코드의 모양만 보지 말고, 어떤 작업을 승인하는지 확인하세요.
비공개 그룹에 들어가거나 계정을 계속 사용하려면 QR 코드를 스캔해야 한다는 메시지를 받았습니다. 그런데 다음 화면에서는 기기를 연결하라고 합니다. 이 둘은 서로 다른 작업입니다. 승인하기 전에 멈추세요. 정상적인 계정 연결 방식도 부정한 목적으로 이용될 수 있습니다.
종단 간 암호화는 통신에 참여하는 단말 사이의 메시지를 보호합니다. 하지만 지금 메시지를 받는 기기를 사용자가 정말 추가하려 했는지까지 판단할 수는 없습니다. 이 글에서는 웹 링크, 기기 연결 요청, 연락처 확인 코드를 구분하는 방법과 이미 조작했다면 확인해야 할 사항을 설명합니다.
서로 다른 두 가지 QR 코드 함정
가짜 웹사이트: 코드를 읽으면 익숙한 서비스를 흉내 낸 페이지가 열리고 비밀번호나 다른 민감한 정보를 요구합니다. 미국 연방거래위원회(FTC)는 예상하지 못한 메시지에 담긴 QR 코드를 경고하며, 메시지의 지시를 따르기보다 목적지를 확인하고 이미 알고 있는 연락 수단으로 발신자로 주장되는 사람에게 연락하라고 권합니다. 익숙한 로고만으로 누가 페이지를 운영하는지 알 수는 없습니다. FTC의 QR 코드 사기 안내.
원치 않는 연결 기기: 공격자는 자신의 컴퓨터나 다른 기기를 피해자의 메신저 계정에 연결하도록 설득합니다. 이는 암호화를 깨는 대신 정상적인 기능을 악용하는 수법일 수 있습니다. Google Threat Intelligence는 그룹 초대나 보안 알림으로 위장한 Signal 기기 연결 공격을 기록했습니다. 관찰된 공격에서는 연결에 성공하면 이후 메시지가 공격자가 통제하는 기기로 전달됐습니다. Google의 기기 연결 피싱 조사.
이 차이가 중요합니다. 비밀번호 변경은 연결된 기기 확인을 대신하지 못합니다. 마찬가지로 카메라를 코드에 갖다 댔다는 사실만으로 계정이 탈취됐다고 단정할 수 없습니다. 어떤 페이지가 열렸고, 어떤 정보를 제공했으며, 무슨 작업을 승인했는지 확인하세요.
비슷하게 생긴 세 가지 코드, 서로 다른 세 가지 목적
| 코드 또는 화면 | 원래 목적 | 진행하기 전에 물을 질문 |
|---|---|---|
| 웹사이트 QR 코드 | 주소 열기 | 내가 별도로 확인하고 예상했던 목적지인가? |
| 기기 연결 QR 코드 | 다른 기기 승인 | 내 기기인가? 내가 연결을 시작했는가? |
| 연락처 확인 QR 코드 | 암호학적 신원 정보 비교 | 연락처 확인 화면에서 올바른 상대와 비교하고 있는가? |
예를 들어 Signal은 연결된 기기 설정과 앱 내 카메라를 이용하는 전용 연결 절차를 안내합니다. 현재 안내에는 메시지 기록을 전송할지 선택하는 과정도 포함되어 있습니다. 이는 상대방의 안전 번호를 확인하는 것과 다른 작업입니다. Signal의 연결된 기기 안내.
Signal의 안전 번호 문서는 번호를 비교하거나 상대방의 확인용 QR 코드를 스캔하는 방법을 설명하며, 가능하면 직접 만난 상태에서 진행하도록 권합니다. 이 비교는 대화의 암호학적 신원을 확인하는 데 도움이 되는 것이지, 새 컴퓨터가 계정에 접근하도록 허용하라는 뜻이 아닙니다. 또한 이것만으로 실제 세계에서 그 사람이 누구인지 증명할 수는 없습니다. 발신자의 설명이 아니라 실제 화면의 목적을 따르세요. Signal의 안전 번호 설명.
실용적인 예: 도중에 의미가 달라지는 초대
다음과 같은 가상의 상황을 생각해 보세요. 미나는 동료가 보낸 것처럼 보이는 메시지를 받습니다. “프로젝트 그룹을 옮겼어요. 이걸 스캔해서 다시 들어오세요.” 페이지는 잘 만들어져 있지만, 메신저의 기기 연결 스캐너를 열라고 지시합니다.
미나는 불일치를 알아차립니다. 대화에 참여하려는 것이지 다른 컴퓨터를 연결하려는 것이 아니었습니다. 작업을 취소하고, 평소 사용하는 연락처를 직접 열어 별도의 믿을 수 있는 경로로 동료에게 확인합니다. 의심스러운 페이지에 적힌 전화번호는 사용하지 않습니다.
