호텔 방이나 컨퍼런스장에서 노트북을 열고 와이파이 아이콘을 클릭하면, 온라인에 접속하기 전에 로그인하거나 약관에 동의하라는 브라우저 창이 뜬다. 대부분의 경우 이는 지극히 정상적인 절차다 — 이를 '캡티브 포털(captive portal)'이라고 부르며, 호텔과 공항, 컨퍼런스 센터에서는 네트워크 접속을 제한하기 위해 이를 사용한다. 하지만 바로 그 로그인 페이지는 공격자에게도 거의 완벽한 위장 수단이 된다. 당신은 그런 페이지가 뜰 것이라 예상하고 있고, 서두르고 있으며, 지금 보고 있는 페이지를 실제로 누가 만들었는지 스스로 확인할 방법이 없기 때문이다.

마이크로소프트 연구진은 최근 'CaptiveCrunch'로 명명된 공격 캠페인을 공개했다. 이 캠페인에서 공격자들은 호텔과 컨퍼런스장의 와이파이 네트워크 내부에 자리를 잡고, 바로 그 순간 여행자들이 보게 되는 트래픽을 조작했다 — 캡티브 포털 세션을 가짜 로그인 페이지(정교하게 위조된 마이크로소프트 로그인 화면 포함)로 리디렉션해 비밀번호와 디바이스 코드, OAuth 토큰을 빼돌리거나, 가짜 '업데이트 필요' 대화상자를 띄워 키 입력을 기록하고 웹캠이나 마이크를 활성화할 수 있는 원격 접근 악성코드를 설치하게 만들었다. 요점은 모든 호텔 와이파이 로그인이 함정이라는 것이 아니다 — 대다수는 그렇지 않다. 요점은 온라인에 접속하기도 전에 낯선 페이지에 무언가를 입력해야 하는 바로 그 순간이 손쉬운 공격 대상이 된다는 것이며, 이에 대비한 나름의 습관을 갖춰둘 가치가 있다는 것이다.

이 순간이 일반적인 피싱과 다른 이유

일반적인 피싱 예방 교육에서는 발신자를 확인하고, 링크에 마우스를 올려보고, 자물쇠 아이콘을 확인하라고 가르친다. 그러나 캡티브 포털은 이런 습관 대부분을 무력화시킨다. 당신이 직접 그 페이지로 이동한 것이 아니라, 기기가 자동으로 그곳으로 리디렉션된 것이기 때문이다. 확인할 '보낸 사람' 주소도 없다. 이 페이지는 종종 일반적인 주소창 없이 로드되며(일부 운영체제는 이를 간소화된 브라우저 창에서 열기도 한다), 당신은 스스로 통제하거나 검증할 수 없는 네트워크에 접속해 있을 수 있다. 그렇기 때문에 겉보기에 멀쩡한 HTTPS 자물쇠 표시조차도 해당 페이지로의 연결이 암호화되어 있다는 것만 알려줄 뿐, 그 페이지 자체가 정당하다거나 네트워크가 당신이 보는 화면을 조작하고 있지 않다는 것을 보장해주지는 않는다.

정상적인 캡티브 포털이 요구해야 할 것과 요구해서는 안 될 것

이런 페이지가 나타날 때마다 다음을 기본 판별 기준으로 삼자:

  • 정상: 성과 객실 번호, 컨퍼런스 배지나 등록 코드, 서비스 약관 동의, 영수증 수신용 이메일 주소, 또는 유료 투숙객임을 확인하기 위해 문자로 전송된 일회용 코드.
  • 비정상: 마이크로소프트, 구글, 애플, 혹은 회사 계정으로 로그인하라는 요청. 실제 시설의 와이파이 시스템이 인터넷 접속을 허용하기 위해 당신의 마이크로소프트 비밀번호를 필요로 할 정당한 이유는 없다.
  • 비정상: 다른 곳에서 보여준 '디바이스 코드'를 입력하라는 창, 또는 'microsoft.com/devicelogin에 접속해 이 코드를 입력하라'는 식의 안내 페이지. 이는 실제로 존재하는 마이크로소프트 기능(스마트 TV 같은 기기에 로그인할 때 사용)이지만, 공격자들이 특히 악용하는 이유는 비밀번호를 전혀 보지 않고도 계정을 탈취할 수 있기 때문이다. 와이파이 로그인 페이지가 디바이스 코드 입력 절차로 당신을 안내하고 있다면 즉시 멈춰라 — 브라우저를 닫고 절차를 진행하지 마라.
  • 비정상: 브라우저나 윈도우에 긴급 업데이트가 필요하다는 팝업, 특히 연결을 '고치기' 위해 명령어를 복사해 '실행' 창이나 터미널에 붙여넣으라고 요구하는 팝업. 이런 수법(때때로 'ClickFix'라고 불린다)은 사용자가 스스로 악성코드를 설치하도록 속이는 흔한 방식이며, 정상적인 와이파이 포털이라면 사용자에게 명령어 실행을 요구할 일이 결코 없다.

