경로를 활용해 보세요. 캡처한 이미지를 렌즈로 인식시켜 정보를 빠르게 확인하는 방법이 꽤 유용합니다. 메시지 앱의 ‘알 수 없는 발신인 필터’를 켜는 것도 좋은데요. 알림 폴더가 하나 더 생기는 게 불편하다면 건너뛰어도 되지만, 보안에는 훨씬 유리합니다. 추가적으로 궁금한 점이 있을 때는 AI 채팅봇에게 물어보며 참고하는 것도 좋습니다.

부모님이나 할아버지·할머니를 도와준다면. 아마 “이거 좀 봐줄래?” 하는 연락이 가장 먼저 올 분이실 거예요. 먼저 규칙을 하나 정하세요. 이상한 문자가 오면 절대 터치하지 말고 저에게 그대로 알려주시면, 제가 공식 채널을 통해 정확히 확인해 드리는 거죠. 보호나라 카카오톡 채널과 118 신고 번호도 미리 공유해 주세요. 사기꾼들은 항상 급박함과 비밀을 이용하죠. 그래서 혼자 안고 고민하기보다 누군가에게 메시지를 보여주고 확인받는 습관이 그 어떤 기술보다 훨씬 안전합니다. 가족을 지키는 AI 음성 피싱과 가족 보호법 가이드와 함께 읽으면 더 완벽한 대비가 가능합니다.

소규모 사업을 운영한다면. 사기꾼들은 택배 기사, 은행 직원, 고객 사칭을 하고, 회사 직원들도 같은 문자를 받을 수 있어요. 첫 번째로 ‘세 줄 행동 원칙’(문자 링크 절대 누르지 않기 → 공식 앱 또는 알려진 번호로 직접 확인하기 → 즉시 신고하기)을 한 장에 정리해 팀원들이 항상 볼 수 있는 곳에 붙여 두세요.

온라인에서 물건을 판매하신다면. 사기꾼들은 ‘입금 확인 요청’, ‘택배 안내’ 문자로 판매자를 노립니다. 절대 문자에 포함된 링크로 결제나 입금을 확인하지 마세요. 반드시 내 은행 앱이나 판매 플랫폼에 직접 접속해서 확인해야 합니다.

취업을 준비 중이라면. 상대방으로부터 갑자기 온 ‘구체적 내용은 없고 조건만 좋은’ 일자리 제안 문자는 전형적인 경고 신호입니다. 지원은 반드시 기업 공식 채용 페이지에서만 하세요. 그리고 ‘업무 완수를 위한 수수료’라는 명목으로 절대 돈을 송금하지 마십시오.

자주 받는 ‘번호 잘못 누르셨어요’나 ‘엄마, 폰 고장 났어’ 같은 문자가 있다면. 무시하고 번호를 차단하세요. 대부분 AI 기반 자동화 패턴이 여기서는 약점을 보이고, 겉보기엔 전혀 해롭지 않아 보이는 첫 메시지가 결국 비싼 실수로 이어지는 경우입니다.

예상치 못한 상황과 해결 가이드

텍스트를 동그라미로 표시했는데 결과가 안 나옵니다. 구글은 ‘확신도(confidence)‘가 일정 수준 이상일 때만 평가 결과를 보여줍니다. 결과가 없다고 해서 무조건 안전하거나 위험한 것은 아닙니다. 일단 ‘확인 불가’로 간주하고, 공식 채널로 직접 조회하거나 채팅봇에 다시 던져 한 번 더 검토해 보세요.

내 안드로이드 폰엔 서클 투 서치(Circle to Search) 기능이 없어요. 모든 안드로이드 기기가 이 기능을 탑재한 것은 아닙니다. 스크린샷을 찍어 구글 앱 내 ‘구글 렌즈(Google Lens)‘로 분석하면 됩니다. 아이폰 사용자들도 흔히 이용하는 방법이니 안심하고 사용해 보세요.

