SecurityHeroblog
보안 상식10조회

아직 열리지 않은 아이폰 듀오 사전예약, 먼저 온 페이지의 정체

애플의 정식 사전예약은 10월 16일에 열립니다. 그보다 먼저 '500달러 쿠폰'을 내건 가짜 예약 페이지가 발견됐습니다. 업데이트를 미룬 아이폰은 이 페이지를 열기만 해도 공격이 시작된다는 분석입니다.

초인종이 울립니다

저녁에 초인종이 울립니다. 문밖에서 누군가 말합니다. “신제품 사전예약 행사예요. 지금 신청하면 500달러 쿠폰을 드립니다.”

조심성 있는 사람은 문을 활짝 열지 않습니다. 안전고리를 건 채로 한 뼘만 엽니다. 전단지만 받고 닫으면 되니까요. 보통은 이걸로 충분합니다.

그런데 그 안전고리가 제조사가 이미 결함을 알린 모델이라면 이야기가 달라집니다. 이 결함에 맞는 도구를 가진 사람이라면 한 뼘 틈으로 고리를 풀 수 있습니다. 내가 응모권에 이름을 적는 동안 문밖의 손은 고리를 만지고 있습니다.

이번 주에 보안업계에서 나온 이야기가 바로 이 장면입니다. 다만 현관문은 내 아이폰입니다. 초인종은 웹페이지 링크입니다.

무슨 일이 벌어지나

사실 보안업체 Malwarebytes가 애플 디자인을 흉내 낸 ‘아이폰 듀오 사전예약’ 페이지를 찾아냈습니다. 9월 29일에 분석 글을 냈습니다. 이 페이지 안에는 DarkSword라는 아이폰 공격 코드가 들어 있었습니다.

사실 페이지는 이렇게 움직입니다.

  • 500달러 쿠폰과 애플케어 포함을 내겁니다. 애플케어는 애플의 수리 보증 서비스입니다.
  • 사파리가 아닌 브라우저로 열면 **“사파리로 열어 주세요”**라고 안내합니다.
  • 이름·이메일·전화번호를 적는 칸이 있습니다.
  • 다 적으면 ‘예약 완료’ 화면이 뜹니다. 하지만 실제 주문은 들어가지 않습니다.

사실 진짜 공격은 그 입력 칸에서 일어나지 않습니다. 취약한 아이폰이라면 페이지를 여는 것만으로 공격 시도가 시작됩니다. 칸을 채우지 않아도 됩니다. 무언가를 내려받지 않아도 됩니다.

추정 현관 비유로 옮기면 이렇습니다. 이름 적는 칸은 응모권입니다. 내 눈을 붙잡아 두는 소품이지요. 진짜 일은 문을 한 뼘 연 순간 그 틈에서 벌어집니다.

사실 공격이 성공하면 무엇을 가져가려 하는지도 Malwarebytes가 분석했습니다. 아래 목록은 그 분석 글에 보도된 내용입니다. 실제 아이폰에서 데이터가 빠져나가는 장면까지 확인된 것은 아닙니다.

  • 키체인에 저장된 비밀번호. 키체인은 아이폰이 나 대신 비밀번호를 기억해 두는 보관함입니다.
  • 애플 메모
  • 메시지·통화기록·연락처·음성사서함·메일·캘린더
  • 위치 기록
  • 설치된 앱 목록
  • 코인 지갑 앱 6종의 데이터 — MetaMask, Phantom, Trust Wallet, Coinbase Wallet, Exodus, Tonkeeper

사실 감염되더라도 화면에는 아무 표시가 없을 수 있습니다. 문을 닫고 나면 안전고리는 멀쩡해 보입니다. 이미 한 번 풀렸다 잠긴 뒤라도 그렇습니다.

왜 이 미끼가 통하나

사실 애플이 발표한 아이폰 듀오의 정식 사전예약일은 10월 16일입니다. 출시는 10월 23일입니다. 한국은 1차 출시국에 들어 있습니다.

추정 그래서 지금이 이 미끼가 가장 잘 먹히는 때라고 봅니다. 이유는 세 가지입니다.

첫째, 기다림. 정식 예약까지 오늘(10월 3일)부터 2주쯤 남았습니다. 기다리는 사람에게 “먼저 예약할 수 있다”는 말은 솔깃합니다. 초인종 소리를 기다리고 있던 집에 초인종이 울린 셈입니다.

