SecurityHeroblog
보안 상식15조회

설치 파일 대신 '붙여넣으세요'가 떴다면, 그 창이 사기다

인증 배지가 붙은 공식 계정 광고를 눌렀는데 설치 파일 대신 명령어를 붙여넣으라는 창이 떴습니다. 붙여넣는 손은 내 손이지만 나가는 건 내 비밀번호·메모·코인 지갑입니다. 이틀 동안 108건이 올라온 이 수법을 학교 사물함 하나로 풀어봅니다.

학교 사물함에 쪽지가 붙어 있다고 해 봅시다. 학교 도장이 찍혀 있습니다. “사물함을 새로 배정합니다. 옮기려면 지금 쓰는 자물쇠 번호를 아래 칸에 적어 문에 붙여 두세요.” 도장이 진짜라서 의심이 안 갑니다. 번호를 적어 붙입니다. 그날 밤 사물함이 비워집니다.

자물쇠를 부순 사람은 없습니다. 번호를 적은 건 내 손입니다. 그리고 학교는 그런 쪽지를 붙이지 않습니다.

이번 주 뉴스에 나온 수법이 딱 이겁니다. 쪽지는 광고였고, 도장은 인증 배지였고, 번호를 적어 붙이는 일은 명령어 붙여넣기였습니다. 순서대로 보겠습니다.

무슨 일이 벌어지는가 — 내 화면에서

사실 레딧(해외 커뮤니티 사이트)에 광고가 하나 뜹니다. 올린 계정은 HBO Max(미국 스트리밍 서비스) 공식 계정입니다. 인증 배지도 붙어 있습니다. 인증 배지란 “이 계정은 진짜 그 회사가 맞다”고 사이트가 확인해 준 표시입니다. 광고는 “맥용 HBO Max 앱”을 받으라고 합니다.

사실 광고를 누르면 진짜와 비슷하게 꾸민 사이트로 갑니다. 다운로드 버튼을 누릅니다. 그런데 설치 파일이 내려오지 않습니다. 대신 회색 안내창이 뜹니다. “터미널을 열어 아래 명령어를 붙여넣고 엔터를 누르세요.” 터미널은 맥에서 글자로 컴퓨터에 명령을 내리는 검은 창입니다. 윈도우 사용자에게는 다른 안내가 뜹니다. 실행창(프로그램 이름을 쳐서 바로 여는 작은 창)이나 PowerShell(윈도우에서 터미널 역할을 하는 파란 창)에 붙여넣으라고 합니다.

여기서 사물함 쪽지를 떠올려 보세요. 쪽지는 “번호를 적어 붙여라”고 시켰습니다. 이 창은 “명령어를 붙여넣어라”고 시킵니다. 둘 다 내 손으로 하게 만듭니다. 그게 이 수법의 전부입니다.

왜 통하는가

추정 첫째, 도장이 진짜였기 때문입니다. 계정은 가짜가 아니라 탈취된 진짜 공식 계정이었습니다. 인증 배지는 “이 계정이 그 회사 것”이라는 뜻이지 “지금 이 계정을 쓰는 사람이 그 회사 사람”이라는 뜻은 아닙니다. 사물함 쪽지의 도장이 진짜여도, 도장을 훔친 사람이 찍었을 수 있는 것과 같습니다.

추정 둘째, 앱을 찾던 사람의 마음을 그대로 이용했기 때문입니다. “설치하려면 이걸 하세요”라는 말은 설치 화면에서 흔히 보는 말입니다. 그래서 한 단계가 더 붙어도 이상하게 느끼기 어렵습니다. 그런데 정상 설치는 파일을 받으면 끝입니다. .dmg나 .exe 같은 설치 파일이 내려오거나, 앱스토어로 넘어가거나. 둘 중 하나입니다. 명령어를 나한테 시키는 일은 없습니다.

사실 셋째, 미끼가 하나가 아니었기 때문입니다. 같은 계정이 올린 광고 108건 중 HBO Max 앱으로 꾸민 것은 46건입니다. 나머지는 OpenAI Codex 같은 AI 개발 도구(47건)와 맥 디스크 정리 앱(15건)이었습니다. 스트리밍 앱을 안 쓰는 사람에게는 다른 쪽지가 붙어 있었던 셈입니다. 쪽지 내용은 ’사물함 배정’이었다가 ’급식 신청’이었다가 바뀌지만, 마지막 줄은 늘 같습니다. “번호를 적어 붙이세요.”

