ClickFix 공격은 가짜 오류 팝업이나 캡차 화면으로 사용자가 직접 악성 명령어를 클립보드에 복사하고 터미널에 붙여넣도록 유도하는 사회공학적 기법이다. 명령어를 실행하는 즉시 Lumma Stealer 같은 인포스틸러가 설치되며, 브라우저 저장 정보와 세션 쿠키, 암호화폐 지갑 등 민감한 데이터가 공격자 서버로 즉시 전송되는 피해가 발생한다.
ClickFix 사회공학적 공격의 정의와 최근 동향
ClickFix는 단순 링크 클릭 유도 방식보다 한 단계 더 나아가, 사용자가 시스템 권한을 직접 부여하게 만드는 사용자 실행 유도형 공격이다. 2024년 10월 보안 커뮤니티에서 처음 보고됐으며, 2025년에 접어들며 빈도와 정교함이 빠르게 늘고 있다. 특히 2025년 4월부터 6월 사이에는 전 세계적으로 다양한 캠페인이 동시에 활동하며 기업과 개인 사용자를 무차별적으로 노린 사실이 확인됐다.
Microsoft 보안 블로그 조사 결과, ClickFix 기법은 매일 수천 대의 기기를 공격하며 주로 Lumma Stealer 같은 고성능 인포스틸러를 유포하는 핵심 경로로 쓰인다. 심각한 점은 이러한 공격 도구가 상업화되어 해커 포럼 내에서 ‘ClickFix builder’라는 이름의 공격 키트로 판매된다는 것이다. 해당 키트의 거래 가격은 월 200달러에서 최대 1,500달러에 이른다. 기술적 진입 장벽이 낮아진 만큼 더 많은 공격자가 이 수법을 악용하는 상황이다.
최근 국내 매거진 사이트가 변조되거나, 구글 검색 엔진의 상단 스폰서 광고를 악용해 사용자를 낚는 사례가 빈번하다. AI 도구 설치 페이지를 정교하게 위조해, 소프트웨어를 설치하는 과정에서 자연스럽게 악성 명령어를 실행하도록 유도하는 사례도 보고되고 있다.
ClickFix 공격 작동 방식 및 상세 공격 체인
ClickFix 공격의 핵심은 ‘클립보드 하이재킹(Pastejacking)’과 심리적 압박을 주는 사회공학적 설계의 결합이다. 공격자는 사용자가 신뢰하거나 당황할 만한 상황을 연출해 스스로 보안 장벽을 허물게 유도한다. 전체 공격 프로세스는 다음과 같다.
- 피싱 및 악성 웹사이트 방문: 사용자가 검색 광고나 변조된 사이트를 통해 공격자가 설계한 페이지에 접속한다.
- 가짜 팝업 노출: 화면에 캡차(CAPTCHA) 인증, 윈도우 업데이트 오류, 보안 확인이 필요하다는 가짜 팝업창이 갑작스럽게 나타난다.
- 클립보드 하이재킹 실행: 사용자가 팝업창의 ‘로봇 확인’ 또는 ‘수정’ 버튼을 클릭하는 순간, 백그라운드 JavaScript가 동작해 클립보드 내용을 악성 명령어로 즉시 덮어쓴다.
- 사용자 실행 유도: 팝업창은 Win+R(실행 대화상자)을 누르거나 PowerShell, 터미널을 열어 복사된 내용을 붙여넣고 엔터를 누르라고 구체적으로 안내한다.
- 악성코드 감염 및 실행: 사용자가 명령어를 실행하면 외부 서버에서 악성 스크립트가 다운로드되어 메모리상에서 즉시 실행되며 시스템 권한을 탈취한다.
정상적인 서비스의 캡차 인증이나 소프트웨어 업데이트 과정에서는 절대로 터미널이나 PowerShell에 특정 명령어를 직접 입력하라고 요구하지 않는다. 이런 요구가 있다면 그 자체로 악성 사이트라는 가장 강력한 신호다.
