페이스북을 사칭한 메일이 왔는데, AI 팀원이 보낸 주소를 보고 먼저 걸러냈습니다

이달 초 제 개인 메일함에 페이스북 이름으로 메일 두 통이 와 있었습니다. 제목은 「새 기기 로그인」 알림이었습니다. 누군가 내 계정에 새 기기로 들어왔다는 내용입니다. 이런 메일을 받으면 누구라도 일단 놀라서 링크부터 누르게 됩니다.

저는 그 메일을 열어 보기도 전에 보고를 받았습니다. 저희 팀 AI 에이전트 유현이 먼저 읽고 「가짜입니다」라고 알려 왔습니다.

AI 팀원이 본 것은 제목이 아니라 보낸 주소였습니다

유현이 가짜라고 판단한 근거는 하나였습니다. 보낸 주소입니다.

페이스북이 보내는 메일이라면 보낸 주소의 @ 뒤가 facebook.com이어야 합니다. 그런데 이 두 통은 supportfacebook.pics, supportfacebook.xyz에서 왔습니다. 「facebook」이라는 글자가 들어 있으니 얼핏 보면 맞는 것 같습니다. 하지만 앞에 support가 붙어 있고, 끝이 .com이 아니라 .pics와 .xyz입니다. 페이스북과는 상관없는, 이름만 빌린 주소입니다.

사칭 메일은 대개 보낸 사람 이름을 그럴듯하게 꾸밉니다. 받은편지함에는 「Facebook」이라고만 보이고, 실제 주소는 눌러 봐야 보입니다. 사람은 이름을 보고 판단하는데, 유현은 처음부터 주소를 봤습니다.

신고, 차단, 삭제까지 한 번에

가짜로 확인한 뒤 유현은 두 통을 스팸으로 신고하고, 보낸 주소를 차단하고, 메일을 지웠습니다. 저는 「이런 메일이 왔고, 이렇게 처리했습니다」라는 보고만 받았습니다.

이 일이 가능한 건 유현에게 제 메일함을 읽는 권한을 준 덕분입니다. 업무 메일은 원래 유현이 보고 있었고, 이달 초부터 개인 메일함도 같이 맡겼습니다. 지금은 「메일 확인해 줘」 한마디면 새 메일을 요약해 주면서, 수상한 메일은 따로 골라 보고합니다.

연결은 어렵지 않았습니다. 네이버나 다음 같은 메일 서비스는 설정에서 IMAP이라는 기능을 켜면 다른 프로그램이 메일함을 읽을 수 있습니다. 이때 내 계정 비밀번호를 AI에게 주는 게 아니라, 메일 서비스가 만들어 주는 「앱 전용 비밀번호」를 따로 발급해 씁니다. 그 비밀번호도 AI에게 채팅으로 알려 주지 않고 제가 직접 넣었습니다. 언제든 그 비밀번호만 지우면 연결이 끊깁니다.

직장인이 바로 쓰는 확인 프롬프트

AI 에이전트 팀이 없어도 같은 확인은 할 수 있습니다. 수상한 메일을 받으면 링크를 누르기 전에 메일 화면을 캡처하거나 내용을 복사해서 AI에게 이렇게 물어보십시오.

이 메일이 진짜인지 확인해 줘. 보낸 주소의 @ 뒤가 그 회사 공식 도메인인지부터 보고, 의심되는 점을 3가지 이내로 알려 줘. 링크 주소도 같이 봐 줘.

이때 캡처에는 보낸 사람 이름만이 아니라 실제 주소가 보이게 하는 게 중요합니다. 대부분의 메일 화면에서 보낸 사람 이름을 누르면 실제 주소가 펼쳐집니다.

AI는 이런 것들을 짚어 줍니다. 공식 도메인과 철자가 조금 다른 주소, 회사 이름 앞뒤에 다른 말이 붙은 주소, 「지금 바로」「24시간 안에」처럼 서두르게 만드는 문장, 링크에 걸린 주소와 화면에 보이는 글자가 다른 경우입니다.

그래도 사람이 꼭 해야 할 확인

AI가 「진짜 같습니다」라고 해도 그대로 믿고 링크를 누르지는 마십시오. 두 가지는 사람이 합니다.

첫째, 메일 속 링크가 아니라 앱이나 공식 사이트로 직접 들어가서 확인합니다. 정말 새 기기 로그인이 있었다면 페이스북 앱의 보안 설정에도 똑같이 보입니다. 거기에 없으면 메일이 가짜입니다.

둘째, 회사 업무 메일이라면 보안 담당 부서의 신고 절차를 따릅니다. 개인이 지우고 끝내는 것보다 회사 전체에 같은 메일이 돌고 있는지 알리는 쪽이 중요할 때가 많습니다.

AI가 잘하는 건 의심할 만한 곳을 빠르게 짚는 일입니다. 판단을 끝내는 건 여전히 사람입니다. 저희 팀도 그래서 되돌릴 수 없는 일, 예를 들어 메일을 보내는 일은 정해 둔 기준 안에서만 맡기고 있습니다.

자주 받는 질문

AI에게 개인 메일까지 맡겨도 괜찮나요? 읽고 정리하는 일부터 맡기시길 권합니다. 비밀번호는 계정 비밀번호가 아니라 앱 전용 비밀번호를 쓰고, 그것도 AI에게 채팅으로 알려 주지 말고 직접 넣으십시오. 처음에는 「수상한 메일이 있으면 알려 줘」까지만 맡기고, 지우거나 차단하는 일은 익숙해진 뒤에 넘기면 됩니다.

메일 내용을 AI에게 붙여 넣어도 되나요? 사칭 여부를 확인하는 데는 보낸 주소, 제목, 링크 주소면 충분합니다. 본문에 내 이름이나 연락처, 회사 정보가 있으면 지우고 붙이십시오.

어떤 회사 이름이 자주 사칭되나요? 택배, 은행, 카드사, 그리고 페이스북이나 구글 같은 계정 서비스가 많습니다. 공통점은 지금 당장 눌러야 할 것 같은 제목입니다. 급하게 만드는 메일일수록 보낸 주소부터 보시면 됩니다.

마치며

피싱 메일을 가려내는 습관은 하나면 충분합니다. 보낸 사람 이름이 아니라, 보낸 주소의 @ 뒤를 보는 것입니다. 그 습관을 사람이 매번 지키기 어렵다면, 메일함을 먼저 읽는 AI에게 맡겨 두는 것도 방법입니다.