인터넷 보안 상식 퀴즈 12문제 - 피싱 주소 읽는 법, HTTPS가 보장하는 것, 공용 와이파이와 VPN, 심 스와핑, 비밀번호 재사용, 랜섬웨어 대응, 앱 권한, 브라우저 확장 프로그램, 유출 확인, 자녀 계정, 백신의 한계, 보안 업데이트

정답과 해설

1. 문자로 받은 주소가 https://www.mybank.co.kr.login-check.net/auth 였다. 실제로 접속되는 곳은? — 정답: login-check.net. 도메인의 주인은 마지막 점 앞쪽 두 조각으로 정해지고 앞의 mybank.co.kr은 하위 이름일 뿐이다. 주소에서 첫 번째 슬래시가 나오기 전까지가 호스트 이름이고, 이 이름은 오른쪽으로 갈수록 상위입니다. 실제 주인은 맨 오른쪽의 등록 도메인, 여기서는 login-check.net입니다. 앞에 붙은 mybank.co.kr은 그 사람이 마음대로 만들 수 있는 하위 이름이라 아무 의미가 없습니다. 피싱 주소는 이 순서를 헷갈리게 만드는 방식과 글자를 하나 바꾸는 방식을 주로 씁니다. 문자나 메일에 실린 링크를 누르는 대신 평소 쓰던 앱이나 즐겨찾기로 들어가는 것이 가장 확실합니다.
2. 주소창에 자물쇠가 보이고 https로 시작할 때 보장되는 것은? — 정답: 내 기기와 그 서버 사이의 통신 내용이 암호화된다는 것까지이고, 그 서버가 정직한 곳이라는 뜻은 아니다. HTTPS는 전송 구간을 암호화해 중간에서 내용을 훔쳐보거나 바꾸지 못하게 하고, 접속한 서버가 그 도메인의 인증서를 가진 서버가 맞는지 확인해 줍니다. 딱 거기까지입니다. 인증서는 무료로도 발급되기 때문에 피싱 사이트도 대부분 자물쇠를 달고 있습니다. 즉 자물쇠는 이 대화가 도청되지 않는다는 표시일 뿐, 대화 상대가 믿을 만한지는 도메인 이름을 직접 확인해야 알 수 있습니다.
3. 카페의 공용 와이파이를 쓸 때의 위험과 VPN의 역할을 바르게 설명한 것은? — 정답: 카페 이름을 흉내 낸 가짜 접속점에 붙을 위험이 있고, VPN은 통신을 VPN 서버까지 감싸 같은 망에 있는 사람의 엿보기를 막아 주지만 계정 유출이나 악성코드까지 막아 주지는 않는다. 요즘은 대부분의 사이트가 HTTPS를 쓰기 때문에 같은 와이파이에 있는 사람이 내용을 그대로 읽어 내기는 어렵습니다. 남는 위험은 두 가지입니다. 하나는 접속한 도메인 같은 흔적이 드러나는 것, 다른 하나는 매장 이름을 그대로 흉내 낸 가짜 접속점에 자기도 모르게 붙는 것입니다. VPN은 기기에서 VPN 서버까지 통신을 한 번 더 감싸므로 이런 국지적인 엿보기를 줄여 줍니다. 다만 그 뒤로는 평소와 같아서, 피싱 사이트에 비밀번호를 넣거나 이상한 파일을 받는 일은 그대로 위험합니다.
4. 문자로 받는 인증번호 방식의 2단계 인증이 뚫리는 대표적인 수법인 심 스와핑은? — 정답: 남의 명의를 도용해 통신사에서 번호를 공격자 유심으로 옮긴 뒤 인증번호 문자를 대신 받는 방식. 심 스와핑은 신분을 사칭해 번호 이전이나 유심 재발급을 받아 내는 방식입니다. 번호가 넘어가면 그 뒤로 오는 인증번호 문자는 전부 공격자가 받게 되므로, 비밀번호를 알고 있던 계정의 2단계 인증이 그대로 풀립니다. 그래서 문자보다 인증 앱으로 코드를 만드는 방식이나 보안키를 쓰는 쪽이 안전합니다. 통신사에서 제공하는 번호이동 잠금이나 명의도용 방지 서비스를 걸어 두는 것도 도움이 되고, 갑자기 휴대폰이 먹통이 되며 신호가 끊기면 곧바로 통신사에 확인해야 합니다.
5. 여러 사이트에 같은 비밀번호를 쓰면 특히 위험한 이유는? — 정답: 한 곳에서 유출된 아이디와 비밀번호 목록을 다른 사이트에 그대로 자동 대입하는 공격이 흔하기 때문. 어느 한 곳이 털리면 그 아이디와 비밀번호 조합이 목록으로 돌아다니고, 공격자는 그것을 다른 사이트에 기계적으로 대입해 봅니다. 이것을 크리덴셜 스터핑이라고 부르는데, 대부분의 계정 도용이 정교한 해킹이 아니라 이 방식으로 일어납니다. 그래서 비밀번호를 복잡하게 만드는 것보다 사이트마다 다르게 쓰는 쪽이 훨씬 중요합니다. 다 외울 수 없으니 비밀번호 관리 도구나 브라우저의 저장 기능을 쓰고, 메일 계정처럼 다른 계정을 되찾는 열쇠가 되는 곳만은 따로 관리하는 것이 좋습니다.
6. 랜섬웨어에 감염돼 파일이 암호화되고 금전을 요구받았다. 대응으로 가장 적절한 것은? — 정답: 감염된 기기를 네트워크에서 분리하고 돈은 보내지 않은 채, 따로 보관해 둔 백업으로 복구하며 신고한다. 돈을 보내도 복구 도구를 준다는 보장이 없고, 준다 해도 제대로 풀리지 않는 경우가 많으며 다음 범행의 자금이 됩니다. 실질적인 대비책은 백업뿐인데, 이때 백업 매체가 계속 연결돼 있으면 함께 암호화될 수 있으므로 평소에는 분리해 두어야 합니다. 감염을 알아차렸다면 우선 랜선을 뽑고 와이파이를 끄는 등 네트워크에서 떼어 내 다른 기기와 공유 폴더로 번지는 것을 막습니다. 침해 사고는 한국인터넷진흥원 상담 번호(국번 없이 118)로 신고하고 안내를 받을 수 있습니다.
