[태그:] 사이버보안

빌드 파이프라인이 코드 서명 단계에서 멈춘다. 로그를 열면 인증서 오류뿐. MS 계정에 접속하니 “비정상적인 활동이 감지됐다”는 안내가 떠 있다. 긴급 패치를 배포해야 하는데, 계정이 잠긴 상태다.

먼 나라 얘기가 아니다. TechCrunch가 2026년 4월 전한 바에 따르면, 오픈소스 WireGuard VPN 개발팀이 정확히 이 문제로 소프트웨어 업데이트 배포를 못 하는 상황을 겪었다. 코드 서명용 MS 계정 하나가 잠기면서 새 버전 출시가 통째로 막혔다.

코드 서명 인증서가 묶인 계정 잠김은 단순한 로그인 불편이 아니다. 서비스 연속성 자체가 위협받는 사고다. 왜 생기는지, 어떻게 막는지, 이미 터졌을 때 어떻게 대응하는지 실질적인 내용을 정리했다.

왜 갑자기 잠기는 걸까?

MS가 계정을 잠그는 이유는 한마디로 ‘비정상적인 활동(Unusual Activity)’ 감지다. 근데 이 ‘비정상’의 기준이 생각보다 훨씬 까다롭다. 이건 좀 억울한 면이 있다.

• 접속 환경이 갑자기 바뀔 때: 평소 한국에서만 로그인하다가 해외 클라우드 서버나 VPN을 통해 접속하면 공격 시도로 오인된다. CI/CD 파이프라인을 해외 리전으로 이전하는 타이밍에 딱 이 문제가 터진다.
• 비밀번호가 유출 목록에 걸릴 때: 내 비밀번호가 다른 서비스에서 털린 데이터베이스와 일치하면, MS는 예방 차원에서 그냥 잠가버린다. 여러 서비스에 비슷한 비밀번호를 돌려쓰는 습관이 있다면 이게 진짜 위험하다.
• 자동화 알고리즘의 오탐: 대부분의 계정 잠금은 사람이 판단하는 게 아니라 AI 기반 알고리즘이 결정한다. 단시간에 API를 여러 번 호출하는 정상적인 빌드 작업을 공격으로 잘못 읽는 경우가 꽤 있다.

결정적으로, 이 조치는 사전 경고 없이 이뤄진다. 어느 날 아침에 갑자기 로그인이 안 되는 것이다.

서명용 계정이 잠기면 파장이 다르다

모든 계정 잠김이 같은 건 아니다. 코드 서명 인증서가 붙어 있는 계정은 차원이 다른 문제다.

코드 서명은 “이 소프트웨어는 우리가 만든 것이고, 이후 변조되지 않았다”는 디지털 인감이다. 윈도우 환경에서 이 서명이 없으면 사용자 화면에 ‘알 수 없는 게시자’ 경고가 뜨거나, SmartScreen이 실행 자체를 차단해버린다. 서명 있는 프로그램과 없는 프로그램, 사용자 반응은 완전히 다르다.

계정이 잠기면 인증서 갱신도, 새 버전 서명도 불가능해진다. 긴급 보안 패치가 필요한 상황에서 계정이 잠겨 있다면? 배포 못 한다. 피해는 사용자에게 간다. 더 나쁜 시나리오도 있다. 공격자가 이 계정을 탈취해 악성코드에 정상 서명을 찍어 뿌린다면 — 보안 사고가 아니라 재앙 수준이다.

개인 계정에 묶어두면 안 되는 이유

“이건 김대리 계정으로 관리하고 있어.” 아직도 이런 팀이 있다면, 솔직히 시한폭탄이다. 특정 개인의 계정에 코드 서명 같은 핵심 자산을 걸어두면, 그 사람이 퇴사하거나 휴가 가거나 계정이 잠기는 순간 전체 배포가 멈춘다는 뜻이다. 조직 차원의 관리 체계가 없으면 버티지 못한다.

