가짜 CAPTCHA 공격: ClickFix 악성코드는 어떻게 사람들의 신뢰를 악용하며, 안전을 위해 알아야 할 점

가짜 CAPTCHA 악성코드 공격의 확산 이해하기

왜곡된 글자를 식별하거나 이미지 중 일부를 선택하라고 요청하는 익숙한 퍼즐인 CAPTCHA 시스템은 온라인 보안의 핵심 요소입니다. 사람과 봇을 구별하도록 설계돼 웹사이트를 스팸, 자동화된 악용, 크리덴셜 스터핑으로부터 보호합니다. 하지만 이런 시스템이 널리 보급되면서 사이버 범죄자들은 CAPTCHA에 대한 사용자의 신뢰를 악용하는 방법을 찾아냈습니다. 그 결과, 특히 ClickFix라는 수법을 사용하는 가짜 CAPTCHA 악성코드 캠페인이라는 새롭고 매우 효과적인 사회공학 공격이 등장했습니다.

이 기사에서는 가짜 CAPTCHA 공격의 작동 방식, 그 이면의 기술적·심리적 수법, 이를 통해 유포되는 악성코드(예: Lumma Stealer), 그리고 개인과 조직이 스스로를 보호하기 위해 취할 수 있는 실질적인 조치를 살펴봅니다.

가짜 CAPTCHA 공격이란?

가짜 CAPTCHA 공격에서 사이버 범죄자들은 구글의 reCAPTCHA나 Cloudflare의 챌린지 화면과 같은 정상적인 CAPTCHA 시스템을 매우 비슷하게 모방한 웹페이지나 팝업을 만듭니다. 위조 화면이 워낙 그럴듯해 숙련된 사용자도 이상한 점을 알아차리지 못할 수 있습니다. 공격은 일반적으로 다음과 같이 진행됩니다.

• 피해자가 피싱 이메일, 가짜 광고 또는 침해된 정상 사이트 등을 통해 악성 웹사이트로 유인됩니다.
• 사이트에 가짜 CAPTCHA가 표시되고, 사용자에게 로봇이 아님을 증명하라고 요구합니다.
• 사용자가 CAPTCHA에 응답하면 컴퓨터의 실행 대화상자나 터미널에 명령어를 복사해 붙여넣는 등의 추가 지침이 제시됩니다.
• 지침을 따르면 악성 코드가 실행돼 기기가 악성코드에 감염됩니다.

이 수법은 사용자의 행동 자체를 이용해 보안 통제를 우회하므로 탐지와 예방이 더 어렵다는 점에서 특히 교묘합니다.

ClickFix: 공격의 배후에 있는 사회공학 수법

ClickFix는 사용자가 직접 악성 명령을 실행하도록 속이는 사회공학 기법을 가리킵니다. 소프트웨어 취약점을 악용하거나 감염된 파일을 내려받도록 유도하는 기존 악성코드와 달리, ClickFix는 겉보기에 무해한 단계를 거쳐 사용자가 악성코드를 설치하는 명령을 실행하도록 조종합니다.

예를 들어 가짜 CAPTCHA는 사용자에게 다음을 안내할 수 있습니다.

• 실행 대화상자를 열기 위해 Windows 키 + R을 누릅니다.
• 제공된 명령어(대개 PowerShell 또는 mshta.exe 스크립트)를 붙여넣습니다.
• 실행을 위해 Enter를 누릅니다.

일반적인 인증 절차의 일부처럼 보이는 이 단계는 실제로 Lumma Stealer, AsyncRAT 또는 기타 정보 탈취형 트로이 목마와 같은 악성코드를 다운로드하고 실행합니다.

가짜 CAPTCHA 공격의 확산: 실제 사례

가짜 CAPTCHA 공격은 전 세계 개인과 조직을 겨냥해 다양한 상황에서 관찰됐습니다. 대표적인 캠페인은 다음과 같습니다.

