상가 안에 차린 '구글 창구' — 주소창까지 그려 넣은 로그인 창

동네 상가 건물 하나를 떠올려 보세요. 1층은 분식집, 2층은 학원, 3층은 치과입니다. 건물 입구에는 ’OO상가’라는 간판이 크게 붙어 있습니다.

그런데 2층 복도 끝에 은행 창구가 하나 차려져 있습니다. 파란 간판이 걸려 있고 번호표 기계도 있습니다. 유니폼을 입은 직원도 앉아 있습니다. 간판에는 누구나 아는 은행 이름이 적혀 있습니다. 직원이 웃으면서 종이를 내밉니다. “여기 통장 비밀번호 적어 주세요.”

간판은 누구나 걸 수 있습니다. 하지만 건물 주소는 못 바꿉니다. 창구 간판에 뭐라고 적혀 있든, 내가 서 있는 곳은 여전히 ’OO상가 2층’입니다.

오늘 이야기는 이 ’상가 안의 가짜 창구’가 인터넷에서 어떤 모습으로 나타나는지에 관한 것입니다. 글 끝까지 이 상가 안에서 이야기하겠습니다.

무슨 일이 벌어지나 — 주소까지 진짜인 로그인 창

사실 보안업체 Island가 10월 6일에 보고서를 냈습니다. 내용은 피싱 플랫폼 하나에 관한 것입니다. 피싱은 진짜처럼 꾸민 가짜 화면으로 비밀번호를 받아 내는 사기를 말합니다. 이 플랫폼은 ChatGPT·Gemini·Claude·Perplexity·메타 Muse·Manus 같은 AI 서비스의 ’광고 관리 도구’인 척했습니다.

사실 장면은 이렇습니다. ‘AI 광고 최적화 베타’ 같은 페이지에 들어갑니다. ‘연결’ 버튼을 누릅니다. 그러면 구글 로그인 창이 뜹니다. 창 위쪽 주소 칸에는 accounts.google.com이 찍혀 있습니다. 진짜 구글 로그인 주소입니다. 비밀번호를 넣고, 휴대폰 문자로 온 인증번호도 넣습니다. 그러면 ‘잠시만 기다려 주세요’ 화면이 나옵니다. 내가 기다리는 동안 운영자는 방금 받은 값으로 내 진짜 계정에 로그인하고 있습니다.

사실 그 로그인 창은 브라우저가 띄운 게 아닙니다. 브라우저는 크롬이나 사파리처럼 인터넷을 볼 때 쓰는 프로그램입니다. 문제의 창은 피싱 페이지가 자기 화면 안에 그려 넣은 그림입니다. 이런 수법을 ’브라우저 인 브라우저(BitB)’라고 부릅니다. 브라우저 안에 브라우저 모양 그림을 하나 더 그린다는 뜻입니다. 그동안 진짜 브라우저는 계속 피싱 사이트에 머물러 있습니다.

추정 상가로 옮기면 이렇습니다. 팝업 안에 보이는 주소는 창구에 건 간판입니다. 구글이라고 적혀 있습니다. 브라우저 맨 위 주소창은 건물 주소입니다. 그 자리에는 여전히 피싱 사이트 주소가 떠 있습니다.

사실 이 창구는 손님에 맞춰 인테리어까지 바꿉니다. 윈도·맥·아이폰·안드로이드마다 모양을 따로 흉내 냈습니다. 아이폰 사파리의 주소 표시 모양을 따라 했습니다. 앱 안에서 크롬이 띄우는 로그인 화면 모양도 따라 했습니다. 다크 모드(화면을 어둡게 쓰는 설정)까지 맞췄습니다.

사실 간판도 구글 하나가 아닙니다. 메타·틱톡의 로그인 화면도 위조했습니다. Okta 로그인 화면도 있었습니다. Okta는 회사가 직원들의 업무 계정 로그인에 쓰는 서비스입니다.

광고 담당자만 노린 게 아니다

사실 같은 플랫폼에서 가짜 채용 페이지도 돌아갔습니다. 테슬라·아디다스·루이비통·나이키 같은 브랜드를 사칭했습니다. 지원하려면 회사 계정으로 로그인하라고 합니다. 지원자의 직장 계정을 노린 미끼입니다.

사실 그래서 이 수법에 걸릴 수 있는 사람은 이렇게 정리됩니다. 구글·메타·틱톡 광고 계정을 관리하는 마케터, 광고대행사 직원, 광고를 직접 돌리는 자영업자. 그리고 유명 브랜드 채용 공고를 보고 회사 계정으로 로그인하려는 직장인입니다.

추정 기사 제목만 보면 마케터 이야기처럼 읽힙니다. 하지만 ‘구글로 로그인’ 버튼은 거의 누구나 하루에도 몇 번씩 누릅니다. 다만 두 가지는 나눠서 봐야 합니다. 지금 겨냥된 사람(광고 담당자와 지원자)과, 이 수법이 통할 수 있는 범위는 다른 이야기입니다. 한국 이용자가 노려졌다는 근거는 보고서에 없습니다.