• 조직(Organization) 계정으로 전환: 개인 계정 대신 회사 차원의 조직 계정을 만들어 관리해야 한다. 관리자 권한을 2~3명에게 나눠두고, 한 명이 자리를 비워도 시스템이 돌아가는 구조가 핵심이다.
• 최소 권한 원칙(Principle of Least Privilege): CI/CD 파이프라인에는 거기에 필요한 권한만 가진 서비스 계정(Service Principal)을 별도로 만들어야 한다. 팀원 전원에게 관리자 권한을 주는 건 편해 보이지만 위험하다.
• 접근 로그 기록: 누가, 언제, 어떤 목적으로 인증서 관련 작업에 접근했는지 로그가 남아 있어야 한다. 문제가 생겼을 때 추적이 안 되면 수습 자체가 불가능해진다.

계정 잠김 예방 체크리스트

사고 후 수습보다 예방이 비용이 훨씬 적다. 아래 항목들은 반드시 점검하고 적용해야 한다.

• 앱 기반 MFA 사용: SMS 인증은 SIM 스와핑 공격에 취약하다. Microsoft Authenticator나 Google Authenticator 같은 앱 기반 OTP로 바꿔야 한다. 그리고 복구 코드는 비밀번호 관리자, 오프라인 문서, 팀 공용 금고 등 여러 곳에 반드시 백업해둬야 한다. 휴대폰 분실 시 복구 코드가 없으면 답이 없다.
• 코드 서명 전용 계정 분리: 코드 서명용 MS 계정은 이메일이나 Office 365 용도로 쓰는 계정과 완전히 분리해야 한다. 자주 쓰는 계정일수록 피싱이나 보안 위협에 노출될 가능성이 올라간다. 섞어 쓰면 안 된다.
• 고유한 비밀번호: 다른 어떤 서비스에서도 쓰지 않는 길고 복잡한 비밀번호. 기본 중의 기본인데 여전히 많이 지켜지지 않는다. 팀 차원에서 1Password나 Bitwarden 같은 비밀번호 관리 도구를 도입하는 걸 진지하게 고려해야 한다.
• 신뢰할 수 있는 IP/장치 등록: 가능하다면 특정 IP 대역이나 등록된 장치에서만 계정에 접근하도록 추가 설정을 걸어두는 것도 방어선이 된다.

이미 잠겼다면 — 복구 절차 A to Z

예방에 실패했다면 침착하게. 단, 착각하면 안 된다. 고객센터 전화 한 통으로 풀리는 문제가 아니다.

1. 공식 계정 복구 양식 제출: MS가 제공하는 공식 복구 양식을 작성해야 한다. 계정 생성 시기, 과거에 썼던 비밀번호, 최근에 보낸 이메일 제목 등 본인임을 증명할 수 있는 정보를 최대한 상세하게 적어야 한다.
2. 지속적으로 문의 업데이트: 자동화된 답변만 계속 올 수 있다. 포기하지 말고 문의(Ticket)를 계속 업데이트해야 한다. 개발자 계정이고, 코드 서명 문제로 제품 배포 자체가 막혔다는 긴급성을 명확히 전달하는 게 포인트다.
3. 공식 서류 준비: 사업자등록증, 법인 서류 등을 요구하는 경우도 있다. 미리 준비해두면 대응 시간이 크게 줄어든다.

복구 기간은 빠르면 며칠, 길면 몇 주다. 그 기간 동안 서비스 배포가 멈춘다. 한 번이라도 경험해보면 예방의 필요성을 따로 설명할 필요가 없어진다.

자주 묻는 것들

Q. YubiKey 같은 하드웨어 보안 키를 쓰면 안전한가요?
훨씬 안전하다. FIDO2 기반 하드웨어 키는 피싱에 거의 완벽하게 저항하고, 지금 쓸 수 있는 MFA 수단 중 가장 강력한 축에 든다. 조직 차원에서 도입을 검토할 가치가 있다. 다만 키 분실이나 파손에 대비한 복구 계획은 별도로 세워둬야 한다. 키 하나에만 의존하다 잃어버리면 그게 또 잠금 사태로 이어진다.

Q. Azure Key Vault 같은 서비스가 도움이 될까요?
도입할 가치가 충분하다. 코드 서명 인증서와 개인 키를 개인 PC나 빌드 서버가 아닌 Azure Key Vault나 AWS KMS 같은 클라우드 기반 HSM(하드웨어 보안 모듈)에 보관하는 건 현대적인 접근 방식이다. 개인 계정 잠금 문제에서 상당 부분 자유로워지고, 접근 제어와 감사 기능도 훨씬 세밀하다. 규모 있는 팀이라면 이쪽으로 가는 게 맞다.

