# 개인 차원에서 실천 가능한 보안 대책, 어디부터 시작해야 할까? 국가와 경찰청이 발표한 내용을 바탕으로 해킹을 막는 순서를 정리했습니다.

> https://bookfactory.kr/board/news/23647
> 게시판: 뉴스
> 작성자: admin
> 작성일: 2026-10-24T15:40:42.574Z

---

개인 차원에서 할 수 있는 #보안 대책은 어디부터 시작해야 할지 이번에는 정부와 경찰의 발표를 바탕으로 순서를 정리해 보았습니다. 계기는 지난 한 달 동안 보안 관련 뉴스가 모두 심각한 사례였기 때문입니다.昨日 10 월 23 일에는 조상쿠쿠쿠쿠가 '오니모치 쿼에스트 서비스'에 대한 불법 접근으로 최대 약 5,323 만 건의 개인정보가 유출될 가능성이 있다고 공표했습니다. 대상은 6 월 하순부터 9 월 말까지 발송된 송장 에 적힌 송신자 및 수취인의 성명, 주소, 전화번호이며, 화물을 수령한 사람도 포함될 수 있습니다.

지난 한 달을 거슬러 올라가면, 더 큰 보안 사고들이 잇따라 발생했습니다. 9 월 말에는 타임즈카 (TimesCar) 에서 퇴출된 회원 포함 약 660 만 건의 회원 정보가 제 3 자에게 유출되었습니다. 10 월 15 일에는 소스ネク스트 (SourceNext) 가 2,251 만 건 이상의 회원 정보가 유출될 가능성을 공표했는데, 그 데이터에는 비밀번호도 포함되어 있었습니다. 10 월 21 일에는 전 세계 웹 사이트에서 사용 중인 PHP 에 #PHP2Shell 이라는 중대한 취약점이 발견되었고, 일본 총리가 X (트위터) 에서 대응을 촉구하는 발표까지 했습니다. 또한 정보처리推進機構 (IPA) 은 10 월 9 일 잇따른 불법 접근을 받아 기업들에게 긴급 점검을 요청했습니다.

병렬로 살펴보면, 이미 "어느 회사에서 드물게 발생하는 사건"이라는 수준을 넘어섰습니다. 🌊 사쿠라가이 급배의 사건에서는 비밀번호나 카드 정보가 대상에서 제외되었지만, 이름, 주소, 전화번호가 모두揃으면, 진짜처럼 보이는 '재택 통지'의 위조 SMS 를 만들기 쉬워집니다. 유출된 정보는 다음 피싱 공격의 자료가 될 것입니다.

기업 측에서 정보가 유출되거나 시스템에 취약점이 발견되는 것은 사용자로서는 막을 수 없는 일입니다. 하지만 유출된 정보를 이용해 자신의 계정에 침입하는 것을 막는 방어책은 오늘부터 스스로 할 수 있습니다. 물론 "비밀번호를 변경하세요", "2 단계 인증을 설정하세요"라는 조언을 많이 받지만, 무엇이 가장 중요하고 어디부터 시작해야 할지 막히죠🤔 #비밀번호관리 하나의 예로만 해도, #비밀번호관리자를 사용하는지 아니면 종이에 적는지 고민하는 사람이 많다고 생각합니다.

조사해 보니 정답은 대체로 명확했습니다. 우선 보호해야 할 것은 구글과 애플 계정과 이메일이며, 보호 방법은 사용 가능한 것 중 #패스키가 가장 강력합니다. 패스키는 비밀번호 입력을 대신해 스마트폰의 얼굴 인식이나 지문으로 로그인하는 새로운 방식이며, 위조 사이트에는 반응하지 않는 것이 특징입니다. 이 글에서는 금융당국과 경찰, 해외 공공기관의 발표를 바탕으로 #생성 AI 가 고도화한 기법을 함께 살펴보고, 왜 그 순서로 해야 하는지 확인하며 오늘 해야 할 일을 정리해 보겠습니다.

