"제품 구매를 검토 중인데, 담당자와 미팅을 잡고 싶어요." 이런 메일을 받으면 반가운 마음이 먼저 듭니다. 그런데 요즘은 이 반가움을 노린 피싱이 나오고 있습니다. 미팅 예약 피싱은 견적 문의를 미끼로 회사 메일 계정을 훔치는 수법입니다. 이 글에서는 수법이 어떻게 흘러가는지, 그리고 작은 회사가 오늘 바로 챙길 체크리스트 5가지를 정리합니다.
미팅 예약 피싱이란? 견적 문의인 척 오는 새 수법
미팅 예약 피싱은 '구매 문의 → 내부 전달 → 예약 화면 → 가짜 로그인' 순서로 진행됩니다.
보안 업체 포트라(Fortra)의 연구팀이 2026년 9월 말 이 수법을 공개했습니다. 보안 교육 업체 노우비포(KnowBe4)도 10월 13일 뉴스레터에서 이 사례를 경고했습니다. 공격자는 영업 담당자에게 바로 연락하지 않습니다. 먼저 다른 직원에게 말을 겁니다.
| 단계 | 공격자가 하는 일 | 받는 사람이 느끼는 것 |
|---|---|---|
| 1단계 | 구매 의사가 있는 손님처럼 메일을 보냄 | 반가운 영업 기회 |
| 2단계 | 담당자를 연결해 달라고 부탁함 | 도와드려야겠다는 마음 |
| 3단계 | 미팅 예약 링크를 보내며 전달을 요청함 | 평범한 업무 요청 |
| 4단계 | 동료가 전달한 메일로 담당자가 링크를 엶 | 아는 사람이 보냈으니 안심 |
| 5단계 | 날짜를 고르게 한 뒤 회사 메일 로그인 창을 띄움 | 일정 연동에 필요한 절차 같음 |
마지막 로그인 창이 가짜입니다. 여기에 입력한 아이디와 비밀번호가 공격자에게 넘어갑니다. 자세한 내용은 포트라 원문에서 볼 수 있습니다.
한 줄 정리: 미팅 예약 피싱의 목표는 미팅이 아니라 회사 메일 비밀번호입니다.
왜 동료가 전달한 메일도 속기 쉬울까요?
사람은 '누가 보냈는지'를 보고 판단하기 때문입니다.
택배에 비유해 볼게요. 모르는 사람이 준 상자는 한 번 더 살펴봅니다. 그런데 옆집 이웃이 "이거 당신 앞으로 왔던데요" 하고 건네면 그냥 받습니다. 상자 안은 똑같은데, 건넨 사람 때문에 경계가 풀리는 것입니다.
메일도 똑같습니다. 동료가 전달하면 메일 발신자는 회사 사람으로 보입니다. 하지만 메일 안의 링크는 여전히 처음 보는 외부 사이트입니다. 포트라 연구팀도 "단계 하나하나는 익숙해서 전체가 피싱처럼 느껴지지 않는다"고 설명했습니다.
여기서 알아 둘 용어를 표로 정리합니다.
| 용어 | 쉬운 뜻 | 비유·예시 |
|---|---|---|
| 피싱 | 진짜처럼 꾸민 메일·화면으로 정보를 빼가는 수법 | 은행 직원인 척 걸려 온 전화 |
| 도메인 | 인터넷 주소의 이름 부분 | 가게 간판에 적힌 상호 |
| 계정 탈취 | 남이 내 아이디로 로그인하는 것 | 내 가게 열쇠를 복사해 간 상황 |
| 2단계 인증 | 비밀번호 뒤에 휴대폰 확인을 한 번 더 받는 장치 | 현관문 열쇠에 번호키를 하나 더 단 것 |
한 줄 정리: 메일을 건넨 사람이 아니라, 링크가 가리키는 주소를 보세요.
그래서 우리 가게에는? 견적 문의를 받는 작은 회사가 노리기 좋은 이유
견적 문의를 자주 받는 회사일수록 이 수법에 걸리기 쉽습니다.
작은 회사는 한 사람이 여러 일을 맡습니다. 경리 담당자가 문의 메일을 받고, 사장님에게 전달하는 일이 흔합니다. 문의 하나하나가 매출이라 빨리 응대하고 싶은 마음도 큽니다. 공격자는 바로 이 점을 노립니다.
예를 들어, 직원 5명인 인테리어 업체를 떠올려 보세요. 홈페이지 문의 양식으로 "사무실 리모델링 견적을 받고 싶다"는 메일이 들어옵니다. 실장님은 "대표님께 전달드릴게요"라고 답합니다. 상대가 보낸 예약 링크를 대표님께 넘기고, 대표님은 날짜를 고른 뒤 회사 메일로 로그인합니다. 이 한 번으로 대표 메일함이 공격자 손에 들어갑니다.
메일함이 넘어가면 피해가 커집니다. 거래처에 "계좌가 바뀌었다"는 메일을 대표 이름으로 보낼 수 있습니다. 홈페이지 관리자 계정이나 도메인 계정의 비밀번호 찾기 메일도 그 메일함으로 옵니다.
한 줄 정리: 회사 메일은 다른 모든 계정의 열쇠 꾸러미라서 더 지켜야 합니다.
미팅 예약 링크가 로그인을 요구하면 어떻게 하나요?
