바이낸스 피싱 방지 코드(Anti-Phishing Code)는 사용자가 직접 설정하는 4~8자리의 맞춤형 문자열입니다. 설정이 완료되면 바이낸스에서 발송되는 모든 공식 이메일, 시스템 문자(SMS), APP 알림에 이 코드가 포함됩니다. 공격자는 사용자가 설정한 코드를 알 수 없으므로, 그들이 위조한 피싱 메일에는 이 코드가 없거나 잘못된 값이 들어있어 사용자가 한눈에 가짜임을 식별할 수 있습니다. 이는 이메일 피싱에 대응하는 가장 효과적인 방법 중 하나로, 설정에 3분도 채 걸리지 않습니다. 먼저 바이낸스 공식 사이트에 로그인하거나 바이낸스 공식 APP을 설치하세요. 본문에서는 명명 규칙, 설정 단계, 이메일 식별 팁, 이메일 헤더 분석, 업데이트 주기 및 해킹 시 조치 등 7가지 핵심 단계를 상세히 설명합니다.
1. 피싱 방지 코드의 작동 원리
피싱 방지 코드 vs 기타 식별 방식
| 식별 방식 | 원리 | 공격자의 위조 비용 | 추천 |
|---|---|---|---|
| 피싱 방지 코드 | 개인화된 문자열을 이메일에 표시 | 매우 높음 (바이낸스 DB 해킹 필요) | 강력 추천 |
| 공식 도메인 확인 | *.binance.com 확인 |
중간 (유사 도메인으로 혼동 유도) | 병행 권장 |
| SPF/DKIM/DMARC | 메일 서버 서명 검증 | 중간 (대부분의 메일 서비스 자동 검증) | 자동 적용 |
| 인증된 발신자 표시 | Gmail의 방패 아이콘 등 | 중간 | 보조 참고용 |
| 2차 채널 교차 확인 | APP 내 공지/알림 동시 확인 | 매우 높음 | 고위험 조작 시 필수 |
피싱 방지 코드의 핵심은 사용자마다 코드가 다르다는 점입니다. 이는 각 사용자에게 발급되는 일종의 일회성 '신분 인장'과 같은 역할을 합니다.
정상적인 이메일의 모습
기능을 활성화하면 바이낸스에서 발송한 출금 인증 이메일 본문 하단에 다음과 같은 문구가 나타납니다:
Anti-Phishing Code: Sky7Whale-FV
This is your unique code. Binance emails will always include it.
If an email claims to be from Binance but has a different or missing code, DO NOT CLICK.
피싱 메일은 AntiPhishing: 8888과 같이 그럴싸해 보이는 자리 표시자를 사용하거나, 아예 기재하지 못합니다.
2. 설정 단계 안내
웹(PC) 설정 방법
- binance.com 로그인 → 오른쪽 상단 프로필 아이콘 → 보안(Security) 클릭.
- 하단 계정 보안 섹션 → 피싱 방지 코드(Anti-Phishing Code) 항목 찾기.
- 활성화 / 수정 클릭.
- 팝업창에 사용할 문자열 입력 (4~8자리, 영문 대소문자 + 숫자만 가능, 공백 불가).
- 다음 인증 완료:
- 계정 비밀번호
- Google Authenticator OTP 번호
- 이메일 인증번호
- 모든 인증이 완료되면 즉시 적용됩니다.
APP 설정 방법
바이낸스 공식 APP 실행 → 왼쪽 상단 프로필 아이콘 → 보안 → 피싱 방지 코드 → 웹과 동일한 절차 진행 (보통 60초 내 완료).
코드 명명 규칙 및 권장 사항
| 유형 | 예시 | 평가 |
|---|---|---|
| 너무 단순한 코드 | 123456, abcdef |
공격자가 무작위로 맞출 확률 존재 |
| 개인 정보 기반 | 생일, 이름 이니셜 | 사회 공학적 공격으로 노출될 위험 |
| 일반 브랜드 키워드 | Binance, Crypto |
공격자가 우연히 같은 코드를 사용할 가능성 |
| 권장 조합 | Sky7Whale, FVLock2026 |
대소문자 혼합 + 숫자 조합 |
핵심 원칙: 독창적이어야 하며, 타인과 공유하지 말고, 다른 사이트 비밀번호와 중복되지 않게 설정하세요.
3. 공식 이메일 식별 프로세스
바이낸스에서 보낸 것으로 의심되는 메일을 받으면 다음 5단계를 거치세요:
1단계: 피싱 방지 코드 확인
본문 가장 하단이나 상단에서 Anti-Phishing Code를 찾아 본인이 설정한 값과 대조하세요. 한 글자라도 다르거나 대소문자 차이, 숫자가 틀리면 위조된 것입니다.