• Booking.com 피싱: 공격자들은 유명 호텔 예약 사이트를 사칭해 피싱 이메일을 보내고, 사용자를 위조 CAPTCHA가 있는 가짜 Booking.com 페이지로 유도했습니다. 안내에 따른 피해자들은 결국 로그인 정보와 개인정보를 훔치는 악성코드를 설치하게 됐습니다.
• 악성 광고와 SEO 포이즈닝: 사이버 범죄자들은 검색엔진최적화(SEO) 기법과 악성 광고를 활용해 인기 소프트웨어, 음악 또는 영화의 가짜 다운로드 사이트를 노출시켰습니다. 이런 사이트는 감염을 유도하기에 앞서 가짜 CAPTCHA를 표시합니다.
• 침해된 정상 사이트: 신뢰받는 웹사이트도 침해돼 가짜 CAPTCHA 팝업을 띄울 수 있어 공격의 신뢰성을 더욱 높입니다.

보안업체 LAC에 따르면 2024년 말부터 여러 고객 환경에서 ClickFix 관련 사고가 탐지됐으며, 2025년에는 그 수가 뚜렷하게 증가했습니다. 공격은 일본에 국한되지 않고 미국, 유럽, 아시아에서도 보고됐으며, 통신·의료부터 금융·숙박업까지 다양한 산업에 영향을 미쳤습니다.

이 공격은 왜 효과적인가?

가짜 CAPTCHA 공격은 여러 심리적·기술적 요인을 악용합니다.

• 익숙함과 신뢰: 사용자는 CAPTCHA를 자주 접하기 때문에 그 정당성을 의심하는 경우가 드뭅니다.
• 반복에 따른 피로: CAPTCHA에 자주 노출되면 ‘인증 피로’가 생겨 사용자의 경계심이 낮아질 수 있습니다.
• 사회공학: 단계별 지침을 인증에 필요한 절차로 제시해 의심을 줄입니다.
• 보안 통제 우회: 사용자가 직접 명령을 실행하기 때문에 엔드포인트 보안 솔루션이 이를 정상적인 행동으로 판단할 수 있어 탐지가 어려워집니다.

위장 뒤에 숨은 악성코드: Lumma Stealer 등

가짜 CAPTCHA 공격을 통해 전달되는 가장 흔한 페이로드 중 하나는 Lumma Stealer입니다. 2022년 등장한 이후 사이버 범죄자들 사이에서 빠르게 인기를 얻은 정보 탈취형 악성코드(인포스틸러)입니다. Lumma Stealer는 다크웹 포럼과 텔레그램 채널에서 주로 악성코드 서비스형(MaaS) 상품으로 판매돼 다양한 공격자가 이용할 수 있습니다.

Lumma Stealer는 어떤 일을 하나?

설치되면 Lumma Stealer는 다음과 같은 작업을 할 수 있습니다.

• 브라우저에 저장된 비밀번호와 쿠키를 수집합니다.
• 암호화폐 지갑의 로그인 정보(예: MetaMask, Binance)를 훔칩니다.
• 2단계 인증(2FA) 데이터와 브라우저 확장 프로그램을 탈취합니다.
• 원격 데스크톱 로그인 정보를 비롯한 시스템 및 애플리케이션 데이터를 수집합니다.
• 공격자가 통제하는 원격 서버로 파일과 민감한 정보를 빼돌립니다.

이런 캠페인에서 관찰된 다른 악성코드 계열로는 AsyncRAT, Vidar Stealer, XWorm 및 다양한 원격 액세스 트로이 목마(RAT)가 있습니다. 감염 과정에는 탐지를 피하기 위해 난독화된 스크립트, 숨겨진 코드가 포함된 이미지 파일(.png, .gif), 다단계 페이로드가 사용되기도 합니다.

기술적 세부사항: 공격 작동 방식

보안 연구자들이 기록한 기술적 공격 흐름은 다음과 같습니다.