왜 통하나 — 창구 뒤에 사람이 앉아 있다

가짜 화면이라고 하면 자동으로 돌아가는 프로그램을 떠올리기 쉽습니다. 이번 건은 다릅니다.

사실 사람 운영자가 입력값을 실시간으로 지켜봅니다. 맞는 비밀번호를 넣어도 일부러 ’틀렸다’며 다시 넣게 만들기도 합니다. 그다음에 무엇을 요구할지도 그때그때 고릅니다. 문자 인증번호일 수도 있고, 인증 앱에 뜨는 코드일 수도 있고, 휴대폰에 뜨는 ‘로그인 승인’ 알림일 수도 있습니다.

여기서 2단계 인증이 나옵니다. 2단계 인증은 비밀번호 다음에 휴대폰 같은 걸로 한 번 더 확인하는 절차입니다. 비밀번호가 새도 계정을 지키라고 있는 장치입니다.

추정 그런데 창구 직원이 사람이면 이 장치가 힘을 잃습니다. 상가로 그려 보면 이렇습니다. 직원이 비밀번호를 받아 적습니다. 그 쪽지는 뒷문으로 나가 진짜 은행에 가 있는 동료 손에 넘어갑니다. 동료가 “인증번호를 달래” 하고 전화합니다. 직원은 손님에게 “휴대폰으로 번호 하나 갔죠? 불러 주세요” 합니다. 인증번호는 한 번 쓰고 버리는 번호라서, 훔쳐도 나중에는 못 씁니다. 그런데 받자마자 그 자리에서 쓰면 이야기가 달라집니다.

사실 비밀번호를 맞게 넣었는데도 ’틀렸다’는 답이 세 번 돌아올 수 있다고 보도됐습니다. 이 숫자는 Island 보고서가 아니라 BleepingComputer 기사에 나온 것입니다.

추정 여기서 쓸 만한 신호가 하나 나옵니다. 내가 아는 비밀번호를 정확히 넣었는데 거절당한다면, 손이 미끄러진 게 아닐 수도 있습니다. 창구 직원이 한 번 더 적고 싶어 하는 것일 수 있습니다. 맞게 쓴 비밀번호가 거절되는 것 자체를 멈출 이유로 삼으면 됩니다.

사실 창구는 새 간판도 빨리 겁니다. 메타가 Muse를 출시하고 8일 뒤 가짜 ‘Muse Ads’ 페이지가 이 플랫폼에 추가됐습니다. 2주도 안 걸렸습니다. 새 서비스가 나오면 곧바로 미끼로 쓴다는 뜻입니다.

숫자로 본 규모

먼저 표를 보겠습니다. 마지막 칸을 같이 봐 주세요. 1차 보고서에서 확인한 숫자와 기사에만 나온 숫자가 섞여 있습니다.

도메인은 인터넷 주소에서 이름에 해당하는 부분입니다. 상가로 치면 건물 주소입니다. 서버는 그 사이트를 실제로 돌리는 컴퓨터입니다. 창구 뒤의 사무실쯤 됩니다.

추정 추적 기간은 5월 27일부터 6월 20일까지, 25일 남짓입니다. 그 사이에 주소 25개가 잡혔으니 평균으로 치면 하루에 주소 하나꼴입니다. 서버 73개는 하루에 세 개 가까운 꼴입니다. 창구 하나를 철거해도 다음 날 옆 건물에 새 창구가 열리는 셈입니다. 그래서 “이 주소가 위험하대” 하고 외워서 피하는 방식은 잘 맞지 않습니다. 주소를 외우는 것보다 판별하는 습관이 오래 갑니다.

사실 빼앗긴 광고 계정이 어디에 쓰이는지도 보도됐습니다. 계정에 남은 광고비로 사기 광고를 돌리거나, 다른 범죄자에게 되판다고 합니다. 이 대목도 BleepingComputer 기사에만 나옵니다.

그래서 지금 할 일

할 일은 두 가지입니다. 둘 다 오늘 할 수 있습니다.

하나. 창구 간판 말고 건물 주소를 본다.

사실 웹페이지는 주소창도, 자물쇠 아이콘도, 탭 모양도 그려 넣을 수 있습니다. 하지만 진짜 브라우저 맨 위의 주소는 바꿀 수 없습니다. Island 보고서가 짚은 판별 원칙이 이것입니다.

그러니 팝업 안에 보이는 주소는 믿지 마세요. 눈을 브라우저 맨 위 주소창으로 올립니다. 거기에 방금 들어온 낯선 페이지 주소가 그대로 떠 있다면 그 로그인 창은 그림입니다. 창구 간판이 아니라 건물 입구 간판을 확인하는 것과 같습니다.

처음 보는 사이트에서 ‘구글로 로그인’ 창이 뜨면 비밀번호를 넣지 말고 그냥 닫으세요. 그리고 새 탭을 열어 그 서비스 주소를 직접 쳐서 들어갑니다. 진짜 은행 일은 진짜 은행 건물에 가서 보면 됩니다.