AI는 괜찮다고 하는데 왠지 불안합니다. 직감을 믿고 반드시 공식 앱이나 이미 알고 있는 번호로 직접 확인하세요. F-Secure의 테스트 결과에서도 알 수 있듯, 동일한 입력에도 채팅봇이 한 번은 신중하게, 다음 번에는 다소 가볍게 답변을 내놓는 경우가 있습니다.

정상 메시지인데 사기로 잘못 판단했어요. 2단계 인증 코드나 등록해 둔 배송 알림, 병원 예약 안내문처럼 링크와 코드, 긴급성이 포함된 정통 메시지는 오경보될 가능성이 높습니다. 무시하기보다 공식 앱에서 상태를 먼저 확인하세요. 일부 기업은 공식 단축번호를 홈페이지에 게시하기도 하니 참고하시면 좋습니다.

지인에게 보내는 연락인데 내 연락처 번호로 왔어요? 친구 번호라도 도용당했거나 해킹되었을 수 있습니다. 익숙한 상대방이 갑자기 자금 이체나 코드 제공, 링크 클릭 부탁을 한다면 절대 답장하지 말고 기존에 알고 있는 번호로 직접 전화를 걸어 확인하세요.

외국어로 된 문자가 도착했습니다. Gemini를 비롯한 주요 AI는 다국어를 지원하지만, 언어마다 정확도가 다를 수 있습니다. 원문을 그대로 붙여넣고 “무엇을 요구하는지 요약해 줘”라고 요청하는 게 첫 단계로 좋습니다. 구글 서클 투 서치는 화면에 보이는 대로 인식하므로, 기기별 지원 언어 목록을 미리 확인해 두세요.

스크린샷을 찍었다가 사진첩에 자동으로 저장되더라고요. 클라우드 백업과 연동되어 있을 수 있으니, 확인이 끝난 뒤에는 꼭 삭제해 주세요. SNS나 카카오톡 등으로 공유할 때는 발신자 번호가 노출되지 않도록 반드시 모자이크 처리하거나 자르는 습관을 들이시는 게 좋습니다.

실수로 링크를 누르고 말았어요. 당황하지 마시고 바로 창을 닫고 아무 정보도 입력하지 마세요. 비밀번호를 입력했다면 공식 사이트나 앱에서 즉시 변경하시고, 카드 정보를 넣었다면 카드 뒷면에 적힌 고객센터로 바로 연락하세요. 해당 문자는 앞서 소개한 신고 경로로 반드시 접수해 주세요.

이 기술로 해결할 수 없는 한계

번호 뒤에 있는 실제 사람을 알아볼 수는 없습니다. AI는 텍스트의 내용만 읽어낼 뿐, 정작 누가 보냈는지까지는 알 수 없어요. 해킹당한 지인 연락처나 번호 위조된 곳에서 온 메시지라면 충분히 완벽하게 위장될 수 있습니다.

서두르지 않는 장기 사기에는 약점이 있죠. 번호 착오나 로맨스 사기는 금전 요청이 있기 전까지 여러 차례 대화를 나누며 점진적으로 신뢰를 쌓아갑니다. 그 과정에서 개별 메시지는 전혀 위험해 보이지 않거든요.

검증된 정확도를 갖춘 탐지기는 아닙니다. 현재 해당 도구들이 사기성 문자를 얼마나 잘 찾아내는지 공인된 수치는 공개되어 있지 않으며, 실행할 때마다 결과가 다소 달라질 수 있어요. 구글의 기능 역시 확신이 서지 않을 때는 아예 판단 자체를 유보하죠.

문자가 도착하는 것을 원천 차단하지는 않습니다. 실제 차단은 기본 차단 기능이나 통신사 제공 필터 서비스를 활용할 때 효과적이에요. AI 분석은 이미 화면에 도달한 메시지를 확인하고 대처할 때 힘을 발휘하는 도구입니다.