이 예는 유용한 판단 원칙을 보여 줍니다. 앱이 요구하는 권한이 하려는 작업보다 넓거나 아예 다른 종류라면 멈추세요. 익숙한 발신자 계정만으로는 충분하지 않습니다. 계정은 사칭되거나 침해될 수 있기 때문입니다. 안심되는 웹사이트 주소 하나만으로도 예상하지 못한 기기에 접근 권한이 필요한 이유가 설명되지는 않습니다.
승인하기 전 짧은 체크리스트
- 하려는 작업을 명확히 하세요. 페이지를 여는 건가요, 그룹에 가입하는 건가요, 연락처를 확인하는 건가요, 아니면 자신의 컴퓨터를 연결하는 건가요?
- 직접 시작하세요. 계정을 관리할 때는 갑자기 온 메시지의 지시를 따르지 말고 설치된 앱이나 이미 알고 있는 주소를 여세요.
- 앱의 안내를 읽으세요. 기기 연결, 계정 복구, 자격 증명 입력은 각각 별도의 결정입니다. 하려는 작업과 맞지 않는 요청은 취소하세요.
- 상대 기기를 확인하세요. 사용하려고 했고 직접 통제할 수 있는 기기만 연결하세요. 친숙한 기기 이름은 소유권의 증거가 아닙니다.
- 비밀 정보를 채팅으로 보내지 마세요. 도와주겠다고 하는 사람에게 비밀번호, 등록 코드, 복구 키를 보내지 마세요.
- 최신 소프트웨어를 사용하세요. 업데이트와 내장 경고는 중요하지만, 예상하지 못한 승인 요청을 믿을 수 있는 요청으로 바꿔 주지는 않습니다.
Signal 자체 피싱 방지 안내도 별도 경로를 통한 확인, 코드 비공개 유지, 예상하지 못한 요청에 대한 신중한 대응을 권합니다. 또한 읽기 전용 공식 공지와 대화를 걸어오는 가짜 지원 담당자를 구분합니다. 이는 Signal에 관한 구체적인 내용이며, 모든 메신저의 지원 체계가 그렇다는 주장은 아닙니다. Signal의 피싱 및 사칭 방지 안내.
이미 스캔하거나 승인했다면
실제로 일어난 작업을 기준으로 대응하세요.
- 페이지만 열었을 때: 닫고 더 이상 조작하지 마세요. 정보를 입력했는지, 무언가 다운로드했는지, 앱 작업을 승인했는지 확인하세요. 스캔했다는 사실만으로 침해됐다고도, 안전하다고도 단정하지 마세요.
- 자격 증명을 입력하거나 코드를 공유했을 때: 신뢰할 수 있는 기기에서 해당 서비스의 공식 복구 안내를 따르세요. 노출된 비밀번호를 바꾸고 계정 접근 상태를 점검하세요. 재사용한 비밀번호는 별도로 처리해야 합니다.
- 낯선 기기를 연결했을 때: 앱에서 실제 제공하는 기기 또는 세션 목록을 열어 원치 않는 연결을 제거하세요. 사기 메시지를 지운다고 접근 권한까지 취소된다고 생각하지 마세요.
- 소프트웨어를 설치하거나 비정상적인 권한을 부여했을 때: 이 문제는 별도로 조사하세요. 계정 세션을 취소하는 것만으로 휴대전화의 악성 소프트웨어가 제거되지는 않습니다.
Signal의 보호 안내는 연결된 기기를 살펴보고 모르는 항목을 제거하며, 확신이 없다면 목록에 있는 모든 기기를 제거하도록 권합니다. 연결 해제 안내에는 기본 휴대전화에서 기기의 접근 권한을 취소하는 방법이 나와 있습니다. 다른 서비스는 다른 제어 방식을 사용할 수 있습니다. Signal의 계정 보호 안내, Signal의 기기 연결 해제 안내.
권한을 취소해도 이미 다른 곳에 복사된 정보는 되찾을 수 없습니다. 노출 범위는 서비스, 부여한 권한, 기록 전송 선택 여부, 접근이 지속된 시간에 따라 달라집니다. 언제나 “모든 채팅”이 노출된다는 규칙은 없습니다. 민감한 대화가 노출됐을 가능성이 있다면 믿을 수 있는 경로로 관련자에게 알리고 해당되는 사고 보고 절차를 따르세요.
Livara나 다른 메신저를 평가할 때 확인할 사항
새 기기는 어떻게 승인되는지, 활성 세션은 어디에서 확인하는지, 접근 권한은 어떻게 취소하는지, 기록은 별도로 전송되는지 물어보세요. 암호화 표시만으로 이런 질문에 답이 된다고 생각하지 말고 현재 제품 문서를 확인하세요. 이 글은 Livara가 QR 기반 로그인이나 특정 기기 연결 절차를 사용한다고 확인하는 글이 아닙니다.
실용적인 결론은 간단합니다. 코드의 모양만 보지 말고 승인하려는 작업을 확인하세요.
