FBI 경고 — 비밀번호는 안 넘어갔는데 메일함이 열린다

집 현관 도어록을 떠올려 보세요. 번호를 하나만 쓰는 집도 있지만, 요즘 도어록은 번호를 여러 개 등록할 수 있습니다. 청소해 주시는 분한테 손님용 번호를 하나 만들어 드리고, 부모님한테도 하나 드리고요.

여기서 중요한 건 이겁니다. 손님용 번호를 만들어 준 건 도둑맞은 게 아닙니다. 내가 등록한 겁니다. 그리고 나중에 내 번호를 바꿔도, 등록해 둔 손님용 번호는 그대로 살아 있습니다. 지우려면 도어록을 열고 등록된 번호 목록에서 그 번호를 직접 삭제해야 합니다.

오늘 이야기는 계정에서 똑같은 일이 벌어지는 이야기입니다.

무슨 일이 벌어지나 — 화면에 뜨는 건 파란 버튼 하나

사실 미국 FBI의 인터넷범죄신고센터(IC3)가 2026년 9월 1일에 권고문을 냈습니다. 공격자가 피해자에게 계정 접근 권한을 직접 승인하게 만들어 계정을 장악하고 있다는 내용입니다.

사실 순서는 이렇습니다. 메신저로 링크가 하나 옵니다. “자료 확인해 달라”, “본인 확인만 해 달라” 같은 말과 함께요. 파일 공유 서비스나 본인 확인 서비스처럼 보이게 꾸며져 있습니다. 링크를 누르면 진짜 마이크로소프트·구글 로그인 페이지로 이동합니다. 가짜 화면이 아닙니다. 주소창도 진짜입니다.

사실 로그인을 마치면 창이 하나 더 뜹니다. “○○ 문서 저장소가 당신의 메일을 읽고 쓰도록 허용하시겠습니까?” 같은 문구와 파란 버튼입니다. 여기서 허용을 누르면, 공격자의 앱이 승인된 범위만큼 메일과 파일에 계속 접근합니다. 그런데 비밀번호는 공격자에게 넘어가지 않습니다.

추정 도어록으로 옮기면 이렇습니다. 누가 내 번호를 알아낸 게 아닙니다. 내가 손님용 번호를 하나 더 등록해 준 겁니다. 문 앞에서 “번호 하나 새로 넣어도 될까요?“라고 물었고, 내가 확인을 눌렀습니다.

왜 통하나 — 의심할 구석을 안 만든다

피싱이라고 하면 보통 이런 걸 떠올립니다. 주소가 이상하다, 화면이 어딘가 촌스럽다, 한글이 어색하다. 우리가 배운 확인 방법은 전부 “이 화면이 진짜인가” 를 묻는 것들입니다.

사실 그런데 이 수법에서는 로그인 화면이 진짜입니다. 비밀번호도 진짜 회사 서버에 입력됩니다. 그래서 비밀번호를 틀렸다는 오류도, 낯선 곳에서 로그인됐다는 경고 메일도 뜨지 않습니다. 우리가 아는 확인 방법이 하나도 걸리지 않는 자리에서 벌어집니다.

추정 공격자가 노린 건 문을 따는 기술이 아니라 문 주인의 확인 버튼입니다. 도어록도 손님용 번호를 등록할 때 도둑질을 하지 않습니다. 주인이 눌러 주기를 기다릴 뿐입니다.

추정 그래서 알아채기가 어렵습니다. 확인할 수 있는 곳은 사실상 딱 한 군데입니다. 계정 보안 설정에 있는 ‘내 계정에 연결된 앱’ 목록. 도어록의 등록된 번호 목록에 해당하는 자리입니다. 내가 설치한 적 없는 이름이 거기 들어와 있으면, 그게 지금 내 메일을 읽고 있는 겁니다.

비밀번호를 바꾸면 끝날까 — 여기는 조심해서 읽어 주세요

추정 이 대목은 확인된 정도가 다릅니다. 비밀번호와 다단계 인증(휴대폰 인증번호처럼 비밀번호 말고 한 단계 더 확인하는 절차)을 모두 우회하고, 비밀번호를 바꿔도 접근이 끊기지 않아 계정 설정에서 그 앱의 권한을 직접 무효화해야 한다 — 이 내용은 보안 매체 Help Net Security가 보도한 것입니다. FBI 권고문 원문에서는 같은 문장을 확인하지 못했습니다. 그래서 우리는 이걸 “확인된 사실”이 아니라 “보도된 내용” 으로 적습니다.

추정 다만 구조로만 봐도 이해가 되는 이야기이긴 합니다. 내 도어록 번호를 바꾼다고 해서, 이미 등록해 둔 손님용 번호가 지워지지는 않으니까요. 번호 목록에서 지워야 지워집니다.

사실 활동이 2025년 말부터 이어지고 있다는 내용도 FBI가 밝힌 것으로 보도됐습니다. 이 역시 기사에 실린 대목입니다.

규모는 어느 정도인가 — 숫자가 없습니다

사실 여기서 솔직하게 말해야 할 게 있습니다. 권고문에는 피해자 수도, 피해 금액도 없습니다. 그래서 이 글에는 규모를 나타내는 숫자가 한 개도 나오지 않습니다. 다른 곳에서 본 숫자를 가져와 붙이는 대신, 없는 건 없다고 적기로 했습니다.