사실 광고 주소도 단서였습니다. 공식 주소가 아니라 hbomaxx처럼 철자가 한 글자 다른 주소였습니다. 급하게 누르면 놓치기 쉬운 차이입니다.

붙여넣으면 무엇이 나가나

사물함 안에 뭐가 들어 있었는지 봅시다. 실제로 털리는 건 이런 것들입니다.

사실 맥에서는 정보탈취 악성코드가 깔립니다. 정보탈취 악성코드란 컴퓨터에 저장된 비밀 정보를 긁어서 밖으로 보내는 프로그램입니다. 이번 것(MacSync)이 노린 목록은 이렇습니다. 브라우저에 저장한 비밀번호. 쿠키(로그인 상태를 기억하는 작은 표 — 이걸 훔치면 비밀번호 없이도 내 계정에 들어갈 수 있습니다). 파이어폭스 프로필. 텔레그램 데이터. 애플 메모. 그리고 맥 자체의 비밀번호. 사물함으로 치면 지갑, 휴대폰, 일기장까지 다 가져간 겁니다.

사실 윈도우에서는 로더(InstallFix)가 먼저 들어옵니다. 로더는 진짜 악성코드를 뒤에서 불러오는 심부름꾼입니다. 그 뒤에 정보탈취 악성코드(Amatera)가 메모리에 올라갑니다. 파일로 남기지 않고 실행 중인 프로그램 안에 숨어 도는 방식입니다. 컴퓨터를 켤 때마다 다시 실행되도록 예약 작업도 걸어 둡니다. 한 번 들어오면 재부팅해도 안 나간다는 뜻입니다.

사실 암호화폐를 쓰는 사람은 한 번 더 당합니다. 클리퍼 2종이 함께 뿌려졌습니다. 클리퍼는 내가 복사한 코인 지갑 주소를 붙여넣는 순간 공격자 주소로 바꿔치기하는 프로그램입니다. 송금 버튼을 누르는 손은 내 손인데 돈은 엉뚱한 곳으로 갑니다. 여기에 Ledger·Trezor Suite·Exodus(암호화폐 지갑 프로그램들)를 흉내 낸 가짜 앱도 있었습니다. 이 가짜 앱은 복구 문구를 노립니다. 복구 문구는 지갑을 통째로 되살릴 수 있는 비밀 문장입니다. 이걸 넘기면 지갑 전체가 넘어갑니다.

사실 연구진은 이 활동을 더 큰 작전의 일부로 봅니다. 가짜 다운로드, 정보탈취, 클리퍼, 그리고 수시로 바뀌는 지휘 서버(악성코드가 다음 지시를 받으러 가는 서버)를 하나로 묶어 ’PasteSwitch’라고 이름 붙였습니다. HBO Max 광고는 그 작전이 드러난 계기일 뿐입니다.

숫자로 본 규모

숫자는 전부 1차 출처(Hudson Rock 보고서)에 있는 것만 가져왔습니다. 오른쪽 칸을 보세요 — 숫자 하나가 무슨 뜻인지 붙여 두었습니다.

숫자 무엇 견주면
108건 탈취된 공식 계정 하나가 올린 악성 광고 수 이틀 동안이니 한 시간에 두 건 넘게 새로 올라온 셈. 한 번 뜨고 사라진 게 아니라 피드에 계속 있었다
약 48시간 광고가 돌아간 기간 금요일 저녁부터 일요일 저녁까지. 누군가 이상하다고 신고할 때까지 주말 하나가 통째로 열려 있었다
46 / 47 / 15 HBO Max 위장 / AI 개발 도구 위장 / 맥 정리 앱 위장 HBO Max 위장은 절반이 안 된다. AI 도구 위장이 오히려 한 건 더 많다. 스트리밍 앱을 안 써도 걸릴 수 있다
2종 함께 뿌려진 코인 주소 바꿔치기 클리퍼 수 하나만 잡아도 다른 하나가 남는다

표에서 보이는 건 두 가지입니다. 이 광고는 실수로 한 번 올라간 게 아니라 이틀 내내 꾸준히 올라갔습니다. 그리고 미끼의 절반 이상은 HBO Max와 상관없는 앱이었습니다.