개발자 계정 하나가 전체 서비스 배포를 막는다. 개인의 부주의 문제로만 볼 게 아니라, 조직 전체의 보안 인프라 문제로 봐야 한다. 체계 없이는 같은 일이 반복될 수밖에 없다.

출처: TechCrunch

블록체인 기반 투자 시장이 커지면서, 그 뒤를 바짝 쫓는 것들이 있다. 사기꾼들이다. 가짜 코인 발행이나 지갑 해킹 정도는 이제 구식이고, 사기 자체를 서비스로 제공하는 블랙마켓이 활성화된 지 꽤 됐다. 고수익 미끼 뒤에 함정이 있다는 건 알면서도, 막상 ‘이건 다르다’는 확신이 들면 판단이 흐려진다. 그래서 문제다.

사기를 돕는 시장, 그 실체

과거엔 사기꾼이 개인 투자자에게 직접 접근하는 방식이 대부분이었다. 이제는 구조가 다르다. 사기 행위를 조직적으로 돕는 음성적인 서비스 시장이 별도로 존재한다. ‘검증된 투자처’라거나 ‘안전한 거래를 보장한다’는 명목으로 접근하는 플랫폼들이 여기에 해당한다.

이들이 실제로 하는 일은 표면과 다르다. 사기 프로젝트에 신뢰도를 붙여주거나, 피해자가 자금을 회수하지 못하게 막는 데 협조한다. 가짜 신분, 조작된 거래 내역, 피해자 개인 정보까지 사고파는 구조다. Wired가 전한 바에 따르면 이런 블랙마켓 생태계는 이미 수백억 달러 규모의 자금 세탁과 맞물려 있다. 알고 나면 소름 돋는 수준의 분업이다.

꼭 알아야 할 스캠 유형 4가지

• 피싱(Phishing) 및 스푸핑(Spoofing): 가장 오래됐지만 아직도 효과적이다. 유명 거래소, 지갑 서비스, 인기 프로젝트를 정교하게 사칭한 가짜 사이트나 앱을 만들어 로그인 정보를 낚는다. 텔레그램·디스코드·이메일로 공지를 위장한 링크를 뿌리는 방식도 흔하다. 공식 주소처럼 생겼어도 URL 한 글자 차이로 전혀 다른 사이트일 수 있다. 클릭 전에 주소창을 한 번 더 보는 습관, 진짜로 중요하다.
• 러그 풀(Rug Pull): 신규 프로젝트에서 자주 터진다. 팀이 그럴듯한 백서와 로드맵을 내세워 투자금을 끌어모은 뒤, 프로젝트를 갑자기 닫고 자금을 들고 잠적하는 수법이다. DeFi 생태계에서는 유동성 풀을 구성한다는 명목으로 자금을 모은 뒤 풀을 통째로 빼가는 패턴이 대표적이다. 팀원 신원 불분명, 불투명한 자금 운용, 비현실적인 수익률 약속 — 이 세 가지가 겹치면 일단 의심해야 한다.
• 펌프 앤 덤프(Pump & Dump): 특정 코인 가격을 인위적으로 띄운 뒤 폭락시켜 수익을 빼가는 방식이다. 소셜 미디어 ‘정보방’, ‘리딩방’에서 특정 코인을 집중 추천하며 매수를 유도하고, 가격이 충분히 오르면 미리 쌓아둔 물량을 한꺼번에 던진다. 가격은 수직 낙하하고, 마지막에 들어온 일반 투자자만 손실을 떠안는다. ‘내부 정보’, ‘확실한 급등’ — 이 단어가 나오면 이미 덫이 놓인 거라 봐야 한다.
• 로맨스 스캠 및 원격 투자 사기: 감정을 이용한다는 점에서 가장 악질이다. 온라인에서 친분을 쌓고 연인 관계인 척 신뢰를 얻은 뒤, ‘비밀 투자 기회’라며 검증되지 않은 플랫폼으로 유도한다. 처음엔 소액 수익을 보여주며 안심시키고, 점차 큰돈을 요구한다. 피해자 컴퓨터에 원격 제어 프로그램을 설치해 직접 거래를 조작하는 경우도 있다. 감정이 개입된 순간, 판단력은 반쪽 이하가 된다.