PHP2Shell 에 관해서는 이전 기고에서 역할별로 수행해야 할 사항을 정리하고, 그 전에 정보 유출 피해를 최소화하는 6 가지 대비책을 언급했습니다. 두 글 모두 '패스키 등으로 유출되더라도 우회되지 않는 상태로 유지한다'는 점을 강조했지만, 이번에는 그 내용을 더 깊이 비교해 보겠습니다.

![画像](https://assets.st-note.com/img/1792833738-P6VsUGpaLg3jCISlwhkHOmtQ.png?width=1200)

## 공격側に AI 가 개입하면 달라진 것은 '해독할 수 있는가' 여부입니다.

![画像](https://assets.st-note.com/img/1792833788-tmuCfw6ARgLac2psGeidqjMZ.png?width=1200)

먼저, 무엇이 달라졌는지 확인해 보자. #피싱은 실제 기업이나 서비스를 위장한 가짜 메일이나 SMS 를 통해 가짜 사이트에 유인하여 ID 나 비밀번호를 탈취하는 수단을 말한다. 과거에는 비자연스러운 일본어나 오타로 쉽게 발견할 수 있었다.

그러나 마이크로소프트의 '2025 디지털 방어 보고서'를 소개한 기사에 따르면, 기존 방식의 위장 메일 클릭률은 12%였으나 AI 가 생성한 위장 메일은 54%에 달했다. AI 가 오타나 어색한 표현을 제거함으로써 인간의 눈이나 필터에서도 구별하기 어려워졌다는 분석이다.

위조 사이트도 같은 흐름을 보이고 있습니다💡 Zscaler 의 2026 년 보고서에 따르면 생성 AI 로 제작된 사이트가 41 만 개 이상 발견되었으며, 그 중 약 10% 가 악의적인 것으로 보고되었습니다. 과거에는 수일 걸려 만들던 본질과 유사한 로그인 화면이 이제는 수 분 만에 구축될 수 있게 되었습니다. 일본 또한 세계의 공격 대상 국가 상위 10 개에 이름을 올렸다고 보고되었습니다.

구멍을 찾아내는 쪽에서도 이미 AI 가 작동하고 있습니다. 이전 기사에서 언급한 PHP2Shell 은 Wiz 가 AI 를 활용한 조사 과정에서 10 년 이상 PHP 코드 속에 숨겨져 있던 취약점을 찾아낸 사례였습니다. 같은 기술이 공격자도 손에 쥐게 되므로, 취약점이 발견되어 공격당할 때까지의 간격이 점점 짧아질 것 같습니다.

### 일시 비밀번호도 즉시 중계됩니다.

또 하나의 변화는 #리얼타임피싱입니다. 리얼타임피싱이란 가짜 사이트가 진짜 사이트와의 모든 통신을 중개하여 입력된 아이디, 비밀번호, 일회용 비밀번호까지 실시간으로 진짜 사이트로 유입시키는 공격 기법입니다. 사용자가 "정상적으로 로그인했다"고 생각할 때, 공격자가 같은 타이밍에 침입하고 있는 것입니다.

이러한 수법으로 한꺼번에 알려지게 된 것이 2025 년 증권 계좌 탈취 사건입니다. 금융당국의 자료에 따르면, 2025 년 1 월에서 6 월 사이만 해도 불법 접근 사건이 1 만 2,758 건 발생했고, 불법 거래 금액은 5,700 억 원을 초과했다고 보도되었습니다.

일본 증권업협회는 같은 해 4 월에 로그인 시 다중 인증을 필수로 하는 58 개사를 발표했습니다. 다중 인증이란 비밀번호에 더해 스마트폰으로 전달되는 코드나 지문 등 다른 형태의 인증을 결합하는 방식입니다.

여기서 가장 중요한 것은 AI 가 능숙해진 것이 '글', '화면', '속도'라는 세 가지라는 점입니다. 즉, 의심스러운 것을 눈으로 바로 파악하는 방어법이 가장 먼저 무력화되고 있다는 뜻입니다. 따라서 다음으로 살펴볼 것은 눈으로 파악되지 않더라도 보호해 주는 시스템이어야 합니다.