단계별 가이드: 안전하게 접속하기

  1. 여행을 떠나기 전, 개방형 네트워크에 대한 자동 접속 기능을 꺼두자. 스마트폰에서는 설정 → Wi-Fi → 개방형/비보안 네트워크에 대한 '자동 참가' 또는 '자동 연결' 옵션을 끈다(정확한 명칭은 기기마다 다르다). 이렇게 해두면 이후 이름이 비슷한 불법 네트워크에 기기가 당신도 모르게 조용히 다시 접속하는 것을 막을 수 있다.
  2. 더 이상 사용하지 않는 예전 공용 네트워크는 삭제하자. 노트북이나 스마트폰에 'Airport_Free_WiFi'나 예전에 묵었던 호텔의 네트워크가 저장되어 있다면 삭제하라. 공격자는 동일한 이름으로 네트워크를 송출할 수 있으며('이블 트윈'이라 불린다), 당신의 기기는 그 이름을 인식해 자동으로 접속해버릴 수 있다.
  3. 실제 네트워크에 접속할 때는 이를 '공용/신뢰할 수 없음'으로 설정하자. 윈도우와 macOS 모두 새 네트워크를 '공용' 네트워크로 설정할지 '개인'/'신뢰할 수 있는' 네트워크로 설정할지 물어보는데, 이때 공용을 선택하라. 이렇게 하면 파일 공유와 네트워크 검색 기능이 비활성화되어, 같은 네트워크에 있는 다른 기기가 당신의 기기를 보거나 접근할 수 있는 범위가 제한된다.
  4. 무언가를 입력하기 전에 포털 페이지를 꼼꼼히 읽자. 앞서 나온 '정상 대 비정상' 목록과 비교해 확인하라. 만약 신원 확인 제공업체 로그인이나 디바이스 코드를 요구하거나 명령어 실행을 요구한다면 탭을 닫고, 대신 프런트 데스크나 등록 데스크에 직접 물어 정확한 네트워크 이름과 비밀번호를 확인하라 — 어떤 네트워크인지 페이지가 알려주는 대로 믿지 마라.
  5. 포털이 요구하는 최소한의 정보만 입력하라 — 대개는 객실 번호, 성, 혹은 직접 전달받은 코드 정도다. 이메일 비밀번호나 다른 곳에서 사용하는 계정 정보는 절대 입력하지 마라.
  6. 포털을 통과했다면 다른 무엇을 하기 전에 먼저 VPN을 켜라. 이는 가장 효과적인 단일 조치인데, 네트워크 자체가 악의적이더라도 이 시점 이후의 모든 트래픽이 터널 안에서 암호화되어 네트워크 운영자(혹은 그 네트워크에 있는 공격자)가 읽거나 리디렉션할 수 없기 때문이다. 이메일을 확인하거나, 어딘가에 로그인하거나, 은행 앱을 열기 전에 반드시 이 작업을 먼저 하라.
  7. VPN이 없다면 민감한 로그인은 나중으로 미루거나 스마트폰의 셀룰러 데이터를 대신 사용하라. 스마트폰을 개인 핫스팟으로 전환해 노트북을 연결하면, 짧은 시간이라도 은행 업무, 회사 이메일, 비밀번호 관리자 잠금 해제 같은 민감한 작업에서 시설 네트워크를 완전히 피할 수 있다.
  8. 떠날 때는 그 네트워크를 삭제하라(스마트폰과 노트북 모두에서) — 저장된 네트워크 목록에 무기한 남겨두지 말고.

이미 속았을지도 모른다고 생각된다면

와이파이 로그인 페이지에 마이크로소프트, 구글, 혹은 다른 계정의 비밀번호를 입력했거나, 본인이 직접 시작하지 않은 디바이스 코드 입력 절차를 완료했다면, 해당 계정이 이미 탈취되었다고 간주하라. 신뢰할 수 있는 네트워크나 기기에서 즉시 비밀번호를 변경하고, 계정의 최근 로그인 활동과 연결된 기기/세션을 확인해 낯선 항목은 모두 로그아웃시키고, 승인한 적 없는 연결된 앱이나 '계정에 접근 권한이 있는 앱' 목록을 검토하라 — 디바이스 코드 피싱은 비밀번호 없이도 공격자에게 토큰을 넘겨주기 때문에, 비밀번호만 바꿔서는 공격자의 접근 권한이 사라지지 않을 수 있다. 만약 팝업에서 '지금 업데이트'를 클릭했거나 명령어를 실행했다면, 해당 기기를 즉시 인터넷에서 분리하고 검사나 초기화(재설치)를 거치기 전까지는 감염된 것으로 간주하라. 이런 유형의 캠페인에서 확인된 페이로드에는 키 입력을 기록하고 웹캠이나 마이크를 활성화할 수 있는 도구가 포함되어 있었기 때문이다.

핵심 요약

캡티브 포털 자체가 본질적으로 수상한 것은 아니다 — 이는 여행 중 겪는 지극히 평범하고 지루한 절차일 뿐이다. 위험도를 바꾸는 것은 그 페이지가 당신에게 무엇을 요구하느냐이다. 객실 번호를 요구하는 페이지는 제 할 일을 하고 있는 것이다. 반면 마이크로소프트 비밀번호나 디바이스 코드, 혹은 터미널에 붙여넣을 명령어를 요구하는 페이지는 더 이상 와이파이 로그인 화면이 아니다 — 그것은 로그인 화면을 가면으로 쓴 피싱 페이지다. 이 차이를 아는 것, 그리고 민감한 작업을 할 때는 VPN이나 스마트폰 핫스팟을 활용하는 것이야말로 이런 공격이 노리는 바로 그 순간을 원천봉쇄하는 방법이다.