사기꾼들이 파고드는 심리

기술적 취약점만 노리는 게 아니다. 사람의 심리를 먼저 건드린다. 핵심은 FOMO(Fear Of Missing Out)다. ‘나만 뒤처지는 건 아닐까’라는 조급함이 비이성적인 판단으로 이어진다. 단기 고수익 환상, 복잡한 기술에 대한 이해 부족도 빌미가 된다.

‘전문가’, ‘내부 정보’를 앞세운 접근이 통하는 것도 같은 이유다. 정보가 부족한 상태에서 확신에 찬 누군가를 만나면 쉽게 기대게 된다. 거기에 ‘지금 아니면 기회 없다’는 시간 압박까지 더해지면 — 이건 교과서적인 사기 패턴이다. 의심할 시간을 주지 않는 게 목적이다.

자산을 지키는 실제 방법

• 정보 검증을 먼저: 투자 전에 백서, 팀원 경력, 로드맵, 개발 진행 상황, 커뮤니티 활동을 직접 확인해야 한다. 팀원 이름을 검색했을 때 아무 정보도 안 나온다면, 그것만으로도 신호다.
• 공식 채널 외엔 믿지 마라: 정보는 공식 웹사이트, 공식 SNS, 공식 커뮤니티 채널에서만 확인한다. 텔레그램이나 디스코드에서 먼저 DM을 보내거나, 링크 클릭을 유도하는 메시지는 일단 차단 대상이다.
• ‘원금 보장’은 사기다: ‘확실한’, ‘초고수익’, ‘원금 보장’이라는 말이 나오면 99% 사기라고 봐도 된다. 리스크 없는 고수익 상품은 존재하지 않는다. 이 진리는 암호화폐 시장에서도 예외가 없다.
• 시드 문구는 절대 공유 금지: 지갑의 비밀번호, 시드 문구(Seed Phrase), 개인키(Private Key)를 묻는 행위는 100% 사기다. 어떤 이유로도, 누구에게도 알려줄 필요가 없다.
• 출처 모를 링크·파일은 열지 마라: 이메일이나 메시지에 달린 불분명한 링크, 첨부 파일은 클릭 전에 멈춰야 한다. 피싱이나 악성코드 감염 경로가 대부분 여기서 시작한다.
• 처음엔 소액으로: 새로운 투자처는 잃어도 되는 금액으로 먼저 테스트하는 게 맞다. 플랫폼의 실제 작동 방식과 출금 과정을 소액으로 확인한 뒤 규모를 키우는 순서가 현명하다.
• 콜드월렛 활용: 장기 보관 예정 자산은 인터넷에 연결되지 않는 콜드월렛에 옮겨두는 게 좋다. 해킹 경로 자체를 차단하는 방법이다.

피해가 의심될 때 할 일

사기 피해가 의심되는 순간, 속도가 중요하다. 먼저 해당 플랫폼과의 모든 접속을 즉시 끊는다. 그다음은 증거 확보다. 대화 내역, 입출금 기록, 사기 사이트 URL, 메신저 프로필 — 캡처할 수 있는 건 다 저장해 둬야 한다.

증거가 모이면 관계 기관에 신고한다. 경찰청(국번 없이 112 또는 사이버범죄 신고 시스템), 금융감독원(불법 사금융 피해 신고센터), 한국인터넷진흥원(KISA) 세 곳이 주요 창구다. 블록체인 상의 자금 흐름은 추적이 가능한 경우도 있으니, 블록체인 분석 전문 업체나 암호화폐 커뮤니티에 도움을 구하는 것도 방법이다. 포기하기 전에 일단 신고부터다.

스스로 공부한 사람이 결국 살아남는다

암호화폐 시장은 변동성도 크고 규제 공백도 아직 넓다. 사기꾼들이 활동하기 좋은 조건이다. 투자자의 불안과 탐욕 사이 어딘가를 정확히 파고든다.