## 네 가지 로그인 방법을 비교해 보면, 중계를 우회할 수 있는 것은 오직 패스키뿐입니다.

![画像](https://assets.st-note.com/img/1792833827-kEngR0miJ6IWLZtxOa8Y3oCs.png?width=1200)

이 부분이 비교의 본전입니다. ✅ 비교할 것은 비밀번호만, 비밀번호 + SMS 또는 이메일 코드, 비밀번호 + 인증 앱, 그리고 패스키의 네 가지입니다. 비밀번호만 있는 상태는 비밀번호가 유출되면 누구나 접근할 수 있기 때문에, 먼저 나머지 세 가지를 살펴볼게요.

### 📌 SMS 와 이메일 코드: 설정만 하면 크게 달라집니다

SMS 인증은 로그인 시마다 등록한 전화번호나 이메일 주소로 전송된 숫자 코드를 입력하는 방식입니다.大阪府警察은 다중 인증 방법 중 가장 취약하다고 평가하면서도, 설정만으로도 보안이 크게 향상된다고 설명하고 있습니다. 반면 SIM 스와핑, 스마트폰에 침투하는 악성 앱, 실시간 피싱 공격에는 견디지 못한다고 정리하고 있습니다. SIM 스와핑이란 통신사 절차를 악용하여 타인의 전화번호를 자신의 SIM 카드로 이동시키는 수단을 말합니다.

위 1 차 번역문에 미번역된 어휘가 있다면 매끄럽고 완벽한 한국어로 교정하세요. 고유명사, 인명, 수치는 원문 그대로 보존하고, 최종 한국어 결과만 출력하세요.

### 인증 앱: SMS 보다 한 단계 강력하지만, 중계에는 취약함

인증 앱은 구글 인증 앱이나 마이크로소프트 인증 앱과 같이 스마트폰 앱이 30 초마다 새로운 인증 코드를 생성하는 방식입니다. 이 코드가 전화번호와 연동되지 않아 SIM 스와핑 공격에 강합니다. 다만, 이 코드를 사람이 가짜 사이트에 입력해버리면 중계되는 결과가 달라지지 않습니다. 💦

### ✨ 패스키: 위조 사이트는 처음부터 응답하지 않습니다.

패스키는 비밀번호 대신 스마트폰이나 컴퓨터에 저장된'키'와 얼굴 인식, 지문, 화면 잠금 PIN 으로 본인 인증을 하는 방식입니다. 핵심은 이 키가 실제 사이트의 주소와 연결되어 있다는 점입니다. 가짜 사이트가 얼마나 진짜와 비슷해 보여도 주소가 다르면 키는 응답하지 않으므로, 중계하더라도 전달할 것이 없습니다. 또한 사람이 코드를 직접 입력하는 장면을 없애기 때문에 속여 입력하게 할 수도 없습니다.

영국 국가 사이버 보안 센터 (NCSC) 는 2026 년에 서비스에서 지원 가능한 경우 패스키를, 그렇지 않으면 2 단계 인증을 사용하도록 권고했습니다. 구현이나 사용 방식에 다소의 결함이 있더라도 패스키는 기존 다중 인증 방식보다 더 강력하다는 것이 NCSC 의 결론입니다.

일본 금융당국은 2026 년 4 월부터 은행, 증권사, 경찰청과 함께 피싱 공격에 강한 다중 인증 방식을 홍보하고 있습니다. 홍보 자료에는 가짜 사이트로 유인당해도 패스키나 PKI 인증이 보호해 준다고 명시되어 있습니다. PKI 인증은 마이ナンバー카드 등의 전자 증명서를 사용하는 방식입니다.

네 가지 방법을 비교해 보니, 강도의 차이는 사용자가 입력하는지에 따라 결정된다는 사실을 깨달았습니다. 💡 입력 방식은 입력 대상이 가짜라면 패배하게 되지만, 패스키 (Passkey) 는 입력 자체를 없애는 방식으로 승리하고 있습니다. FIDO Alliance 의 2026 년 5 월 조사에 따르면 전 세계에 약 50 억 개의 패스키가 사용 중이며, 75% 의 사용자가 적어도 하나의 계정에서 이를 활성화하고 있습니다. 이제 이는 일부 전문가만의 영역이 아닌, 선택할 수 있는 상황이 점점 더 늘어나고 있습니다.