사실 이 광고 108건은 광고가 떴다는 숫자입니다. 몇 명이 눌렀는지, 몇 명이 실제로 명령어를 붙여넣었는지는 어디에도 없습니다. 노출 수와 피해자 수는 다른 값입니다.

광고가 9월 6일 무렵 시작됐다고 보도됐습니다. 처음 이상함을 눈치챈 사람은 r/cybersecurity(레딧의 보안 커뮤니티) 이용자였다고 보도됐습니다. 공식 계정이 ‘맥용 HBO Max 앱’ 광고를 올린 것 자체를 이상하게 여겼다고 합니다. Reddit은 보고를 받은 뒤 광고를 내리고 계정을 보호 조치했으며 조사 중이라고 보도됐습니다. 이 세 가지는 언론 보도 기준이고 Reddit 공식 문서로는 대조하지 못했습니다.

내가 지금 할 일

사물함 쪽지 이야기로 돌아갑니다. 학교는 자물쇠 번호를 적어 붙이라고 하지 않습니다. 앱도 명령어를 붙여넣으라고 하지 않습니다. 할 일은 두 가지입니다.

1. “명령어를 복사해서 붙여넣으라”고 하면 그 창을 닫는다. 앱 설치든, 오류 해결이든, “로봇이 아닙니다” 확인이든 명목은 상관없습니다. 예외 없이 닫습니다. 정상 설치는 파일을 받으면 끝납니다. 나한테 일을 시키는 순간이 신호입니다.

2. 앱은 광고 링크가 아니라 앱스토어나 제조사 공식 주소를 직접 쳐서 받는다. 광고를 눌러서 가지 말고, 주소창에 직접 칩니다. 인증 배지가 있어도 계정 자체가 탈취됐을 수 있습니다. 배지는 안전 보증이 아닙니다.

이미 붙여넣었다면. 브라우저에 저장된 비밀번호를 지금 바꿉니다. 암호화폐 지갑이 있다면 새 지갑으로 옮깁니다. 훔친 쪽이 먼저 쓰기 전에 해야 합니다. 사물함 번호를 적어 붙였다는 걸 깨달았으면, 물건을 옮기는 게 먼저지 쪽지를 떼는 게 먼저가 아닙니다.

우리가 모르는 것

이 글은 남의 취재를 바탕으로 썼습니다. 아직 모르는 것은 모른다고 적습니다.

  • HBO Max 레딧 계정이 어떻게 탈취됐는지. 정보탈취 악성코드에 걸린 로그인인지, 비밀번호 재사용인지, 내부 사정인지 — 보도도 1차 출처도 밝히지 않았습니다. 원인을 단정하지 않습니다.
  • 실제로 명령어를 붙여넣어 감염된 사람 수. 어디에도 없습니다. 108건은 광고 수지 피해자 수가 아닙니다.
  • 한국 이용자에게 이 광고가 노출됐는지. 확인된 바 없습니다. “한국에서도 떴다”고 쓰지 않습니다.
  • 공격 주체. PasteSwitch는 연구진이 붙인 작전 이름이지 조직 이름이 아닙니다. 국적·소속은 추정하지 않습니다.
  • HBO Max·워너브라더스디스커버리의 공식 입장. 언론 문의에 답하지 않았다고 보도됐습니다.
  • Reddit의 광고 심사가 왜 탈취 계정의 광고 108건을 통과시켰는지. 알려지지 않았습니다.

확인되지 않은 것: 계정 탈취 경위, 감염자 수, 한국 노출 여부, 공격 주체, HBO Max 측 입장, Reddit 광고 심사 경위. 광고 시작 시점·최초 발견자·Reddit의 조치는 언론 보도 기준이며 1차 문서로 대조하지 못했습니다.

출처

1차 출처부터 적습니다.

이 글은 2026-09-17 뉴스 브리프를 바탕으로 썼습니다. 우리 허니팟 관측이 아니라 위 출처의 보고서·보도에서 사실만 가져와 우리 말로 다시 썼습니다. 숫자는 Hudson Rock 1차 출처에 있는 값만 썼고, 언론 보도에만 있는 내용은 “보도됐습니다”로 구분했습니다. 이 글에는 IP·자격증명·악성 주소·명령어를 싣지 않았습니다 — 따라 할 수 있는 글이 되지 않게 하기 위해서입니다.