방어 수단은 단순하다. 투자 지식과 신중함이다. ‘남들도 다 한다’는 이유로 따라가는 투자는 결국 누군가의 수익이 된다. 직접 공부하고, 직접 검증하고, 스스로 판단한 투자만이 리스크를 통제한다. 정보를 가려보는 안목 — 그게 암호화폐 투자에서 가장 현실적인 무기다.

출처: Wired

익명이라고 믿었는데, 처음부터 아니었다. 보안 전문 매체 Ars Technica가 ‘Internet Yiff Machine’이라 불리는 익명 범죄 제보 시스템을 직접 해킹해 93GB의 데이터를 확보했다고 보도했다. 이 시스템은 신고자 보호를 전제로 운영된 서비스다. 근데 그 전제 자체가 처음부터 허술했다는 게 이번에 드러난 거다.

93GB, 그게 얼마나 큰 건데

Ars Technica는 이번 해킹을 “윤리적 목적”으로 진행했다고 밝혔다. 취약점을 발견했고, 실제로 뚫어봤고, 그 결과가 93GB다. 단순 비교하자면 풀HD 영화 약 90편 분량이다. 그게 전부 익명 제보 데이터다.

• 해킹된 시스템은 범죄 신고를 익명으로 접수·처리하는 서비스였다.
• 탈취된 데이터 규모는 93GB. 개인정보 유출 사고 중에서도 이 정도 규모는 흔하지 않다.
• Ars Technica의 목적은 명확했다. ‘익명’으로 처리된 정보가 얼마나 허술하게 관리되고 있는지를 직접 증명하는 것.

단순 데이터 유출이 아니다. 공익을 위한 시스템이 근본적인 신뢰를 잃었다는 점에서 타격이 더 크다. 시스템 자체보다 그 시스템을 믿고 제보한 사람들의 신뢰가 먼저 깨진 셈이다.

‘익명’ 뒤에 뭐가 숨어 있었나

솔직히 이게 더 무섭다. 93GB 안에 뭐가 들어 있느냐의 문제다. 제보 내용만 있을 리 없다. 익명 시스템이라면 최소한 식별 정보는 걸러냈어야 하는데, 실제로 그랬는지가 지금은 의심스럽다.

• 재식별 가능성: IP 주소, 기기 정보, 접속 기록. 이 세 가지만 조합해도 특정 제보자를 특정할 수 있다. ‘재식별 공격’이라 부르는 방식이다. 이름 없이도 누군지 알아낸다는 얘기다.
• 범죄 관련 세부 정보: 피해자, 가해자, 사건 경위가 포함돼 있다면 유출 시 2차 피해나 보복으로 이어질 여지가 있다. 가능성이 아니라 현실적인 시나리오다.
• 위치 정보: 일부 시스템은 제보 시점의 위치까지 기록한다. 제보자의 신변이 직접 노출된다는 뜻이다.

용기 내서 신고했더니 오히려 더 큰 위험에 처하는 상황. 아이러니라기엔 너무 가혹하다. ‘익명’이라는 보호막이 사실은 투명한 유리였던 셈이다.

보안이 문제가 아니라 설계가 문제였다

이번 보도를 보면서 드는 생각은 하나다. 처음부터 보안을 제대로 고민하지 않았다는 거다. ‘익명 제보’ 시스템을 만들면서 정작 익명성을 기술적으로 어떻게 보장할지 설계한 흔적이 없다.

• 시스템 설계 단계에서 익명성 보장을 위한 보안 프로토콜이 제대로 적용됐다면 이렇게 뚫리기 어렵다. 애초에 수집하지 말았어야 할 데이터를 수집하고 있었던 건 아닌지 의심스럽다.
• 데이터 접근 제어, 암호화, 보존 정책 같은 기초 작업도 미흡했을 가능성이 높다. 기초 없는 건물이다.
• ‘익명’이라는 단어 하나로 사용자 신뢰를 담보한 셈인데, 그 단어 뒤에 기술이 없었다. 마케팅 문구와 실제 보안 수준 사이의 간극이 이번 사건의 핵심이다.