예약 화면에서 회사 메일 로그인을 요구하면, 그 창은 닫고 아는 경로로 다시 확인하세요.
정상적인 예약 서비스는 손님이 시간을 고를 때 내 회사 메일 로그인을 요구할 이유가 거의 없습니다. 예약을 받는 쪽은 상대방이기 때문입니다. 포트라도 "시간을 고른 뒤 업무 계정 로그인을 요구하면 그 페이지가 아닌 알려진 경로로 확인하라"고 권했습니다.
이럴 땐 이렇게 하세요.
- 로그인 창을 닫습니다.
- 주소창의 도메인을 확인합니다.
- 평소 쓰는 메일 사이트를 즐겨찾기로 직접 엽니다.
- 문의한 사람에게 전화번호로 미팅 일정을 다시 확인합니다.
주소창 확인이 어렵다면 기준 하나만 기억하세요. 처음 보는 주소에서 회사 비밀번호를 묻는다면 일단 멈춥니다. 진짜 손님이라면 전화 한 통으로도 미팅은 충분히 잡힙니다.
한 줄 정리: 손님이 예약하는 화면에서 내 비밀번호를 묻는다면 순서가 거꾸로 된 것입니다.
이미 비밀번호를 넣었다면 지금 할 일 순서
비밀번호를 넣었다면 30분 안에 아래 순서대로 움직이세요.
시간이 늦을수록 공격자가 메일함을 둘러볼 시간이 늘어납니다. 당황하지 말고 순서대로 하시면 됩니다.
- 다른 기기에서 회사 메일 비밀번호를 바꿉니다.
- 메일 설정에서 '로그인 기기'나 '최근 활동'을 열어 모르는 기기를 로그아웃시킵니다.
- 메일 자동 전달 규칙이 새로 생겼는지 확인하고 지웁니다.
- 2단계 인증을 켭니다.
- 같은 비밀번호를 쓰던 홈페이지 관리자, 도메인, 결제 계정도 바꿉니다.
- 거래처에 "계좌 변경 메일은 전화로 확인해 달라"고 알립니다.
3번은 놓치기 쉽습니다. 자동 전달 규칙은 받은 메일을 다른 주소로 몰래 넘기는 설정입니다. 이 규칙이 남아 있으면 비밀번호를 바꿔도 메일이 계속 새어 나갑니다. 피해가 의심되면 한국인터넷진흥원 상담 전화 118에서 도움을 받을 수 있습니다.
한 줄 정리: 비밀번호 변경, 기기 정리, 자동 전달 삭제까지 해야 문이 제대로 잠깁니다.
미팅 예약 피싱 대비 체크리스트 5가지
아래 5가지는 오늘 10분이면 끝낼 수 있습니다.
- □ 회사 메일과 홈페이지 관리자 계정에 2단계 인증 켜 두기
- □ 직원 단톡방에 "예약 화면에서 회사 비밀번호를 묻으면 닫기" 한 줄 공지하기
- □ 외부 문의를 동료에게 넘길 때 링크 대신 상대 연락처를 전달하기
- □ 메일 자동 전달 규칙 목록을 열어 모르는 규칙이 없는지 보기
- □ 거래처 계좌 변경 요청은 전화로 확인한다는 원칙 정하기
홈페이지 계정 정리나 관리자 비밀번호 점검을 맡기고 싶다면 홈페이지 유지보수 안내에서 건별 작업 항목을 확인할 수 있습니다.
한 줄 정리: 2단계 인증과 한 줄 공지, 이 두 가지가 가장 값싼 보안입니다.
자주 묻는 질문
미팅 예약 링크는 모두 피싱인가요?
아닙니다. 대부분의 예약 링크는 정상입니다. 문제는 날짜를 고른 뒤 내 회사 메일 로그인을 요구하는 경우입니다. 이 1가지 신호만 보여도 창을 닫고 전화로 확인하세요.
동료가 전달한 메일인데 왜 의심해야 하나요?
동료는 메일을 건넸을 뿐 링크를 검사한 것이 아니기 때문입니다. 발신자가 회사 사람이어도 링크 주소는 외부 사이트일 수 있습니다. 링크를 누르기 전 주소의 도메인을 한 번 확인하세요.
2단계 인증을 켜면 미팅 예약 피싱을 완전히 막을 수 있나요?
완전히 막지는 못하지만 피해를 크게 줄입니다. 비밀번호만 털렸을 때는 공격자가 로그인하기 어려워집니다. 다만 인증 번호까지 가짜 화면에 넣으면 소용이 없으니, 로그인 창 자체를 의심하는 습관이 먼저입니다.
피해가 의심되면 어디에 신고하나요?
한국인터넷진흥원 118 상담센터에 먼저 연락하세요. 24시간 상담을 받을 수 있습니다. 신고 전에 받은 메일, 링크 주소, 입력한 시각을 메모해 두면 상담이 빨라집니다.
한 줄 정리: 의심되면 닫고, 전화로 확인하고, 이미 눌렀다면 30분 안에 비밀번호부터 바꾸세요.
홈페이지 문의 양식이나 관리자 계정 보안이 걱정된다면 무료 견적 상담에서 우리 회사 상황에 맞는 방법을 편하게 물어보세요.
사진: Unsplash (photo-1649298173603-9c95aa950879, photo-1714880003292-17685b9999b6, photo-1601342630314-8427c38bf5e6)