우리 대부분은 '계정이 해킹당했다'는 신호를 감지하는 나름의 촉이 있다. 요청하지 않은 비밀번호 재설정 이메일, 낯선 도시에서 로그인했다는 문자, 갑자기 잠긴 계정 같은 것들이다. 이런 촉은 누군가 비밀번호를 추측하거나 무차별 대입으로 뚫으려 하던 시절에는 꽤 잘 통했다. 하지만 최근 사건들에서 등장하는 접근 방식들, 애초에 이런 경보를 울리지 않도록 설계된 방식들 앞에서는 거의 무용지물이다.

최근 몇 주 사이의 두 사례가 이 패턴을 잘 보여준다. 맬웨어바이츠는 2026년 8월 3일 공개한 보고서에서 왓츠앱 사기를 다뤘는데, 피해자는 이른바 '왓츠앱 웹 설정'처럼 보이는 절차를 안내받고—때로는 실제 wa.me 도메인에서 진행되기도 한다—결국 공격자의 기기를 자신의 계정에 연결시키는 코드를 입력하게 된다. 어디에도 비밀번호를 입력하지 않기 때문에 비밀번호 재설정 이메일도, 로그인 실패 경고도 뜨지 않는다. 공격자의 기기는 그저 계정의 연결된 기기 목록에 조용히 하나 추가될 뿐이며, 읽기와 전송 권한을 모두 가진 채로 피해자의 연락처 목록을 상대로 같은 사기를 다시 벌이는 데 쓰인다. 별개로 마이크로소프트는 'CaptiveCrunch'라고 명명한 캠페인을 경고했는데, 이는 호텔이나 컨퍼런스 와이파이의 캡티브 포털을 이용하는 여행객을 가로채 가짜 로그인 페이지로 유도한 뒤 비밀번호뿐 아니라 기기 코드와 OAuth 토큰까지 빼돌린다. 이런 자격 증명은 비밀번호 변경 시 뜨는 것과 같은 '새 로그인' 알림을 전혀 발생시키지 않고도 접근 권한을 내준다.

공통점은 이렇다. 두 공격 모두 비밀번호 자체가 아니라 세션 및 권한 부여 메커니즘—연결된 기기, OAuth 승인, 기기 코드—을 노린다. 계정에 내장된 경보 시스템은 정문을 지키도록 설계되어 있다. 그런데 이런 수법들은 그 시스템이 감시하지 않는 옆문으로 들어온다.

실제로 무엇을 해야 할까

오지 않을 알림을 마냥 기다릴 수는 없다. 대신 자신의 연결된 기기와 승인된 앱을 확인하는 일을 스스로 챙기는 하나의 습관으로 만들어야 한다. 마치 화재경보기 배터리를 점검하듯이 말이다. 순서대로 실행할 구체적인 절차는 다음과 같다.

1. 메신저 앱의 연결/활성 기기 확인하기

  • 왓츠앱: 설정 → 연결된 기기. 낯선 기기가 보이면 눌러서 '로그아웃'하라.
  • 텔레그램: 설정 → 기기. 마찬가지로, 지금 손에 쥐고 있는 실제 기기가 아닌 세션은 모두 종료하라.
  • 시그널: 설정 → 연결된 기기, 같은 방식으로 확인하라.

2. 주요 계정의 활성 세션과 타사 앱 접근 권한 확인하기

  • 구글: myaccount.google.com/security → '내 기기'와 '계정에 접근 권한이 있는 타사 앱'. 낯선 항목은 모두 취소하고, 특히 몇 달 또는 몇 년 전에 권한을 부여하고 잊고 있던 앱들을 특별히 주의 깊게 살펴라. 오래된 권한 부여도 공격자에게는 최근 것 못지않게 유용하다.
  • 마이크로소프트: account.microsoft.com/security → '로그인 활동'과 '앱 권한'.
  • 애플 ID: 설정 → [내 이름] → 하단의 기기 목록을 확인하라.
  • 페이스북/인스타그램: 설정 → '로그인 위치' / '활성 세션', 그리고 연결된 타사 접근 권한을 보려면 '앱 및 웹사이트'.

3. 비밀번호가 아니라 코드를 입력하라고 요구하는 절차는 의심하라

'이 기기 연결하기' 같은 정상적인 절차도 실제로 코드를 사용하므로, 코드 입력 자체가 무조건 위험 신호는 아니다. 정말 경계해야 할 것은 그 절차가 시작된 계기다. 지인이 보낸 메시지('나 좀 투표해줘', '이거 한번 봐봐')로 인해 코드 입력 화면이 떴거나, 공용 와이파이의 캡티브 포털에서 그렇게 됐거나, 자신이 먼저 시작하지 않은 어떤 링크로 인한 것이라면, 그 결백이 입증되기 전까지는 적대적인 것으로 간주하라. 그 화면을 닫고, 링크를 통해 계속 진행하는 대신 해당 앱이나 계정으로 직접 이동하라.

4. 자신의 이메일이 알려진 유출 사고에 노출됐는지 확인하기

보안 연구자 트로이 헌트가 운영하는 Have I Been Pwned(haveibeenpwned.com)는 자신의 이메일 주소가 알려진 데이터 유출 사고에 등장하는지 확인할 수 있는 무료의 정평 있는 서비스다. 각국 정부도 자국 도메인 확인에 이 서비스를 쓸 정도로 신뢰도가 높다(이번 주 보도에 따르면 네팔의 국가 사이버 보안 센터가 47번째로 이 서비스에 등록한 정부 기관이 되었다). 연결된 기기가 탈취된 경우까지 잡아내지는 못하지만, 주요 이메일 주소를 대상으로 돌려볼 만한 빠르고 무료인 점검이며, 계정에 문제가 있는 것 같은데 어디서부터 손대야 할지 모르겠다면 가장 먼저 해볼 만한 조치다.

5. 신뢰할 수 없는 네트워크—호텔, 컨퍼런스, 공항 와이파이—에서는 캡티브 포털 페이지 자체를 통해 민감한 계정에 로그인하지 말 것

호텔이나 행사장의 와이파이 로그인 페이지가 인터넷 접속을 허용하기 전에 소프트웨어 업데이트, '보안 검사' 대화상자, 또는 마이크로소프트/구글 로그인을 요구한다면 경계하라. 일단 접속만 한 뒤, 실제 로그인은 그 네트워크가 띄운 페이지가 아니라 휴대폰의 셀룰러 연결이나 VPN을 통해서 하라.

달력에 표시해 두라

한 번의 정리 작업으로 오늘의 문제는 해결되지만 다음 분기의 문제까지 막아주지는 못한다. 반복 알림을 하나 정해두자. 분기마다 한 번이 적당한 주기일 수도 있고, 계절이 바뀔 때나 정기적으로 내는 청구서처럼 이미 하고 있는 습관에 엮어도 좋다. 그리고 그때마다 가장 중요한 계정 두세 개—주요 이메일, 가장 많이 쓰는 메신저 앱, 그리고 금융과 연결된 계정—를 대상으로 위의 1단계와 2단계를 실행하라. 메뉴 위치를 알고 나면 15분도 채 걸리지 않으며, 애초에 사용자에게 알리지 않도록 설계된 접근을 잡아낼 수 있는 유일하고 믿을 만한 방법이다.