암호화 메신저를 쓰면 안전하다는 믿음은 이제 절반만 맞습니다. 메시지 내용이 종단간 암호화돼 있어도, 공격자가 내 계정에 새 기기를 연결하게 만들면 대화는 다른 방식으로 노출될 수 있습니다.
최근 공개된 사례도 이 지점을 찔렀습니다. 한 스파이웨어 조사자가 러시아 정부 해커로 지목된 세력이 Signal 계정을 탈취하려 한 정황을 포착했고, TechCrunch는 이 공격이 Signal 자체를 해독한 것이 아니라 계정 연결 절차를 악용한 시도였다고 다뤘습니다.1 중요한 변화는 분명합니다. 공격자는 암호를 깨기보다, 사용자가 스스로 문을 열게 만드는 쪽으로 움직이고 있습니다.
공격의 핵심은 '암호화 우회'가 아니라 '기기 연결 유도'다
Signal은 여러 기기에서 메시지를 사용할 수 있도록 '연결된 기기' 기능을 제공합니다. 사용자는 새 데스크톱이나 태블릿에서 QR 코드를 스캔해 계정에 연결할 수 있습니다.2 정상적인 기능입니다.
문제는 이 흐름이 피싱에 적합하다는 점입니다. 공격자는 가짜 초대, 보안 알림, 그룹 참여 요청처럼 보이는 메시지를 보내고, 피해자가 QR 코드를 스캔하게 만듭니다. 사용자가 이를 승인하면 공격자의 기기가 피해자 계정에 연결될 수 있습니다.
이 경우 Signal의 종단간 암호화가 "깨졌다"고 말하는 것은 정확하지 않습니다. 더 정확한 표현은 "사용자의 신뢰와 인터페이스가 공격 표면이 됐다"입니다. 보안 제품이 강해질수록 공격은 제품의 수학적 약점보다 사용자 행동, 복구 절차, 세션 연결 같은 주변부를 겨냥합니다.
러시아 해킹 캠페인에서 반복되는 패턴
이번 사건은 고립된 일회성 시도로 보기 어렵습니다. Google Threat Intelligence Group도 러시아 연계 공격자들이 Signal 계정을 노리고 QR 코드 기반 기기 연결 방식을 악용한 캠페인을 관찰했다고 밝힌 바 있습니다.3 특히 우크라이나 전쟁 이후 군인, 정부 관계자, 언론인, 인권 활동가처럼 민감한 정보를 다루는 사람들이 주요 표적이 됐습니다.
여기서 확인된 사실은 러시아 연계 위협 행위자들이 Signal 같은 보안 메신저를 중요한 정보 통로로 보고 있다는 점입니다. 해석이 필요한 부분은 공격의 목적입니다. 단순 감청만이 아니라 연락망 파악, 신뢰 관계 침투, 추가 피싱 발판 확보가 함께 목적일 가능성이 큽니다.
실무적으로는 "우리 조직은 Signal을 쓰니 괜찮다"가 아니라 "Signal 계정이 탈취됐을 때 어떤 피해가 생기는가"를 물어야 합니다. 기자, 연구자, 시민단체, 외교·국방 관련 조직이라면 개인 메신저도 업무 보안 범위에 넣어야 합니다.
사용자가 당장 확인해야 할 방어선
가장 먼저 볼 것은 Signal의 연결된 기기 목록입니다. 모르는 데스크톱이나 태블릿이 보이면 즉시 해제해야 합니다. 이 조치는 단순하지만, QR 피싱에는 가장 직접적인 대응입니다.
또 하나는 QR 코드에 대한 습관을 바꾸는 것입니다. Signal에서 QR 코드를 스캔하는 행위는 단순 로그인보다 민감합니다. "그룹 초대"나 "보안 확인"처럼 보여도, 실제로는 내 계정에 새 기기를 붙이는 절차일 수 있습니다.
다만 보안에는 트레이드오프가 있습니다. 다중 기기 기능은 실제 업무 생산성을 높입니다. 모든 연결을 금지하는 방식은 현실적이지 않을 수 있습니다. 대신 조직 단위에서는 다음 기준이 필요합니다.
민감 업무용 Signal 계정은 정기적으로 연결 기기를 점검한다.
QR 코드 스캔 요청은 다른 채널로 재확인한다.
고위험 사용자는 별도 단말, 별도 계정, 최소 연결 원칙을 적용한다.
의심 메시지를 받은 경우 개인 판단에 맡기지 말고 보안 담당자에게 전달한다.
핵심은 Signal을 버리라는 이야기가 아닙니다. 오히려 Signal 같은 암호화 메신저가 중요해졌기 때문에, 공격자도 그 계정을 집요하게 노리는 것입니다. 앞으로 봐야 할 리스크는 암호화 알고리즘의 붕괴보다 계정 연결, 백업, 복구, 알림 UX 같은 "보안과 편의가 만나는 지점"입니다.
민감한 대화를 다루는 사람이라면 지금 확인해야 할 질문은 하나입니다. 내 Signal 계정에 연결된 기기를 모두 설명할 수 있는가.
참고
1A spyware investigator exposed Russian government hackers trying to hijack Signal accounts
2Signal Support: Linked Devices
3Russian state-sponsored actors target Signal Messenger accounts
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.