신뢰가 깨진 시스템은 고쳐도 의미가 반감된다. 제보자 입장에서는 한번 믿었다가 배신당한 경험이 남는다. 그 경험이 쌓이면, 다음에 신고하고 싶어도 손이 안 나간다.

국내 시스템은 괜찮을까

국민신문고, 경찰청 범죄 신고 앱, 공익신고 포털. 한국에도 비슷한 구조의 시스템이 여럿 돌아가고 있다. 이번 사건을 해외 남 얘기로 넘길 수 없는 이유다.

• 보안 점검이 필요하다: 국내 기관이 운영하는 시스템들이 기술적으로 익명성을 완전히 보장하고 있는지, 외부 감사 수준의 점검이 요구된다. 자체 점검만으로는 부족하다. 내부 인력이 자기 시스템의 취약점을 객관적으로 보기는 어렵다.
• 시민 불신 확산: ‘내 신고가 정말 익명일까’라는 의문이 한번 생기면, 신고 자체를 포기하는 사람이 늘어난다. 시스템은 있는데 아무도 안 쓰는 상황. 그게 더 큰 문제다.
• 제도적 책임 강화: 데이터 수집부터 저장·활용·폐기까지 전 단계에서 익명성 보장 원칙을 법적 의무로 명문화해야 한다. 선언이 아니라 의무다. 위반 시 제재도 뒤따라야 한다.

공익 신고 시스템은 사회 안전망의 일부다. 그 망에 구멍이 뚫려 있으면, 신고자가 망 밖으로 떨어진다. Ars Technica가 이번에 보여준 건 단순한 해킹 실험이 아니다. ‘익명이라는 말이 실제로 얼마나 공허한지’에 대한 직접적인 증명이었다. 국내 운영 기관들은 이 사건을 남의 일로 두면 안 된다.

출처: Ars Technica

아이폰이라고 해킹 안 된다는 말, 절반만 맞다. 애플의 보안 시스템이 탄탄한 건 사실이지만, 탄탄하다고 뚫리지 않는 건 아니다. TechCrunch 보도를 보면, 과거에 유출된 해킹 도구들이 지금도 수백만 대의 구형 아이폰을 스파이웨어 공격 위험에 노출시킬 수 있다고 한다. 문자, 통화 기록, 사진, 심지어 마이크와 카메라까지 원격으로 제어당하는 상황이다. 남 얘기가 아니다.

스파이웨어가 실제로 뭘 할 수 있나

감염되면 어떤 일이 벌어질까. 생각보다 구체적이다.

• 개인 정보 유출: 금융 정보, 연락처, 사진, 메시지 — 이 네 가지가 통째로 넘어간다.
• 사생활 침해: 카메라와 마이크가 실시간으로 켜질 수 있다. 집 안에서도.
• 금전 피해: 은행 앱 로그인 정보가 유출되면 계좌에서 돈이 빠져나가는 건 시간문제다.
• 성능 저하: 백그라운드에서 스파이웨어가 계속 돌기 때문에 배터리가 이상하게 빨리 닳는다.

이 정도면 스마트폰 하나 털리는 게 아니라 삶 전체가 털리는 거다. 과장이 아니다.

내 아이폰, 이미 감염됐을 수도 있다

문제는 알림이 안 뜬다는 거다. 스파이웨어는 티 안 나게 숨어서 작동한다. 대신 이런 징후를 눈여겨봐야 한다.

• 배터리가 갑자기 빨리 닳는다: 앱을 거의 안 썼는데 하루 만에 방전 직전이라면 의심해볼 만하다. 백그라운드에서 데이터를 계속 전송하기 때문이다.
• 셀룰러 데이터 사용량이 튄다: 평소와 비슷하게 썼는데 데이터가 2~3배 나왔다면 이유 없이 소모되고 있는 거다.
• 아이폰이 쉬어도 뜨겁다: 충전도 안 하고 화면도 안 켰는데 기기가 따뜻하다면 숨겨진 앱이 풀가동 중이다.
• 모르는 앱이 깔려 있다: 설치한 적 없는 앱이 있으면 바로 삭제하고 출처를 확인해야 한다.
• 팝업 광고가 쏟아진다: 브라우저 말고 다른 앱에서도 광고가 뜬다면 애드웨어 감염을 의심해야 한다.
• 혼자 재부팅된다: 특별한 이유 없이 잦은 재부팅이 반복된다면 시스템 이상이거나 악성 코드가 개입했을 가능성이 있다.