## 패스키에도 취약점이 존재하며, 표적이 되는 곳은 '키 보관함'입니다.

![画像](https://assets.st-note.com/img/1792833861-nPkAx3TzDgcyqta1ZSYpuH70.png?width=1200)

여기서 조사하다 보면 '아, 그렇지?'라고 생각한 적이 있습니다. 패스키가 강해지면 공격자가 패스키를 제외한 다른 곳도 표적으로 삼기 시작하죠.

### 구글과 애플의 계정이 '키 묶음'이 됩니다.

SBI 증권은 2026 년 10 월 2 일 구글과 애플 계정을 표적으로 한 피싱 공격에 주의할 것을 당부했습니다. 다른 증권사에서 구글과 애플 계정이 탈취당했고, 해당 계정에 저장된 패스키나 비밀번호 메모를 이용해 증권 계좌에 접근한 혐의가 있는 사건이 발생했습니다. 패스키가 해킹된 것이 아니라, 패스키를 보관하는 금고 자체가 열려버린 사건이었습니다.

스마트폰으로 생성한 패스키스는 대부분 Google 또는 Apple 계정에 저장되어 기기 변경 시에도 동기화되어 사용할 수 있습니다. 편리한 측면에서, 이 계정이 모든 키를 연결하는 '합鍵의 묶음'이 된다는 점도 있습니다💡SBI 증권은 Google 또는 Apple 계정에 인증 앱과 같은 강력한 2 단계 인증을 설정하고, 계정 복원을 위한 이메일 주소나 전화번호가 본인임을 확인하도록 안내합니다.

### 「키를 갱신하세요」と는 연락이 함정일 수 있습니다

또 하나는 설정 변경 자체를 명분으로 삼는 수법입니다. SBI 증권은 '보안 강화のため 패스키 재등록'이라는 SMS 링크를 클릭하지 않도록 경고하고 있습니다. 마이크로소프트도 2026 년 9 월에 IT 부서라는 명분으로 '패스키 및 다중 인증 설정을 즉시 업데이트하세요'라고 압박하며 가짜 로그인 화면으로 유도하는 공격을 보고했습니다. 탈취된 직원 계정에서 회사 내부 채팅인 Teams 를 통해 동일한 안내를 발송하는 사례도 있었다고 합니다.

즉, 방어력이 강해지면 공격은 '현재 방어 중인 곳'과 '방어 방식을 변경하는 절차'로 집중됩니다. 반대로 생각하면, 패스키를 설정한 후 확인해야 할 곳은 두 곳으로 좁혀집니다. 하나는 구글이나 애플 계정 자체의 방어이고, 다른 하나는 설정 변경 연락이 왔을 때의 대응입니다. 🚀

## 패스워드 매니저는 비밀번호 재사용을 방지하는 도구입니다.

모든 서비스가 패스키에 대응하지는 않기 때문에 비밀번호는 여전히 일정 기간 동안 유지됩니다. 이에 등장하는 것이 비밀번호 관리자입니다. 비밀번호 관리자란 서비스마다 다른 긴 비밀번호를 생성하여 저장하고, 로그인 화면에서 자동으로 입력해 주는 도구입니다. iPhone 의 '비밀번호' 앱이나 Google 비밀번호 관리자처럼, 스마트폰에 기본으로 설치되어 있는 것도 있습니다.

### 목표는 누설된 비밀번호를 다른 곳에서 사용되지 못하게 하는 것입니다.

소개에서 언급한 소스ネク스트의 데이터 유출 사건에서는 비밀번호도 대상에 포함되었습니다. 이 회사는 동일한 이메일 주소와 비밀번호 조합을 다른 서비스에서도 사용하고 있다면, 해당 서비스들도 변경하라고 권고하고 있습니다. 아무리 주의한다고 해도 서비스 제공자 측에서 정보가 유출될 수 있습니다. 따라서 효과적인 방법은 유출되더라도 다른 서비스로 확산되지 않도록 모든 서비스를 별도의 비밀번호로 관리하는 것입니다. ✅

국가 핸드북도 같은 생각을 하고 있습니다. 과거 NISC(현재 국가 사이버 통제실) 의『인터넷의 안전·안심 핸드북』2023 년판에서는 비밀번호의 정기적 변경이 오히려 단순화나 재사용을 초래할 수 있다고 지적하여 권고하지 않았습니다. 관리 방법으로는 스마트폰 비밀번호 관리 앱이나 종이 노트에 적어 보관하는 방식을 제시하고 있습니다.