이미 송금한 돈은 돌려받을 수 없습니다. 일단 거래가 성사되고 돈이 이동했다면 AI로는 어쩔 수 없어요. 이때는 즉시 은행에 연락하고 경찰서에 신고하는 것이 가장 중요한 첫걸음입니다. 기업 결제 관련 사기 사례의 경우, 동일한 문제가 이메일로 발생할 때를 대비한 회계 담당자와 에이전트를 위한 가이드를 참고하시면 도움이 됩니다.

FAQ

ChatGPT로 문자가 스미싱인지 확인할 수 있을까요? 메시지를 읽어보고 긴급함이나 이상한 링크, 금전 요구 사항 같은 징후를 짚어주며 메시지가 궁극적으로 원하는 바가 무엇인지 설명해 줍니다. 다만 발신자의 신원을 직접 검증해 주지는 못하며, 실행할 때마다 답변이 약간씩 달라질 수 있다는 점도 참고하세요. 보조 판단용 도구로 활용하는 것이 가장 현명합니다.

안드로이드 폰에서 Circle to Search로 문자를 확인하려면 어떻게 해야 할까요? 해당 기능이 탑재된 기기에서 홈 버튼이나 네비게이션 바를 길게 누른 뒤, 의심 가는 텍스트 주변을 동그랗게 그리면 됩니다. 구글은 답변에 대한 신뢰도가 충분히 높을 때만 평가 결과와 권장 조치 사항을 담은 ‘AI 요약(AI Overview)‘을 보여줍니다.

아이폰에서는 스미싱 문자를 어떻게 확인하나요? 먼저 화면 캡처를 한 뒤, 구글 앱(Google app)의 ‘렌즈(Lens)’ 기능을 실행하고 캡처 이미지를 탭하면 됩니다. 대신 ChatGPT, Gemini, Claude 같은 AI 채팅봇에 텍스트를 복사해 붙여넣어 분석받는 것도 좋은 방법입니다. 단, 절대 원본 메시지에 포함된 링크를 직접 탭하지 마세요.

사기성 문자를 채팅봇에 붙여넣는 것이 안전할까요? 메시지 자체를 분석하는 것은 문제없지만, 반드시 본인의 이름, 연락처, 계좌 정보 등은 미리 삭제해야 합니다. 링크는 자동으로 탭되지 않도록 마침표 사이에 대괄호([])를 넣어 표기하고, 사용하는 서비스의 학습 설정(Training settings)도 함께 확인하세요. 우리나라 개인정보보호법 원칙상 타인의 개인정보를 불필요한 외부 서비스에 올리는 것은 피하는 것이 좋습니다.

카카오톡 ‘보호나라’ 채널은 무엇인가요? 한국인터넷진흥원(KISA)에서 운영하는 의심 URL 점검 전용 채널입니다. KISA 안내에 따르면, 카카오톡에 ‘보호나라’ 채널을 추가한 뒤 제공되는 ‘스미싱’ 메뉴를 통해 링크가 안전한지 바로 확인할 수 있습니다. 직접 클릭하지 않고도 점검이 가능하죠.

국내에서 스미싱은 어디에 신고해야 하나요? 스마트폰 기본 제공 스팸 신고 기능이나 통신사 통합 금융사기 신고 센터를 이용하시면 됩니다. 만약 이미 금전적 피해를 입었다면 즉시 경찰청 112나 사이버수사국 사이버범죄신고시스템에 신고하세요. 상담이 필요할 때는 KISA 118로 전화하시면 됩니다.

미국처럼 7726 같은 번호로 신고할 수 있나요? 7726은 미국의 단축 코드(short code)입니다. 국내에서는 앞서 소개한 보호나라 채널이나 통신사 신고 서비스를 이용해 주세요.

이미 링크를 클릭했다면 어떻게 해야 할까요? 아무것도 입력하지 않은 채 바로 창을 닫고, 링크를 통해 어떤 앱도 설치하지 마세요. 만약 계정 정보를 입력했다면 은행 공식 고객센터로 연락해 결제 정지를 요청하세요. 악성 앱이 설치된 경우에도 KISA 118에 즉시 신고하시면 됩니다.