• 피싱 링크나 악성 광고 등을 통해 가짜 CAPTCHA 페이지가 로드됩니다.
• 사용자가 CAPTCHA를 완료하면 Windows 실행 대화상자나 macOS 터미널 등을 통해 명령을 실행하라는 메시지가 표시됩니다.
• 명령은 대개 PowerShell 또는 mshta.exe를 호출해 원격 서버에서 스크립트를 다운로드하고 실행합니다.
• 스크립트가 악성코드 페이로드(예: Lumma Stealer가 포함된 ZIP 파일)를 다운로드한 뒤 피해자의 기기에서 실행합니다.
• 악성코드가 데이터 유출을 시작합니다. 네트워크 모니터링을 피하기 위해 암호화된 HTTPS 연결을 사용하는 경우가 많습니다.

일부 캠페인에서는 공격을 한층 더 위장하기 위해 MP3나 PDF처럼 무해해 보이는 파일에 난독화된 JavaScript를 삽입하기도 했습니다.

전 세계에 미친 영향과 주요 사례

가짜 CAPTCHA 공격은 전 세계적으로 상당한 금전적 손실과 데이터 유출을 초래했습니다. Norton과 Avast의 모회사인 Gen Digital에 따르면 일본에서는 가짜 CAPTCHA를 악용한 피싱 및 악성코드 공격이 2024년에 600% 넘게 증가했으며, 전 세계적으로도 비슷한 추세가 나타났습니다. 이런 공격으로 보고된 총 피해액은 수억 달러에 달합니다.

가장 큰 피해를 입은 산업은 다음과 같습니다.

• 통신 – 고객 및 인프라 데이터를 노린 공격.
• 의료 – 의료 포털과 환자 데이터를 겨냥한 공격.
• 금융 및 은행 – 로그인 정보 탈취로 이어지는 무단 거래.
• 숙박업 – Booking.com과 유사한 플랫폼을 미끼로 활용.

북한, 이란, 러시아의 국가 지원 행위자를 포함한 APT(지능형 지속 위협) 그룹들도 ClickFix 방식의 공격을 도입해 기업 네트워크에 대한 첩보 활동과 지속적인 접근에 활용하고 있습니다.

가짜 CAPTCHA 공격을 알아보고 예방하는 방법

이러한 공격은 정교하기 때문에 기술적 방어와 행동상 주의가 모두 필요합니다. 알아둬야 할 사항은 다음과 같습니다.

위험 신호: 가짜 CAPTCHA 식별하기

• 이례적인 지침: 정상적인 CAPTCHA는 시스템 명령 실행, 실행 대화상자 열기 또는 터미널에 코드 붙여넣기를 요구하지 않습니다.
• 소프트웨어 다운로드 또는 설치 요청: 파일이나 브라우저 확장 프로그램을 내려받으라고 하는 CAPTCHA는 주의해야 합니다.
• 예기치 않은 팝업: 낯설거나 의심스러운 웹사이트에서, 특히 광고나 원치 않는 이메일의 링크를 클릭한 뒤 나타나는 CAPTCHA를 경계해야 합니다.
• 이상한 URL: 웹사이트 주소를 꼼꼼히 확인하세요. 가짜 CAPTCHA는 철자가 틀렸거나 예상한 서비스와 무관한 도메인에 나타나는 경우가 많습니다.

개인을 위한 보안 수칙

• 신뢰할 수 없는 출처의 명령 실행 지침을 절대 따르지 마세요. CAPTCHA가 실행 대화상자나 터미널을 열라고 하면 즉시 페이지를 닫으세요.
• 웹사이트의 정당성을 확인하세요. 이메일이나 광고의 링크를 클릭하지 말고 URL을 직접 입력해 사이트에 접속하세요.
• 소프트웨어와 운영체제를 최신 상태로 유지하세요. 보안 패치를 적용하면 취약점 악용을 막는 데 도움이 됩니다.
• 신뢰할 수 있는 보안 소프트웨어를 사용하세요. 실시간 보호 기능을 켜고 보안 정의 파일을 최신 상태로 유지하세요.
• 자신과 주변 사람들에게 보안 정보를 알리세요. 사회공학 공격에 맞서는 최선의 방어는 경각심입니다.