둘째, 큰 할인. 500달러 쿠폰은 공식 판매처가 주지 않는 할인입니다. 전단지가 화려할수록 문을 열어 볼 이유가 생깁니다.

셋째, “사파리로 열어 주세요”. 이 공격 코드는 사파리로 페이지를 열 때 작동합니다. 문밖 사람이 “꼭 이 문으로 열어 달라”고 고집한다면, 그 문의 고리에 맞는 도구를 들고 왔다는 뜻입니다. 친절한 안내처럼 보이지만 사실은 공격 조건을 맞추는 단계입니다.

숫자로 보면

사실 이번 사건에서 확인된 숫자는 많지 않습니다. 그래도 하나하나가 할 일과 이어집니다.

숫자 무엇인가 견줘 보면
500달러 가짜 페이지의 쿠폰 금액 공식 판매처는 이런 할인을 주지 않습니다. 금액 자체가 경고 신호입니다
10월 16일 애플 정식 사전예약 시작일 이 날짜 전에 “지금 예약 가능”이라고 하면 가짜입니다
6개 페이지 하나 여는 사이 연달아 쓰이는 아이폰 허점 많아 보이지만, 업데이트 하나로 전부 막힙니다
6종 공격 코드가 노리는 코인 지갑 앱 이 앱을 쓰고 있다면 피해가 곧바로 돈이 됩니다

사실 DarkSword는 새 무기가 아닙니다. 2026년 3월 구글의 위협 분석팀(GTIG)이 공개했습니다. 아이폰의 허점, 즉 취약점 6개를 차례로 엮어 쓰는 공격 묶음입니다. 고리 하나를 풀려면 허점 여러 개를 순서대로 지나야 하는데, 그 순서를 미리 다 이어 붙여 둔 도구 세트라고 보면 됩니다.

사실 그 6개 중 3개는 공개 당시 제로데이였습니다. 제로데이는 제조사도 아직 몰라서 고칠 부품이 하나도 없던 허점을 말합니다.

사실 구글 분석 기준으로 영향을 받는 버전은 iOS 18.4~18.7입니다. iOS 26.3 이상에서는 모두 고쳐졌습니다. 일부는 그보다 먼저 iOS 18.7.2~18.7.3에서 고쳐졌습니다. Malwarebytes는 애플이 “업데이트된 기기는 보고된 DarkSword 공격에서 보호된다”고 밝혔다고 전했습니다.

추정 정리하면 이렇습니다. 고리의 결함은 반년 전에 이미 알려졌습니다. 제조사는 새 고리도 내놨습니다. 이번 페이지가 노리는 건 고리를 아직 안 바꾼 집입니다.

사실 DarkSword는 3월 공개 당시 상용 감시업체와 국가 배후로 의심되는 여러 조직이 썼다고 보고됐습니다. 이번 가짜 페이지를 누가 운영하는지, 그들과 관계가 있는지는 확인되지 않았습니다. 실제 피해자 수도 나오지 않았습니다. 그래서 우리도 숫자를 붙이지 않습니다.

지금 할 일

할 일은 크게 두 가지입니다. 고리를 바꾸는 일, 그리고 초인종에 응하지 않는 일입니다.

1. 고리부터 바꾸기 — iOS 업데이트

  • 설정 > 일반 > 소프트웨어 업데이트에서 최신 iOS로 올립니다.
  • 같은 화면에서 자동 업데이트를 켭니다. 다음 결함이 알려졌을 때 고리가 저절로 바뀌게 해 두는 겁니다.
  • 수상한 사전예약 페이지를 열었던 적이 있다면 아이폰을 한 번 껐다 켭니다.

사실 재시동을 권하는 데는 근거가 있습니다. Malwarebytes는 분석한 코드에서 재부팅 뒤 스스로 다시 살아나는 장치가 보이지 않았다고 밝혔습니다. 다만 이것도 보도된 분석이고, 실기기에서 시험한 결과는 아닙니다.

사실 최신 버전으로 올릴 수 없는 사정이 있다면, 구글은 애플의 **차단 모드(Lockdown Mode)**를 켜라고 권고했습니다. 아이폰의 문단속을 최고 단계로 올리는 설정이라고 생각하면 됩니다.