저도 비밀번호 관리자 (Password Manager) 로 관리하며, 사용하지 않는 서비스는 해지하도록 하고 있습니다. 기억해야 할 것은 시스템에 맡기고, 사람들은 '어디에 입력할지'에만 집중하는 것이 분업입니다.

### 자동 입력으로 제안된 후보라도 본래의 증거가 될 수 없습니다.

다만, 비밀번호 관리자도 만능은 아닙니다. 10 월 초에 구글 공식 서비스 위에 가짜 로그인 화면이 게시되어 비밀번호 관리 도구가 입력 후보를 제시한 사례가 보고되었습니다. 같은 도메인에 가짜 페이지가 생성되면 도구가 이를 구별하지 못할 수도 있습니다. '후보가 나왔으니 진짜다'라고 생각하지 말고, 로그인은 공식 앱이나 북마크에서 시작하는 것이 기본입니다💡

패스워드 매니저는 재사용에 강점이 있지만, 위장 사이트로 입력하는 문제까지 해결하지는 못합니다. 따라서 핵심은 패스키이며, 패스키를 지원하지 않는 서비스를 관리하는 것은 패스워드 매니저의 역할이 되어야 합니다.

### 어떤 것을 써야 할지 막막하다면, 스마트폰에 미리 설치된 기능으로 충분합니다.

![画像](https://assets.st-note.com/img/1792833897-e1g2xjLnlurwsD4R8tGPz9vJ.png?width=1200)

어떤 것을 선택해야 할지 막막하다면, 답은 '현재 스마트폰에 처음부터 들어있는 것'으로 충분합니다🙆‍♂️ iPhone 이라면 '비밀번호' 앱, Android 이라면 Google 비밀번호 관리자 가 들어있으며, 둘 다 무료이고 패스키도 같은 곳에 보관할 수 있습니다. 새로 설치할 필요가 없기 때문에 시작까지의 장벽이 가장 낮습니다.

컴퓨터를 사용하더라도 대부분 그대로 유지됩니다. 애플의 '비밀번호' 앱은 iPhone, iPad, Mac 에서 사용 가능하며, Windows 컴퓨터에서는 Microsoft Store 의 'iCloud for Windows' 를 통해 동일한 내용을 불러올 수 있습니다.

Google 비밀번호 관리자는 동일한 Google 계정으로 로그인한 PC 의 크롬 브라우저와 동기화됩니다. 2025 년부터는 iPhone 의 크롬 브라우저에서도 비밀번호를 저장하여 사용할 수 있게 되었습니다.

iPhone 과 Android 을 오가거나 가족 구성원마다 사용 중인 기종이 다른 경우에도 1Password 나 Bitwarden 같은 전용 앱을 선택할 수 있습니다. 모든 기기에서 동일하게 작동하는 것이 강점이지만, 요금제나 무료 사용 범위는 앱마다 다르므로 공식 홈페이지에서 확인 후 선택해 주세요.

기억해야 할 점은 이전 장의 '키 보관함' 이야기입니다. 스마트폰에 설치된 관리 앱을 사용하면 보관함은 Apple 또는 Google 계정 그 자체로 됩니다. 따라서 앱을 선택한 후 가장 먼저 해야 할 일은 해당 계정의 2 단계 인증을 설정하는 것입니다. 또한, 재사용 중인 비밀번호를 한 번에 모두 변경할 필요는 없습니다. 로그인할 때마다 하나씩 앱이 생성하는 긴 비밀번호로 교체해 나간다면, 비밀번호 재사용 문제는 서서히 사라지게 됩니다.

