챗GPT·클로드·제미나이 사칭 악성코드 9만 건, 직장인이 지켜야 할 3가지 체크포인트

AI 사칭 악성코드는 실제로 어떻게 유통되나?

경로는 크게 세 가지다. ①검색 광고와 SEO 조작으로 가짜 다운로드 페이지를 최상단에 올리고 ②GitHub에 정상처럼 꾸민 사칭 저장소를 만들고 ③"파일 다운로드" 대신 터미널에 명령어를 붙여넣게 유도한다(ClickFix). 셋 다 "공식처럼 보이는 곳"에서 시작된다는 공통점이 있다.

수법 1: 검색 광고가 가장 위험하다

안랩이 공개한 Claude 사칭 사례는 구글 검색 광고를 구매해 "claude app", "claude desktop" 검색 시 최상단에 노출됐다. 공식 홈페이지를 그대로 모방하고 OS별 다운로드 버튼까지 갖췄다. 3월부터 관찰된 SEO 포이즈닝 캠페인은 Gemini CLI와 Claude Code의 설치 페이지를 클론해 30개 이상의 도메인을 운영했고, 정상 툴을 실제로 설치해주면서 메모리에서만 동작하는 정보 탈취 악성코드를 함께 실행했다. 피해자는 툴이 잘 설치됐으니 의심하지 않는다.

수법 2: GitHub도 안전지대가 아니다

KISA가 확인한 49건은 정상 오픈소스처럼 README와 랜딩페이지를 꾸민 뒤, 다운로드 링크를 악성 ZIP으로 순차 교체하는 방식이었다. 7월에는 Google Colab에 가짜 Gemini 설치 파일을 올려두고 "관리자 권한으로 실행하고 백신 예외 등록을 하라"고 안내한 사례(Vidar 인포스틸러)도 보고됐다.

수법 3: ClickFix: 파일이 아니라 명령어를 준다

최근 가장 교묘한 수법이다. 다운로드 버튼을 누르면 파일 대신 팝업이 떠서 "이 명령어를 복사해 터미널(PowerShell)에 붙여넣으세요"라고 안내한다. 파일이 없으니 백신이 잡을 것도 없다. 9월 보고된 macOS 대상 MacSync 캠페인은 한 발 더 나갔다. 구글 스폰서 광고로 유인한 뒤, 정상 claude.ai 도메인의 "공유된 대화" 페이지를 Apple 지원 가이드처럼 꾸며 curl 명령을 붙여넣게 했다. 도메인이 진짜여도 내용은 가짜일 수 있는 시대다. 탈취 대상은 브라우저 로그인, 키체인, SSH 키, 클라우드 자격증명, 그리고 업무용 Slack·Teams 세션 쿠키까지다.

직장인에게 왜 특히 위험한가?

개인 PC 감염과 달리 업무 PC 감염은 회사 전체의 침해로 확장되기 때문이다. 탈취되는 것이 개인 비밀번호가 아니라 사내 메신저 세션, VPN, CI/CD 자격증명, OAuth 토큰이다. 공격자는 "직원 한 명"이 아니라 그 직원이 접근할 수 있는 모든 시스템을 얻는다.

7월의 FakeAgent 캠페인(가짜 Claude 데스크톱 도구, 7,100 다운로드)에서 확인됐듯 피해는 조직 단위로 집계된다. Claude 로그인 세션이 탈취되면 회사가 결제하는 AI 사용량을 도둑이 쓰는 실질 피해로도 이어진다. 이 흐름은 Claude 세션 탈취 사건 분석에서 자세히 다뤘다. 회사에 AI 도구 도입 바람이 불수록, "누가 어디서 뭘 설치했는지"가 보안팀의 새 관제 대상이 된다.

설치·사용 전 확인할 3가지 체크포인트는?

기억할 것은 세 줄이다. ①광고와 검색 최상단을 믿지 말고 공식 도메인을 직접 입력한다 ②사이트가 시키는 터미널·PowerShell 명령 붙여넣기는 무조건 거절한다 ③"백신 예외 등록" 요구가 나오면 그 자리에서 중단한다.

체크 1: 주소창에 공식 도메인을 직접 친다

ChatGPT는 openai.com·chatgpt.com, Claude는 claude.ai·anthropic.com, Gemini는 gemini.google.com. 검색 광고(스폰서 표시)는 클릭하지 않는 것을 원칙으로 한다. GitHub 도구라면 스타 수, 기여자 이력, 커밋 히스토리를 확인하고, 공식 문서에서 링크된 저장소인지 대조한다. "유료 모델을 무료로" 류의 문구는 그 자체로 경보다.

체크 2: 명령어 붙여넣기 = 공격이라고 간주한다

정상 서비스는 다운로드 버튼 대신 "터미널에 이걸 붙여넣으세요"라고 팝업으로 안내하지 않는다. 웹페이지가 복사해준 명령을 이해하지 못한 채 실행하는 것은, 모르는 사람이 준 USB를 꽂는 것과 같다. 개발 도구의 정상 설치 명령(공식 문서의 npm/brew 등)과 팝업이 들이미는 원라이너를 구분하는 기준은 하나다. 출처가 공식 문서인가, 광고로 도달한 페이지인가.

체크 3: "백신을 꺼라"는 소프트웨어는 없다

백신 예외 등록, 관리자 권한 강요, 보안 경고 무시 안내: 정상 AI 툴은 이 중 무엇도 요구하지 않는다. 하나라도 나오면 설치를 중단하고 보안팀(또는 IT 담당자)에게 알린다. 조직 차원에서는 "직원이 의심 사례를 알렸을 때 칭찬받는" 문화가 최고의 방어선이다. 이미 눌렀더라도 빨리 알리는 쪽이 언제나 피해가 작다.

공격자가 노리는 것은 시스템의 취약점이 아니라 "빨리 설치하고 싶은 마음"이다. 설치 전 30초의 확인이 사후 복구 3주를 대체한다.

조직 차원에서는 무엇을 해야 하나?

개인 수칙만으로는 부족하다. 승인된 AI 도구 목록과 공식 설치 경로를 사내에 공지하는 것: 이 한 가지가 사칭 공격의 표면적을 가장 크게 줄인다.

직원들이 가짜를 만나는 이유는 진짜의 위치를 회사가 알려주지 않았기 때문인 경우가 많다. AI 도구 사용을 금지하면 직원들은 몰래 검색해서 설치하고(섀도 AI), 그 검색 결과의 최상단에 공격자가 기다린다. 도구를 공식적으로 허용하고, 설치 경로를 표준화하고, 사용 교육을 제공하는 조직이 역설적으로 가장 안전하다. AI 도입 교육에 보안 모듈이 반드시 포함되어야 하는 이유이고, AI 에이전트 사고의 책임 구조에서 봤듯 "관리하고 있었음"을 증명하는 것이 규제 시대의 기본기다.