명령어 실행 시 발생하는 시스템 피해 및 기술적 위험성
명령어를 실행하는 순간 시스템은 공격자에게 완전히 열린다. 특히 많은 ClickFix 캠페인이 파일리스(Fileless) 방식으로 동작해 디스크에 흔적을 남기지 않는다. 메모리에서만 실행되기에 기존 시그니처 기반 백신으로는 탐지하기 매우 어렵다.
| 피해 영역 | 상세 피해 내용 | 활용되는 공격 도구/기법 |
|---|---|---|
| 데이터 탈취 | 브라우저 저장 비밀번호, 쿠키, 암호화폐 지갑, 세션 토큰, 계정 정보 수집 및 외부 전송 | LummaC2, AMOS, Stealc (인포스틸러) |
| 추가 감염 | C2 서버와 통신하여 랜섬웨어, 원격 제어 도구(RAT) 등 2차 악성코드 설치 | Rhadamanthys, Danabot |
| 탐지 우회 | 정상 시스템 도구를 악용하여 보안 솔루션의 감시망을 회피하는 파일리스 동작 | LOLBins (PowerShell, mshta, rundll32) |
| 권한 및 지속성 | sudo 권한 탈취(macOS), 시작 폴더 및 예약 작업 등록을 통한 자동 실행 설정(Windows) | Persistence Mechanism |
가장 치명적인 피해는 탈취된 세션 쿠키를 이용한 계정 탈취다. 공격자는 아이디와 비밀번호 없이도 이미 인증된 세션 쿠키만으로 클라우드 계정, 기업 이메일, 금융 서비스에 무단 접근한다. macOS 환경에서는 비밀번호를 탈취해 sudo 권한으로 악성 파일을 실행하며 시스템 전체 제어권을 획득하는 사례가 확인됐다. Windows 환경에서는 재부팅 후에도 악성코드가 자동 실행되도록 레지스트리나 예약 작업을 조작한다.
ClickFix 대응 방안 및 기업 보안 수칙
ClickFix 공격은 기술적 취약점이 아닌 심리를 공략하므로, 방어 체계 구축과 사용자 교육이 병행되어야 한다. IT 관리자와 보안 담당자는 엔드포인트 수준의 통제를 강화해야 한다.
- 임직원 대상 실무 교육 강화
- 웹사이트에서 캡차나 보안 확인 후 터미널/PowerShell에 명령어를 붙여넣으라는 안내가 나오면 즉시 브라우저를 종료하고 보고하도록 교육한다.
- 검색 결과 상단의 ‘스폰서’ 링크가 반드시 공식 사이트는 아니라는 점을 인지시키고, 소프트웨어 설치 시 도메인 주소를 직접 확인하는 습관을 기르도록 안내한다.
- 의심스러운 명령어를 실행하기 전, 반드시 메모장에 먼저 붙여넣어 내용을 확인하고 이해할 수 없는 스크립트는 절대 실행하지 않도록 지도한다.
- 기업 네트워크 및 시스템 보안 설정
- DNS 및 프록시 기반 URL 필터링을 적용해 알려진 피싱 사이트 및 악성 C2 서버로의 통신을 차단한다.
- PowerShell 스크립트 블록 로깅(Script Block Logging)을 활성화해 실행된 모든 스크립트 내용을 기록하고 모니터링한다.
- PowerShell 실행 정책을 ‘AllSigned’ 또는 ‘RemoteSigned’로 설정해 검증되지 않은 스크립트의 실행을 원천 차단한다.
- 일반 사용자의 경우 Win+R(실행 대화상자) 접근 권한을 그룹 정책(GPO)으로 비활성화하는 방안을 검토한다.
- 엔드포인트 보안 솔루션(EDR)으로 외부 URL에서 스크립트를 직접 다운로드해 실행하는 비정상 행위를 실시간 탐지하고 차단한다.
- 감염 의심 시 긴급 조치 프로세스
- 단순한 비밀번호 변경만으로는 대응이 불가능하다. 인포스틸러가 이미 세션 토큰과 쿠키를 탈취했으므로, 모든 활성 세션을 강제 종료하고 2단계 인증(MFA) 설정을 재점검해야 한다.
- 감염된 시스템을 즉시 네트워크에서 격리하고, 유출된 자격증명이 사용된 흔적이 있는지 로그를 전수 조사한다.
- 시스템 복구를 위해 포맷 후 재설치를 권장하며, 백업 데이터 복구 과정에서 악성코드가 함께 복구되지 않도록 주의한다.
ClickFix 공격은 사용자가 직접 공격의 완성 버튼을 누르게 만드는 교묘한 수법이다. 기술적 차단과 함께 ‘명령어 직접 입력 요구’라는 명확한 레드 플래그(Red Flag)를 전 직원이 인지하는 것이 최선이다. 보안 담당자는 내부 시스템의 PowerShell 정책을 즉시 점검하고 최신 피싱 사례를 공유해 인적 보안 취약점을 보완해야 한다.