위 증상 중 두 개 이상 겹친다면, 일단 아래 설정부터 점검하자.

기본 설정만 제대로 해도 절반은 막는다

설정 앱을 열면 보안 관련 항목이 여기저기 흩어져 있다. 챙겨야 할 것들만 추렸다.

• iOS 항상 최신 버전으로: 애플이 보안 취약점을 발견하면 업데이트로 바로 패치한다. ‘설정 > 일반 > 소프트웨어 업데이트’에서 자동 업데이트를 켜두는 게 편하다. 업데이트 미루는 습관이 제일 위험하다.
• 암호는 복잡하게: 4자리나 6자리 숫자 암호는 브루트포스 공격에 금방 뚫린다. 영문+숫자+특수문자 조합으로 설정하자. Face ID, Touch ID는 기본 중의 기본이다.
• 애플 ID 이중 인증(Two-Factor Authentication) 켜기: ‘설정 > [이름] > 암호 및 보안 > 이중 인증 켜기’에서 설정한다. 누군가 암호를 알아냈어도 신뢰 기기의 확인 코드 없이는 로그인 못 한다. 이건 무조건 켜야 한다.
• ‘나의 찾기’ 활성화: 분실 시 원격 잠금 및 데이터 삭제가 가능하다. ‘설정 > [이름] > 나의 찾기 > 나의 iPhone 찾기’에서 켜면 된다. 단순한 분실 대비가 아니라 개인 정보 유출 방어선이다.
• 잠금 화면 기능 제한: ‘설정 > Face ID 및 암호 > 잠겨 있는 동안 접근 허용’에서 Siri, 메시지 회신, 제어 센터 등 불필요한 접근을 막자. 잠금 상태에서 Siri로 연락처 조회가 되는 건 생각보다 큰 구멍이다.

좀 더 파고들고 싶다면: 고급 보안 기능

기본 설정을 마쳤다면 한 단계 더 나아갈 수 있다.

• 앱 추적 투명성(App Tracking Transparency) 차단: ‘설정 > 개인정보 보호 및 보안 > 추적’에서 모든 앱의 추적 요청을 거부할 수 있다. 광고 타겟팅에 쓰이는 데이터가 줄어드는 건 덤이다. 끄는 게 더 낫다.
• 잠금 모드(Lockdown Mode): 기자, 인권 활동가, 고위 공직자처럼 고강도 사이버 공격의 타깃이 될 수 있는 사람을 위한 기능이다. ‘설정 > 개인정보 보호 및 보안’에서 켤 수 있다. 대부분의 메시지 첨부 파일을 차단하고 특정 웹 기술을 제한하는데, 일상 사용에는 불편하다. 일반 사용자라면 굳이 필요 없지만 이런 기능이 존재한다는 정도는 알아두자.
• Safari 보안 설정: ‘설정 > Safari’에서 ‘교차 사이트 추적 방지’, ‘IP 주소 가리기’, ‘사기성 웹사이트 경고’를 모두 켜자. 각각 10초면 된다.
• 앱 권한 점검: ‘설정 > 개인정보 보호 및 보안’에서 카메라, 마이크, 위치 서비스에 접근 권한이 있는 앱 목록을 쭉 훑어봐야 한다. 왜 이 앱이 마이크에 접근하고 있지? 싶은 게 하나쯤은 나온다.

구형 아이폰 쓰고 있다면 따로 챙겨야 할 것들

최신 기종은 Apple Silicon 기반 보안 칩이 들어 있고 업데이트도 꾸준히 받는다. 구형은 다르다. 업데이트 지원이 끊기는 순간, 알려진 취약점이 그대로 열려 있는 채로 쓰는 셈이다.