7. 앱을 설치할 때 요구하는 권한을 판단하는 기준으로 가장 적절한 것은? — 정답: 그 앱의 기능에 꼭 필요한 권한인지 따져 보고, 무관해 보이는 권한은 거부하거나 사용할 때만 허용으로 두는 것. 손전등이나 간단한 계산기 앱이 연락처와 문자, 통화 기록을 요구한다면 기능과 무관한 요구입니다. 특히 화면 내용을 읽고 대신 조작할 수 있는 접근성 권한이나 다른 앱 위에 창을 띄우는 권한은 악용될 여지가 커서, 정말 필요한 앱에만 주어야 합니다. 권한은 설정에서 언제든 다시 끌 수 있고, 위치나 카메라처럼 앱 사용 중에만 허용으로 바꿀 수 있는 항목도 많습니다. 문자로 받은 링크나 출처를 알 수 없는 파일로 앱을 설치하지 않는 것이 그다음으로 중요합니다.
8. 브라우저 확장 프로그램이 위험할 수 있는 이유로 맞는 것은? — 정답: 방문하는 페이지의 내용을 읽고 바꿀 수 있는 권한을 갖는 경우가 많아, 업데이트로 성격이 바뀌면 그 권한이 그대로 악용될 수 있기 때문. 확장 프로그램은 편의를 위해 모든 사이트의 데이터를 읽고 변경할 수 있는 권한을 요구하는 일이 흔합니다. 그 권한이면 입력하는 내용을 들여다보거나 화면에 다른 것을 끼워 넣는 일도 가능합니다. 문제는 처음에는 멀쩡하던 확장이 개발자가 바뀌거나 팔린 뒤 업데이트를 통해 성격이 달라지는 경우가 실제로 있었다는 점입니다. 쓰지 않는 확장은 지우고, 설치할 때 요구 권한과 최근 후기를 확인하며, 금융 거래를 하는 브라우저에는 확장을 최소한만 두는 편이 안전합니다.
9. 내 계정 정보가 유출된 적이 있는지 확인하고 대응하는 방법으로 적절한 것은? — 정답: 유출 여부를 조회해 주는 서비스나 브라우저의 유출 경고 기능을 활용하고, 확인 여부와 상관없이 돌려쓰던 비밀번호부터 바꾼다. 개인정보보호위원회와 한국인터넷진흥원이 함께 운영하는 털린 내 정보 찾기 서비스처럼 유출 여부를 조회해 볼 수 있는 창구가 있고, 브라우저나 운영체제에도 저장된 비밀번호가 유출 목록에 있으면 알려 주는 기능이 들어 있습니다. 다만 이런 조회는 알려진 유출 자료를 기준으로 하기 때문에 결과에 없다고 안전이 보장되지는 않습니다. 확인보다 중요한 것은 습관 쪽입니다. 같은 비밀번호를 쓰던 곳부터 바꾸고, 메일과 금융 계정에 2단계 인증을 켜 두면 유출이 곧바로 피해로 이어지는 길이 끊깁니다.
10. 자녀가 쓰는 계정과 기기를 챙길 때의 설명으로 맞는 것은? — 정답: 만 14세 미만 아동의 개인정보를 수집하려면 법정대리인의 동의가 필요하고, 가족 관리 기능으로 결제와 앱 설치, 이용 시간을 함께 설정할 수 있다. 개인정보보호법은 만 14세 미만 아동의 개인정보를 처리할 때 법정대리인의 동의를 받도록 하고, 동의 내용을 아동이 이해하기 쉬운 말로 알리도록 하고 있습니다. 실무적으로는 스마트폰과 계정의 가족 관리 기능을 쓰는 편이 편합니다. 앱 설치와 결제에 보호자 승인을 걸고, 이용 시간과 연령 등급을 정해 둘 수 있습니다. 결제 승인은 기본값이 아니라 따로 켜야 하는 설정인 경우가 많으니 등록만 해 두고 안심하지 않는 편이 좋습니다.
11. 백신(보안 프로그램)의 한계에 대한 설명으로 맞는 것은? — 정답: 알려진 악성코드와 의심스러운 행위를 잡는 것이라 신종이나 변종, 정상 프로그램을 이용한 공격은 놓칠 수 있다. 백신은 알려진 악성코드의 특징과 수상한 동작 패턴을 근거로 걸러 냅니다. 그래서 아직 알려지지 않은 신종이나 조금씩 모양을 바꾼 변종, 정상적인 원격 제어 도구를 그대로 쓰는 공격 앞에서는 한계가 있습니다. 게다가 사용자가 직접 비밀번호를 넘겨주는 피싱은 애초에 악성코드가 개입하지 않아 탐지 대상이 아닙니다. 백신 여러 개를 함께 돌리면 서로 충돌해 오히려 불안정해지므로 하나만 쓰고, 나머지는 업데이트와 백업, 확인하는 습관으로 메우는 편이 현실적입니다.
12. 운영체제와 프로그램의 보안 업데이트를 미루면 안 되는 이유로 가장 정확한 것은? — 정답: 패치는 이미 공개된 취약점을 막는 것이라, 공개된 뒤에는 그 약점을 노린 공격이 오히려 늘어나기 때문. 보안 패치가 나온다는 것은 그 제품에 어떤 약점이 있었는지가 함께 알려진다는 뜻이기도 합니다. 그래서 패치가 공개된 직후가 아직 업데이트하지 않은 기기에는 가장 위험한 시기입니다. 자주 잊는 것이 공유기 펌웨어와 오래된 스마트폰입니다. 제조사 지원이 끝난 기기는 새 취약점이 나와도 고쳐지지 않으므로, 계속 쓰려면 중요한 금융 거래는 다른 기기에서 하는 식으로 역할을 나누는 것이 안전합니다.