## 어디부터 고정해야 할까? 오늘의 순서는 '금고'부터입니다.

![画像](https://assets.st-note.com/img/1792833939-6oWMTZ1jIzyC7b4JfaAUPOLi.png?width=1200)

지금까지의 비교 결과를 선택 기준으로 정리해 보겠습니다. 방식은 패스키가 지원되는 경우 패스키, 그렇지 않은 경우 인증 앱, 그리고 그마저 없다면 SMS 또는 이메일 코드 순서대로 선택하시면 됩니다. SMS 코드를 사용하더라도 아무것도 하지 않는 것보다 훨씬 강력해지므로, 완벽하지 않다고 해서 설정하지 않는 것은 아깝습니다. 🙆‍♂️

### 구제 순서는 피해가 연쇄적으로 발생하는 순서입니다.

순서는 파괴 시 연쇄가 더 넓은 범위로 퍼지는 것부터 정합니다.

1. 구글 및 애플 계정과 주요 이메일 주소 2. 은행, 증권, 신용카드 3. 쇼핑 및 SNS 등 자주 사용하는 서비스

구글과 애플 계정은 패스키 보관소이며, 이메일 주소는 다른 서비스의 비밀번호 재설정 연락처입니다. 이 부분이 해킹당하면 나머지 모든 계정이 연쇄적으로 위협받기 때문에 가장 먼저 철저히 보호해야 합니다.

### 설정할 때 지켜야 할 4 가지 규칙

- 설정으로는 이메일이나 SMS 링크를 통해 접근하지 말고, 공식 앱이나 즐겨찾기한 공식 웹사이트에서 접속하세요.
- '패스키 재등록' 및 '설정 업데이트'라는 연락을 받았더라도 공식적으로 확인하기 전까지는 즉시 조치하지 마십시오.
- 계정을 복구하기 위한 이메일 주소와 전화번호가 현재 본인에게 있는지 확인하세요.
- 스마트폰 화면 잠금을 반드시 설정해 두어야 합니다.

금융청의 홍보 자료도 평소와 같은 웹사이트에서 평소와 같은 방식으로 접근하는 것을 권장하고 있습니다. 또한, 패스키는 스마트폰의 얼굴 인식이나 화면 잠금이 최종적인 보안 장벽이 되므로, 화면 잠금이 없는 스마트폰에서는せっかく 마련한 이 보안 장치가 무용지물이 될 것입니다.

## 개인적으로 할 수 있는 보안 대책은 키 보관함에서 패스키로 잠그는 것입니다.

![画像](https://assets.st-note.com/img/1792833976-2clp68RtI91GTxQqdru5DYFf.png?width=1200)

첫 번째 질문으로 돌아보면, 개인이 할 수 있는 보안 대책의 답은 "사용 가능한 한 Google 와 Apple 계정 및 이메일을 패스키로 보호한다"는 것이었습니다. 네 가지 로그인 방법 중 AI 가 고도화된 중계형 공격에도 견딜 수 있었던 것은 패스키뿐이었습니다. SMS 코드나 인증 앱도 재사용이나 총포 공격에는 충분히 효과적이지만, 패스키에 대응하지 않은 서비스에서는 여전히 신뢰할 수 있는 방패입니다. 그리고 패스키를 설정했다면 다음으로 보호해야 할 것은 키 보관함입니다.

공격자가 AI 로 탐지하기 어려운 가짜를 만들 수 있다면, 이를 탐지하지 않아도 승산이 있는 구조로 대응하는 것이 좋다고 생각합니다. 🚀 오늘 할 일은 이 세 가지뿐입니다.

- 구글과 애플 계정과 이메일을 패스키나 인증 앱으로 보호하세요
- 은행과 증권사별로 패스키를 선택할 수 있는지 공식 앱 설정 화면에서 확인하세요.
- 사용 중인 비밀번호를 비밀번호 관리자로 관리하여 서로 다른 비밀번호로 변경하세요.

현재 메인 이메일 주소는 어떤 방식으로 보호되고 있나요?

미셀: 무엇을 지키려 결심하면 혼란은 없다

#AI #사이버보안 #불법접근

**출처:** [note 원문](https://note.com/miccell/n/n4feaeb77c578)

*번역: Qwen 3.5(.48) 초벌 + 교정 38청크*

[원문 보기](https://note.com/miccell/n/n4feaeb77c578) | 출처: note.com