추정 PC에서 쓸 수 있는 확인법도 하나 보도됐습니다. 가짜 창은 진짜 팝업과 달리 브라우저 밖으로 끌어낼 수 없고, 크기도 바꿀 수 없다고 합니다. 상가 바닥에 못 박아 둔 창구라 들고 나갈 수 없다는 얘기입니다. 다만 이건 BleepingComputer 기사에만 나오고, Island 원문에서는 확인되지 않았습니다. 그리고 휴대폰에서는 창을 끌어 볼 수가 없습니다. 휴대폰에서는 맨 위 주소를 보는 방법만 남습니다.

둘. 구글·메타 계정에 패스키를 등록한다.

사실 패스키는 비밀번호 대신 내 기기에 저장된 열쇠로 로그인하는 방식입니다. 이 열쇠는 진짜 사이트 주소에서만 작동합니다. 연구진은 패스키와 실물 기기로 하는 인증(하드웨어 기반 인증)을 이 수법을 막는 가장 강한 방어로 권했습니다.

추정 상가로 옮기면 이렇습니다. 패스키는 진짜 은행 건물 문에만 맞는 열쇠입니다. 가짜 창구가 아무리 그럴듯해도 이 열쇠는 거기서 돌아가지 않습니다. 그래서 내가 실수로 가짜 창에 비밀번호를 넣어 버려도, 계정을 통째로 넘겨받기가 훨씬 어려워집니다.

우리가 모르는 것

이 블로그는 모르는 건 모른다고 적습니다. 이번 건에서 아직 확인되지 않은 것들입니다.

• 사람들이 처음에 어떤 길로 들어오는지 모릅니다. 초대 메일이 쓰였다는 것 말고는 밝혀지지 않았습니다. 검색 광고나 문자로 퍼졌다고 단정하지 않습니다.
• 한국이 겨냥됐는지 모릅니다. 한국어 페이지가 있었는지, 한국 이용자가 노려졌는지는 보고서에 나오지 않습니다.
• 실제로 몇 명이 당했는지 모릅니다. 입력값이 ’수백 건 제출’됐다는 내용이 있습니다. 하지만 그게 계정 탈취에 성공한 건수인지는 알 수 없습니다. 기사도 성공 건수가 아니라고 적었습니다. 그래서 이 글은 그 숫자를 피해자 수로 쓰지 않았습니다.
• 누가 운영하는지 모릅니다. 공격 주체의 국적이나 소속은 밝혀지지 않았습니다. 우리도 추정하지 않습니다.
• ‘끌어낼 수 없다’ 확인법은 반쪽짜리입니다. PC에서만 쓸 수 있습니다. 그리고 1차 보고서에는 이 방법이 직접 적혀 있지 않습니다. 휴대폰에서는 브라우저의 진짜 주소 표시를 보는 방법만 남습니다.

이 글에서 ’보도됐다’고 적은 세 대목이 있습니다. 비밀번호를 세 번 거절하는 것, 창을 끌어낼 수 없다는 것, 빼앗긴 광고 계정을 쓰는 방식입니다. 셋 다 Island 원문이 아니라 기사에서 왔습니다.

출처

1차 출처부터 적습니다.

• Island — Behind the Connect Button: The Fake AI Ads Campaign (2026-10-06) · https://www.island.io/blog/behind-the-connect-button-the-fake-ai-ads-campaign
• BleepingComputer — Fake ChatGPT, Gemini Sites steal advertising accounts, MFA codes (2026-10-06) · https://www.bleepingcomputer.com/news/security/fake-chatgpt-gemini-sites-steal-advertising-accounts-mfa-codes/
• The Hacker News — Fake ChatGPT, Gemini, and Claude Ad Portals Capture Credentials and MFA Codes (2026-10-06) · https://thehackernews.com/2026/10/fake-chatgpt-gemini-and-claude-ad.html

Island 원문을 직접 열어 사칭 서비스 목록, 가짜 창의 구조, 운영자의 실시간 중계, 채용 미끼, 도메인·서버 수, 패스키 권고를 확인했습니다. 그다음 기사와 대조했습니다.

---

이 글은 2026-10-08 기준 브리프로 썼습니다. 우리 허니팟 관측이 아니라 공개된 보고서와 보도가 재료입니다. 그래서 공격 타임라인·MITRE·IOC 블록과 마스킹 IP·자격증명 인용이 없습니다. 우리에게 그런 자료가 없기 때문입니다. 본문에 나오는 accounts.google.com은 구글의 진짜 로그인 주소입니다. 가짜 창이 무엇을 흉내 냈는지 설명하려고 적었고, 피싱 사이트 주소는 싣지 않았습니다. 수치는 브리프에 있는 것만 썼습니다. ‘하루에 하나꼴’ 같은 비교는 그 수치로 우리가 직접 나눠 본 값이라 추정으로 표시했습니다. 확인되지 않은 것: 유입 경로, 한국 이용자 표적 여부, 실제 탈취 성공 건수, 공격 주체, 그리고 ’가짜 창은 끌어낼 수 없다’는 확인법의 1차 출처. 따라 할 수 있는 명령어·주소·절차는 싣지 않습니다. 발행일 2026-10-08.