회사 메일로 '챗GPT 프로 3개월 무료' 왔다면 누르지 마세요. 진짜 MS 로그인 화면으로 계정 털어 가는 새 피싱(구별법·대처법 총정리)

회사 메일함에 "챗GPT 프로 3개월 무료" 초대장이 왔다면, 누르기 전에 이 글부터 읽어 주세요. 해외에서 오픈AI 행사를 그럴듯하게 흉내 낸 가짜 등록 페이지가 퍼졌는데, 무서운 점은 로그인 화면이 진짜 마이크로소프트(MS) 화면이라는 겁니다. 시키는 대로 코드를 넣고 '승인'을 누르면, 내가 승인한 건 내 로그인이 아니라 해커가 내 회사 계정에 들어오는 요청이 됩니다. 영국 보안업체 푸시시큐리티가 10월 말 포착했고, 뉴시스가 11월 7일 보도했습니다.

푸시시큐리티가 공개한 가짜 '오픈AI 아카데미' 행사 페이지(위)와 MS 인증 코드 안내창(아래). 화면 속 영어 문구를 한국어로 옮겼습니다. 출처: 푸시시큐리티(뉴시스 보도)

국내에서도 '유료 AI를 몇 달 무료로' 주는 행사가 실제로 있어서(예: 구글이 고용노동부와 운영한 청년 AI 교육에서 구글 AI 프로 3개월 제공), 진짜와 가짜를 구분하기가 더 어렵습니다. 이 글에서는 이 사기가 어떻게 돌아가는지, 화면에서 어디를 보면 걸러낼 수 있는지, 이미 눌렀다면 무엇부터 해야 하는지 정리했습니다.

한눈에 보기

용어부터 쉽게

사기 순서(마이크로소프트 버튼을 누른 경우)

1. 회사 메일로 "오픈AI 마케팅 강연 등록하면 챗GPT 프로 3개월" 초대장이 옵니다.
2. 링크를 누르면 오픈AI 공식 사이트와 똑같이 생긴 행사 페이지가 열립니다.
3. "회사 계정 필요"라며 마이크로소프트로 계속하기를 누르게 합니다.
4. 페이지에 'LQQ6CQA9T' 같은 일회용 코드가 뜨고, 진짜 MS 로그인 창(login.microsoft.com/device)이 열립니다.
5. 코드를 붙여 넣고 회사 이메일로 로그인한 뒤 승인합니다.
6. 이 순간 해커가 시작해 둔 로그인이 승인되어, 해커가 내 회사 계정에 들어옵니다.
7. 이어서 MS 로그인처럼 꾸민 다른 페이지로 보내 비밀번호까지 받아 가려 합니다.

포인트는 4~5단계 화면이 진짜 MS 화면이라는 겁니다. "주소가 microsoft.com이니까 안전하겠지"가 통하지 않습니다.

화면에서 걸러내는 법

이렇게 하세요

1. 무료 이용권 초대장이 오면 링크를 누르지 말고, 주최사 공식 홈페이지에 직접 들어가 같은 행사가 있는지 확인합니다.
2. MS·구글 진짜 화면이 열려도 내가 시작하지 않은 로그인 요청은 승인하지 않습니다.
3. "이 코드를 넣어 주세요"라는 요청이 행사·이벤트 페이지에서 나오면 그 자체로 의심합니다.
4. 회사 계정은 회사 업무에만 씁니다. 개인 혜택 신청에 회사 계정을 넣지 않습니다.

이미 눌렀다면

1. 바로 회사 보안 담당자(IT팀)에게 알립니다. 혼자 해결하려고 시간을 끌지 않는 게 가장 중요합니다.
2. 비밀번호를 바꿉니다.
3. MS는 계정 탈취가 의심되면 기존 로그인 세션을 모두 끊는 등 접근을 차단하라고 권고합니다. IT팀에 '모든 세션 로그아웃'을 요청하세요.
4. 같은 비밀번호를 쓰는 다른 사이트도 바꿉니다.
5. 최근 보낸 메일함·메일 전달 규칙에 내가 만들지 않은 게 있는지 확인합니다.

진짜 무료 혜택 vs 가짜

그대로 복사해 쓰는 요청문

회사 메일로 '챗GPT 프로 3개월 무료' 초대장이 왔어. 아래 메일 내용을 보고
피싱일 가능성이 있는 부분을 항목별로 짚어 줘. 링크는 누르지 않았어.
(메일 본문 붙여넣기, 링크 주소는 빼고)

기기 코드 로그인(device code) 피싱이 뭔지, 회사 동료들에게 공유할 수 있게
비전공자도 이해하기 쉬운 5줄 안내문으로 써 줘.

회사 계정으로 수상한 로그인 요청을 승인해 버렸어.
지금 당장 해야 할 일을 순서대로 체크리스트로 정리해 줘.

자주 묻는 질문

Q. 진짜 MS 화면인데 어떻게 사기예요? 화면은 진짜지만 코드는 해커가 만든 겁니다. 내가 넣고 승인하는 순간 해커의 로그인을 허락하게 됩니다.

Q. 2단계 인증 켜 두면 안전하지 않나요? 이 수법은 내가 직접 승인하게 만들거나, 중간에서 추가 인증 응답까지 가로채서 2단계 인증을 우회합니다.

Q. 개인 챗GPT 계정도 위험한가요? 이번 사례는 회사 계정(MS 365, 구글 워크스페이스)을 노렸습니다. 다만 같은 원리는 개인 계정에도 쓰일 수 있으니, 모르는 코드 승인은 하지 마세요.

Q. 오픈AI가 진짜 무료 이용권을 주는 행사도 있나요? 행사별로 다릅니다. 있다면 오픈AI 공식 사이트에서 확인할 수 있어야 합니다. 메일 링크 대신 공식 사이트에서 직접 찾아보세요.

출처

• 뉴시스, "'챗GPT 3개월 공짜' 클릭 한 번에…회사 메일 다 털렸다" (2026-11-07)
• 푸시시큐리티(Push Security) 공개 화면(뉴시스 보도 인용)
• 인크로스 생성형 AI 이용 조사(2026-10-30, 유료 이용 25.9%, 유료 결제 서비스 중 챗GPT 53.1%, 뉴시스 인용)