2. 초인종에 응하지 않기 — 내가 직접 찾아가기

  • 사전예약은 링크를 누르지 않습니다. 주소창에 apple.com을 직접 칩니다.
  • 또는 Apple Store 앱이나 통신사 공식 앱에서만 합니다.

현관 비유로 말하면, 문밖의 사람을 상대하지 않고 내가 직접 매장에 걸어가는 것입니다. 그러면 누가 어떤 도구를 들고 왔든 내 문은 열릴 일이 없습니다.

이런 게 보이면 문을 닫으세요

  • 10월 16일 전인데 “지금 예약 가능”
  • “공식 파트너 전용 500달러 쿠폰”
  • 애플이 팔지 않는 색상이나 모델 옵션
  • 크롬 같은 다른 브라우저에서 “이 브라우저는 제한됨, 사파리로 열어 주세요”

이미 열어 봤고, 코인 지갑이 있다면

  • 새 지갑과 새 복구 문구를 만들고 자산을 옮깁니다. 복구 문구는 지갑을 통째로 되살리는 열쇠 문장입니다.

추정 업데이트는 앞으로 열릴 틈을 막아 줍니다. 하지만 이미 빠져나갔을지 모르는 것까지 되돌려 주지는 못합니다. 감염됐는지 스스로 확인할 방법도 알려지지 않았습니다. 그래서 돈이 걸린 지갑은 열쇠 자체를 새로 만드는 쪽이 안전합니다.

우리가 모르는 것

이 글이 확인하지 못한 것들입니다. 아는 척하지 않기 위해 따로 적어 둡니다.

  • 어떤 경로로 퍼지는지 모릅니다. Malwarebytes는 광고·메시지·SNS 게시물로 올 수 있다고만 했습니다. 실제 유포 경로 자료는 없습니다. “문자로 온다”고 단정할 근거도 없습니다.
  • 피해자가 몇 명인지 모릅니다. 공개된 숫자가 없습니다.
  • 이 페이지가 정확히 어느 iOS 버전을 노리는지 모릅니다. Malwarebytes도 확인하지 못했다고 밝혔습니다. 실제 아이폰으로 시험하거나 데이터가 나가는 것을 관찰하지도 않았다고 스스로 적었습니다. 위의 ’iOS 18.4~18.7’은 3월 구글 분석에서 나온 DarkSword 전체의 범위입니다.
  • 한국어 페이지가 있는지, 한국에서 퍼지고 있는지 모릅니다. 그런 보도는 없습니다. 한국이 1차 출시국이라 시기가 겹친다는 것까지만 말할 수 있습니다.
  • iOS 26으로 못 올리는 구형 아이폰이 iOS 18 업데이트만으로 다 막히는지 모릅니다. 9to5Mac은 3월에 iOS 18용 패치가 나왔다고 썼습니다. 구글은 일부만 18.7.2~18.7.3에서 먼저 고쳐졌고 전체 수정은 26.3이라고 적었습니다. 우리는 둘을 대조하지 못했습니다.
  • 페이지 운영자가 누구인지 모릅니다. 3월에 DarkSword를 쓴 조직들과 관계가 있는지도 알려진 바가 없습니다. 국적이나 배후는 추정하지 않습니다.
  • 페이지를 열었던 사람이 감염 여부를 스스로 확인하는 방법은 보도되지 않았습니다.
  • 애플 보안 공지 원문은 직접 열어 대조하지 못했습니다.

출처

1차 출처

보도

관련 CVE(공개된 취약점 번호): CVE-2025-31277 · CVE-2025-43529 · CVE-2026-20700 · CVE-2025-14174 · CVE-2025-43510 · CVE-2025-43520

2026-10-03 기준으로 정리했습니다. 우리 허니팟에서 관측한 내용이 아닙니다. 위 출처의 공개 분석을 우리 말로 다시 쓴 글입니다. 기사 문장과 이미지는 옮기지 않았습니다. 이 글에는 공격 코드, 악성 주소, 자격증명을 싣지 않았습니다. 확인되지 않은 것: 공격 코드가 노리는 데이터 목록과 ’재부팅 뒤 되살아나지 않는다’는 내용은 Malwarebytes의 분석 보도에만 근거합니다. 실제 아이폰에서 확인된 것은 아니며, 유포 경로와 피해 규모도 공개되지 않았습니다.