주소는 오른쪽부터 읽는다

호스트 이름의 주인은 맨 오른쪽 두 조각입니다. mybank.co.kr.login-check.net으로 접속하면 실제로 가는 곳은 login-check.net이고, 앞에 붙은 은행 이름은 누구나 만들 수 있는 하위 이름입니다. 자물쇠와 https는 통신이 암호화된다는 뜻일 뿐 상대가 정직하다는 보증이 아니며, 피싱 사이트도 대부분 인증서를 달고 있습니다. 링크를 누르는 대신 쓰던 앱이나 즐겨찾기로 들어가는 습관이 가장 확실합니다.

계정을 지키는 두 가지

계정 도용은 대개 정교한 해킹이 아니라 재사용된 비밀번호에서 시작합니다. 한 곳에서 샌 목록을 다른 사이트에 그대로 대입하는 방식이라, 사이트마다 다르게 쓰는 것이 복잡하게 만드는 것보다 중요합니다. 여기에 2단계 인증을 더하되, 문자 인증은 번호를 빼앗기는 심 스와핑에 취약하므로 중요한 계정은 인증 앱이나 보안키를 쓰는 편이 낫습니다.

막지 못했을 때를 준비한다

백신은 알려진 것과 수상한 행위를 걸러 낼 뿐이고, 사용자가 직접 넘겨준 비밀번호는 탐지 대상이 아닙니다. 그래서 백업이 마지막 방어선이 됩니다. 랜섬웨어는 연결된 저장소까지 함께 암호화하므로 백업 매체는 평소 분리해 두고, 감염을 알아차리면 네트워크부터 끊은 뒤 한국인터넷진흥원 상담 번호(국번 없이 118)로 신고하세요. 운영체제와 공유기 펌웨어 업데이트는 이미 공개된 약점을 막는 일이라 미룰수록 위험이 커집니다.

자주 묻는 질문