국내에서 가장 많이 유포되는 스미싱 문자 유형은 무엇인가요? 카카오뱅크 2025년 상반기 데이터에 따르면, 개인정보 유출 또는 수집을 사칭한 사례가 37%로 가장 많았습니다. 그다음으로 금융기관 사칭(19%), 기업 및 광고 문구 사칭(18%), 지인 사칭·결혼식 초대장 및 장례식 조의금(12%), 과태료 또는 벌금 사칭(10%) 순이었습니다.

방금 출시된 기능인가요? 아닙니다. 구글은 2025년 12월 2일 Circle to Search와 렌즈(Lens)에 사기성 콘텐츠 검출 기능을 발표했습니다. 2026년 10월에 다시 주목받은 이유는, 관련 기능이 존재한다는 사실을 일깨워 주는 기사들이 공개되었기 때문입니다.

애플에도 비슷한 기능이 있나요? iOS 26부터 알 수 없는 발신자를 별도 폴더로 분류하고 ‘불편물 신고(Report Junk)’ 기능이 지원되지만, 이는 특정 메시지를 AI에게 분석해 달라는 것과 성격이 다릅니다. 아이폰 사용자라면 구글 앱의 렌즈 경로나 AI 채팅봇을 활용하는 것이 현재로서는 가장 실용적인 해결책입니다.

핵심 정리

결제 확인이나 전화 회신을 재촉하는 문자가 오면, 손가락이 버튼으로 향하기 전에 잠시만 멈춰 주세요. 바로 확인할 수 있는 도구를 먼저 꺼내 보는 게 좋습니다. 링크는 KISA의 보호나라에서, 은행별 AI 점검 기능이 있다면 활용하고, 안드로이드는 Circle to Search, 아이폰은 Lens를 이용하세요. 궁금한 점이 생겼다면 편하게 챗봇에게 물어보는 것도 방법입니다. 원본 링크는 숨기고 개인정보를 빼서 분석하면, 나온 결과는 ‘참고용 두 번째 Opinion’ 정도로 받아들이세요. 결국 나를 지키는 것은 단 세 가지 실천입니다. 클릭이나 답장을 절대 하지 말고, 이미 알고 있는 공식 앱이나 연락처로 직접 확인한 뒤, 반드시 신고해 주세요.

배송비 정산이나 가짜 과태료 통보처럼 뻔한 함정에는 도구들이 제 역할을 톡톡히 해냅니다. 반면에 지인 이름으로 도착한 결혼식 초대장이나 “엄마, 폰 고장 났어”처럼 은밀하게 다가오는 수법 앞에서는 가장 취약할 수밖에 없습니다. 이런 순간엔 어떤 앱보다 확실한 건 나만의 원칙입니다. 메시지가 조급하게 행동하라고 재촉한다면, 미련 없이 이미 알고 있는 번호로 바로 전화를 걸어보세요.

AI를 안전하게 활용하는 습관을 길러보고 싶다면, 저희 AI Basics 강좌가 좋은 출발점이 됩니다. Cybersecurity Basics에서는 온라인에서 안전을 지키는 기본기를 탄탄하게 다질 수 있고, AI for Seniors는 주변 어르신들을 도와드릴 때 특히 유용하게 쓰일 거예요.

업데이트 안내: 본 가이드는 2026년 10월 20일 시점을 기준으로 Google의 2025년 12월 공식 발표, 2026년 10월 보도 자료, KISA 및 경찰청 공지사항, 각 서비스 제공업체의 도움말 페이지를 반영해 작성했습니다. 앱 기능과 설정은 수시로 변경되므로 스마트폰 현재 화면을 반드시 다시 한번 확인해 보세요. 카카오뱅크 관련 수치는 약 37,000건의 접수 데이터를 분석한 2025년 7월 보고서 기준입니다.