조직을 위한 보안 수칙

• 기술적 통제를 도입하세요: 그룹 정책이나 엔드포인트 관리 도구를 통해 비관리자 사용자의 PowerShell 또는 mshta.exe 명령 실행을 제한하세요.
• 의심스러운 활동을 모니터링하세요: 엔드포인트 탐지 및 대응(EDR) 솔루션을 사용해 이례적인 명령 실행과 네트워크 트래픽을 탐지하세요.
• 알려진 악성 도메인과 URL을 차단하세요: 차단 목록을 최신 상태로 유지하고 웹 필터링 솔루션을 사용하세요.
• 다중 인증(MFA)을 적용하세요: 로그인 정보 탈취로 인한 피해를 줄이세요.
• 정기적인 보안 인식 교육을 실시하세요: 직원들이 피싱과 사회공학 수법을 알아보도록 교육하세요.
• 사고 대응 계획을 마련하세요: 감염된 엔드포인트를 신속히 격리하고 조사할 수 있도록 준비하세요.

감염이 의심될 때 해야 할 일

가짜 CAPTCHA 공격의 피해를 입었다고 생각된다면 다음과 같이 조치하세요.

• 추가 데이터 유출을 막기 위해 즉시 네트워크 연결을 끊으세요.
• 조직 환경에서 기기를 사용 중이라면 IT 또는 보안팀에 연락하세요.
• 신뢰할 수 있는 보안 소프트웨어로 전체 악성코드 검사를 실행하세요.
• 감염된 기기에서 접속한 모든 계정의 비밀번호를 변경하세요. 특히 은행, 이메일, 클라우드 저장소처럼 민감한 서비스의 비밀번호를 먼저 바꾸세요.
• 계정에서 의심스러운 활동이 있는지 확인하고 MFA와 같은 추가 보안 조치의 활성화를 고려하세요.

가짜 CAPTCHA 공격이 사이버 범죄의 새 시대를 알리는 이유

특히 ClickFix를 사용하는 가짜 CAPTCHA 공격은 사이버 범죄가 크게 진화했음을 보여줍니다. 공격자들은 익숙한 보안 수단에 대한 사용자의 신뢰를 악용하고 사회공학을 활용해 기존의 여러 방어 수단을 우회할 수 있습니다. 사용자가 직접 행동을 시작하는 방식이라 공격을 탐지하기 어렵고, 전달되는 악성코드는 갈수록 정교해지고 모듈화되고 있습니다.

사이버 범죄자들이 수법을 계속 개선하면서 정상적인 온라인 경험과 악성 경험의 경계는 점점 흐려지고 있습니다. 이러한 추세는 기술적 통제와 사용자 교육 및 경계심을 결합하는 것이 중요함을 보여줍니다.

요약

• 가짜 CAPTCHA 공격은 보안 퍼즐을 정교하게 위조해 사용자가 자신의 기기에서 악성코드를 실행하도록 속입니다.
• ClickFix 수법은 사용자가 악성 명령을 실행하도록 조종해 여러 보안 통제를 우회합니다.
• Lumma Stealer와 유사 악성코드는 비밀번호와 금융 정보 등을 훔쳐 개인과 조직에 큰 피해를 줄 수 있습니다.
• 공격은 전 세계로 확산돼 다양한 산업과 개인을 겨냥하고 있습니다.
• 시스템 명령 실행이나 파일 다운로드를 요구하는 CAPTCHA는 위험 신호입니다. 정상적인 CAPTCHA는 이런 요구를 하지 않습니다.
• 예방을 위해서는 기술적 통제, 최신 보안 소프트웨어, 사용자 교육을 함께 적용해야 합니다.
• 감염됐다면 네트워크 연결을 끊고 악성코드 검사를 실행한 뒤 비밀번호를 변경하고 전문가의 도움을 받으세요.
• 온라인에서 예기치 않은 지시를 경계하고 의심하는 것이 새로운 사이버 위협에 맞서는 최선의 방어입니다.