사실 대신 FBI가 알려준 건 표적입니다. 지금 표적은 언론·학계·정치처럼 알려진 인물, 그리고 그 사람의 가족과 지인입니다. 공격자는 정부 관계자나 기자, 행사 주최자를 사칭해 상용 메신저 앱으로 말을 겁니다.

추정 “나는 유명하지 않으니 상관없다”로 읽으면 절반만 맞습니다. 표적과 수법은 다른 이야기입니다. 지금 겨냥된 사람이 누구인지는 FBI가 말했지만, 이 수법 자체는 구글·마이크로소프트 계정을 쓰는 사람이면 똑같이 통하는 자리에 있습니다. 그렇다고 “지금 누구나 대량으로 당하고 있다”고 말하는 건 과장입니다. 브리프에 그런 근거는 없습니다.

지금 할 일 — 5분이면 됩니다

무섭게 만들려고 쓴 글이 아닙니다. 오늘 할 수 있는 건 두 가지뿐이고, 둘 다 어렵지 않습니다.

1. 등록된 번호 목록을 연다. 구글 계정과 마이크로소프트 계정의 보안 설정에서 ‘타사 앱’ 또는 ‘연결된 앱’ 목록을 여세요. 기억나지 않는 앱, 설치한 적 없는 이름이 있으면 접근 권한을 삭제하면 됩니다. 도어록에서 모르는 번호를 지우는 것과 같습니다.

2. 링크는 다른 길로 확인한다. 모르는 번호나 계정이 보낸 자료 링크는, 보낸 사람에게 전화처럼 다른 경로로 먼저 확인하세요. 그리고 로그인 뒤에 권한 요청 창이 뜨면 — 여기가 진짜 갈림길입니다 — 요청 항목을 한 번 읽고, 허용 대신 취소를 누르세요. FBI의 권고도 같은 이야기입니다. 모르는 연락은 더 의심하고, 보낸 사람 신원을 직접 확인하고, 믿는 앱에만 권한을 주라는 것.

추정 습관 하나만 바꾸면 됩니다. 로그인 화면은 의심하는 법을 이미 배웠으니, 이제 로그인 다음에 뜨는 화면을 한 번 읽는 겁니다. 문이 열린 뒤에 “번호 하나 더 등록할까요?“라고 묻는 창이니까요.

우리가 모르는 것

이 블로그는 모르는 걸 모른다고 적습니다. 이번 건에서 확인되지 않은 것들입니다.

• 피해자 수와 피해 규모. 권고문에 수치가 없습니다. 그래서 이 글에도 없습니다.
• 공격 주체. FBI는 배후 국가나 조직을 지목하지 않았습니다. 우리도 추정하지 않습니다.
• 사칭에 쓰인 메신저 앱 이름. 공개되지 않았습니다. 특정 앱 이름을 대지 않습니다.
• 악성 앱의 이름과 권한 목록 문구. 공개되지 않았습니다. 그래서 “이 이름이 보이면 위험하다”는 식의 목록을 드릴 수 없습니다.
• 국내 사례. 한국 이용자 피해 사례나 네이버·카카오 계정을 노린 사례는 확인되지 않았습니다.
• 표적의 범위. FBI 설명은 “알려진 인물 중심”입니다. 수법이 통하는 범위와 실제로 겨냥된 대상은 다른 이야기이고, 우리는 그 둘을 섞지 않았습니다.

또 하나. 이 글에서 가장 실용적으로 들리는 문장 — “비밀번호를 바꿔도 안 끊긴다” — 은 FBI 권고문 원문이 아니라 보도에서 온 것입니다. 위에서 한 번 적었지만 여기 다시 적습니다.

출처

1차 출처부터 적습니다.

• FBI IC3 — Malicious Cyber Actors Gain Access to Victim Accounts Through Consent Phishing (2026-09-01) · https://www.ic3.gov/PSA/2026/PSA260901
• Help Net Security — Attackers are going after prominent individuals through OAuth phishing, FBI warns (2026-09-02) · https://www.helpnetsecurity.com/2026/09/02/oauth-consent-phishing-fbi-warning/

FBI 권고문 원문을 직접 열어 공격 절차·표적·권고 내용을 확인했고, Help Net Security 기사와 대조했습니다. 두 곳의 서술이 어긋나는 곳은 없었습니다. 다만 비밀번호 변경으로 접근이 끊기지 않는다는 대목은 원문 요약에서 확인되지 않아 보도 내용으로 표시했습니다. 다른 매체 기사 한 건은 접근이 막혀 대조하지 못했습니다.

---

이 글은 2026-09-08 기준 브리프로 작성했습니다. 우리 허니팟 관측이 아니라 공개된 권고문과 보도가 재료여서, 타임라인·MITRE·IOC 블록과 마스킹 IP·자격증명 인용은 넣지 않았습니다 — 그런 자료가 우리에게 없기 때문입니다. 브리프에 없는 수치는 쓰지 않았고, 확인과 보도만을 문단 단위로 구분해 표시했습니다. 공격을 따라 할 수 있는 절차나 주소는 싣지 않습니다.