2단계: 발신자 도메인 확인
공식 이메일 도메인은 @binance.com, @post.binance.com, @ses.binance.com입니다. 흔한 위조 사례:
@binancee.com(e가 하나 더 있음)@binance-team.com@bonance.com(i 대신 o 사용)
3단계: 이메일 헤더 확인 (고급)
Gmail에서 오른쪽 상단 점 세 개 → 원본 보기를 클릭하여 다음 항목을 확인하세요:
Authentication-Results: mx.google.com;
spf=pass
dkim=pass [email protected]
dmarc=pass header.from=binance.com
세 항목 모두 'pass'여야 진짜 바이낸스 메일입니다. 하나라도 'fail' 또는 'none'이면 즉시 스팸으로 신고하세요.
4단계: 링크 주소 확인 (마우스 호버)
이메일 내의 '인증하기', '자세히 보기' 버튼 위에 마우스를 올리고(클릭 금지) 브라우저 왼쪽 하단에 표시되는 실제 URL이 accounts.binance.com/*인지 확인하세요.
5단계: 앱 내 메시지 센터 확인
고액 출금이나 비밀번호 변경 같은 중요한 알림은 바이낸스 앱 내의 메시지 센터에서도 확인할 수 있습니다. 앱 내 메시지는 위조가 불가능하므로 가장 확실한 대조 수단입니다.
4. 이메일 헤더 분석 사례
다음은 정상적인 공식 메일 헤더의 일부입니다:
From: "Binance" <[email protected]>
Subject: [Binance] Withdrawal Confirmation - Anti-Phishing Code: Sky7Whale-FV
DKIM-Signature: d=binance.com; s=ses-2024; ...
핵심 포인트: d=binance.com과 DKIM 서명이 완전하며, IP 주소가 바이낸스의 SMTP 서비스 제공업체인 Amazon SES 소속이어야 합니다.
5. 수정 주기 및 교체 전략
| 상황 | 권장 교체 주기 |
|---|---|
| 일상적인 사용 | 주기적인 변경은 불필요 |
| 이메일 유출 의심 (스크린샷 노출 등) | 즉시 변경 |
| 이메일 주소 변경 시 | 함께 변경 권장 |
| 고객센터 상담/이의 제기 완료 후 | 상담 종료 후 변경 |
변경 시에는 항상 2FA 및 이메일 인증이 필요하여 무단 수정을 방지합니다.
6. 피싱 공격을 당했을 때의 조치
실수로 피싱 링크를 클릭하거나 비밀번호를 입력했다면:
- 즉시 바이낸스 로그인: binance.com 주소를 직접 입력하여 접속 후 비밀번호 변경.
- 모든 기기 강제 로그아웃: 보안 → 기기 관리 → 전체 로그아웃.
- API 키 확인: 모르는 API 키가 생성되어 있다면 즉시 삭제.
- 2FA 재설정: 기존 2FA가 유효한 동안 보안 수단을 갱신하세요.
- 피싱 방지 코드 변경: 공격자가 기존 코드를 보았을 가능성이 높으므로 새로운 코드로 변경하세요.
7. 흔한 오해와 실수
- 오해 1: 코드가 짧을수록 기억하기 쉽다? 아닙니다. 최소 6자 이상의 혼합 문자가 안전합니다.
- 오해 2: 피싱 방지 코드를 비밀번호와 똑같이 설정한다? 매우 위험합니다. 하나가 유출되면 다른 하나도 노출되는 꼴입니다.
- 오해 3: 웹에서만 설정하면 앱에서는 안 나온다? 최신 버전 바이낸스 앱은 푸시 알림에서도 피싱 방지 코드를 표시합니다.
- 오해 4: 피싱 방지 코드만 있으면 100% 진짜 메일이다? 아닙니다. 도메인, 링크, DKIM 서명까지 종합적으로 판단해야 합니다.
자주 묻는 질문 FAQ
Q1: 피싱 방지 코드의 글자 수 제한이 있나요?
A: 네, 바이낸스는 4~8자리의 영문 대소문자와 숫자 조합을 요구합니다. 공백이나 특수문자, 한글은 사용할 수 없습니다.
Q2: 설정한 코드를 잊어버리면 어떻게 확인하나요?
A: 로그인 → 보안 → 피싱 방지 코드 메뉴에서 2FA 인증을 거친 후 현재 설정된 코드를 확인할 수 있습니다.
Q3: 문자(SMS)나 앱 푸시 알림에도 코드가 포함되나요?
A: 네. 바이낸스 공식 문자나 앱 푸시 알림에도 사용자가 설정한 코드가 포함되어 발송됩니다. 코드가 없거나 틀린 경우 즉시 무시하세요.
Q4: 피싱 방지 코드를 활성화한 후에도 주의할 점은 무엇인가요?
A: 피싱 방지 코드는 이메일 위조를 방지하는 수단입니다. 가짜 사이트(도메인 오타)나 사칭 상담사와의 소통은 막을 수 없으므로, 항상 공식 도메인 접속과 공식 채널 이용 원칙을 지키셔야 합니다.
더 많은 보안 팁이 필요하신가요? 카테고리에서 「보안 강화」 섹션을 방문하여 2FA, 출금 화이트리스트 등의 가이드를 확인하세요.