• 지원하는 최신 iOS 유지: 아이폰 8은 iOS 16까지 지원한다. 그 이상은 올릴 수 없어도 iOS 16은 반드시 유지해야 한다. 하위 버전을 그냥 쓰는 건 위험하다.
• 링크와 앱 설치에 더 엄격하게: 최신 보안 패치를 못 받는 만큼, 피싱 링크나 비공식 앱 하나가 치명적이 된다. 두 배로 조심해야 한다.
• 민감한 앱은 다른 기기에서: 은행 앱, 업무용 앱은 보안 업데이트를 받는 최신 기기에서 쓰는 게 낫다. 구형 폰을 보조용으로만 쓰는 구조를 고려해볼 만하다.
• 백업 습관: iCloud나 PC에 정기적으로 백업해두자. 기기를 초기화해야 하는 상황이 생기면 백업이 없으면 낭패다.
• 교체 타이밍: 애플 공식 업데이트 지원이 완전히 끊겼다면 새 기기로 바꾸는 걸 진지하게 생각해야 한다. 더 이상 보안 패치를 못 받는 기기는 사실상 무방비 상태다. 편의와 보안 사이에서 선택해야 한다면, 정보 보호 쪽으로 기울어야 한다.

구형 아이폰의 편리함도 있지만, 내 정보의 안전이 걸린 문제라는 걸 잊으면 안 된다.

이것만 조심하면 웬만한 건 막힌다

설정보다 더 중요한 게 습관이다. 아무리 설정을 잘 해놔도 사용자가 낚이면 끝이다.

• 앱스토어 외 설치는 없다: .ipa 파일 직접 설치, 비공식 앱 스토어 우회 서비스 — 전부 안 된다. 이걸 어기는 순간 보안 설정이 무의미해진다.
• 모르는 링크는 누르지 않는다: 문자, 이메일, 채팅 앱으로 오는 출처 모를 링크는 공식 사이트에 직접 들어가서 확인하는 게 맞다. 금융기관, 공공기관을 사칭하는 링크를 특히 조심해야 한다.
• 공용 Wi-Fi에서는 은행 앱 금지: 카페나 공항 Wi-Fi는 암호화되지 않은 경우가 많다. 은행 앱 로그인이나 카드 결제는 셀룰러 데이터로 하자. 꼭 공용 Wi-Fi를 써야 한다면 VPN을 켜는 게 낫다.
• ‘아이폰 바이러스 감염’ 팝업은 전부 사기다: 절대 속으면 안 된다. 창 닫고 해당 사이트에서 나오면 된다. 거기서 뭔가 누르거나 앱을 설치하면 그게 진짜 감염의 시작이다.

자주 나오는 질문 3가지

보안 관련해서 반복되는 질문들이 있다. 짧게 정리한다.

• Q: 백신 앱 설치해야 할까요?
  A: 솔직히 필요 없다. iOS의 샌드박스 구조와 앱스토어 심사 덕분에 안드로이드처럼 앱 간 감염이 잘 안 된다. 오히려 일부 무료 백신 앱이 과도한 권한을 요구하거나 광고로 수익을 낸다. iOS 최신 버전 유지 + 의심스러운 앱 설치 안 하기가 백신 앱보다 훨씬 효과적이다. VPN이나 보안 브라우저 앱은 필요에 따라 쓸 만하다.
• Q: 공용 Wi-Fi 진짜 위험한가요?
  A: 위험하다. 같은 네트워크에 누가 있는지 모른다. 암호화 안 된 연결이라면 데이터가 그대로 노출된다. 민감한 정보를 주고받을 때는 셀룰러 데이터나 VPN을 쓰는 게 맞다.
• Q: 아이폰 탈옥(Jailbreak)은 왜 위험한가요?
  A: 탈옥은 iOS의 보안 체계를 통째로 해제하는 거다. 애플이 막아놓은 것들을 열 수 있게 되는 동시에, 악성 코드도 마음대로 들어올 수 있게 된다. 스파이웨어 감염 위험이 몇 배로 올라가고, 공식 서비스 지원도 끊긴다. 추천하지 않는다. 절대로.

보안은 한 번 설정하고 잊어버리는 게 아니다. iOS 업데이트할 때마다 새 설정이 기본값으로 바뀌어 있기도 하고, 새 앱을 설치할 때마다 권한 목록이 달라진다. 3개월에 한 번 정도는 ‘설정 > 개인정보 보호 및 보안’을 한 번씩 훑어보는 습관이 가장 현실적인 보안 관리다.

출처: TechCrunch