Captcha(캡차), 로봇이 아닙니다. 이것도 가짜가 나왔습니다. 조심하세요

가짜 CAPTCHA(클릭픽스) 피싱 수법과 경고 신호 3가지

"로봇이 아닙니다"에 체크만 하면 끝나던 그 익숙한 창. 그런데 최근에는 그 창이 여러분 손으로 직접 악성코드를 설치하게 만드는 덫으로 쓰이고 있습니다.

핵심부터 말씀드립니다. 어떤 보안확인(캡차) 화면이든 "Windows 키 + R을 누르고, Ctrl+V로 붙여넣은 뒤 Enter를 치라"고 시키면 100% 사기입니다. 진짜 캡차는 절대 여러분 컴퓨터에 명령어를 실행시키지 않습니다. 그런 안내가 뜨는 즉시, 아무것도 누르지 말고 브라우저 창을 닫으세요.

미국 연방거래위원회(FTC)가 2026년 6월 이 수법에 대한 소비자 경보를 냈고, 국내에서도 안랩과 KISA가 같은 방식의 공격을 잇달아 확인했습니다. 남의 나라 이야기가 아니라 지금 한국에서 벌어지고 있는 일입니다.

이 글에서는 개발자·CTO 관점에서 이 수법이 왜 기술적으로 위험한지, 그리고 일반 사용자가 화면에서 바로 알아챌 수 있는 경고 신호 3가지와 이미 따라 했을 때의 대처법까지 정리합니다. 마지막에 대부분이 놓치는 신호 1가지가 더 있으니 끝까지 확인하세요.

이 글이 속한 주제: 스미싱·피싱 문자와 가짜 사이트 판별법

가짜 캡차 사기란 무엇인가? (붙여넣기 피싱의 정체)

가짜 캡차 사기는 '로봇이 아닙니다' 인증 화면처럼 보이게 꾸민 뒤, 사용자가 직접 악성 명령어를 복사·붙여넣기·실행하도록 유도하는 사회공학적 피싱 수법입니다. 보안 업계에서는 이 기법을 '클릭픽스(ClickFix)'라고 부릅니다. 시스템의 취약점을 뚫는 게 아니라, 사람의 습관과 신뢰를 노린다는 점이 핵심입니다.

개발자 입장에서 이 수법이 특히 교묘한 이유를 짚어보겠습니다. 여러분이 가짜 캡차의 '확인' 버튼을 누르는 순간, 웹페이지에 심어진 자바스크립트(JavaScript)가 여러분의 클립보드에 악성 명령어를 몰래 복사합니다. 화면에는 "인증을 완료하려면 아래 단계를 따르세요"라는 안내만 보이죠. 그래서 여러분이 Windows+R(실행 창 열기) → Ctrl+V(붙여넣기) → Enter를 누르면, 방금 클립보드에 심어진 그 명령어가 그대로 실행됩니다.

이 명령어는 창이 보이지 않는 상태로 시스템 도구를 실행시켜, 외부 서버에서 진짜 악성코드를 내려받습니다. 창이 뜨지 않으니 사용자는 뭔가 실행됐다는 사실조차 모릅니다. 결과적으로 방화벽도, 백신도 "사용자가 스스로 실행한 정상 작업"으로 인식하기 쉬워 탐지를 우회합니다. 취약점 공격이 아니라 '내 손'을 빌린 공격이라, 기술적 방어막이 잘 걸리지 않는 것이 이 수법의 진짜 무서운 점입니다.

왜 지금 이 사기가 위험한가? (한국에서도 번지는 중)

해외만의 일이 아니기 때문입니다. 보안기업 ESET의 2025년 상반기 위협 보고서에 따르면 클릭픽스 공격은 반년 만에 약 517% 급증했고, 마이크로소프트도 이 수법이 매일 전 세계 수천 대의 기기를 노리는 대표적 사회공학 공격으로 자리 잡았다고 밝혔습니다.

한국도 예외가 아닙니다. 안랩은 2026년 5월, 국내 사용자가 평소 접속하던 정상 큐레이션 매거진 사이트가 침해되어 가짜 캡차 화면을 통해 정보 탈취형 악성코드(LummaC2)를 유포한 사례를 공개했습니다. '수상한 사이트'만 조심하면 된다는 통념이 깨진 셈입니다. 익숙한 사이트에서도 갑자기 캡차·명령어 실행 안내가 뜨면 의심해야 합니다.

또 KISA는 2026년 2월 10일부터 4월 14일까지 약 두 달간, '카카오톡 PC 버전' 공식 다운로드 페이지를 사칭한 피싱 사이트에서 약 560건의 악성코드 다운로드가 발생한 것으로 추정했습니다. 검색 결과 상단의 '광고' 링크를 공식 사이트로 믿고 눌렀다가 당한 경우입니다. 생성형 AI 서비스인 '클로드(Claude)'를 사칭한 유사 사례도 확인됐습니다.

한 번 감염되면 피해는 비밀번호 하나로 끝나지 않습니다. 인포스틸러는 브라우저에 저장된 로그인 정보, 세션 쿠키, 모바일 뱅킹 자격증명은 물론 암호화폐 지갑 정보까지 통째로 빼갑니다.

절대 따라 하면 안 되는 경고 신호 3가지

화면이 아무리 진짜 같아도, 아래 3가지 중 단 하나라도 보이면 사기입니다. 이 표를 기억하세요.

구분	✔ 진짜 캡차	✘ 가짜 캡차 (사기)
요구하는 행동	이미지 선택, 글자 입력, 체크박스	키보드 단축키·명령어 실행
작업 위치	브라우저 화면 안에서 끝남	브라우저 밖(실행창·터미널)으로 유도
붙여넣기 요구	없음	Ctrl+V 붙여넣기 유도 (결정적 신호)

신호 1. "Windows+R을 누르라"고 시킨다

Windows+R은 프로그램을 직접 실행하는 '실행' 창을 여는 단축키입니다. 진짜 보안 인증이 사용자에게 실행 창을 열게 할 이유가 전혀 없습니다. macOS라면 터미널(Terminal)이나 특정 키 조합을 누르라고 합니다. 브라우저 밖으로 나가라고 하는 순간 사기라고 보면 됩니다.

신호 2. "Ctrl+V로 붙여넣으라"고 시킨다

이게 가장 결정적인 신호입니다. Ctrl+V는 붙여넣기 명령입니다. 정상적인 캡차 인증에는 '붙여넣기'가 등장할 일이 절대 없습니다. 내가 복사한 적도 없는데 붙여넣으라고 한다면, 그 클립보드에는 이미 공격자가 심어둔 악성 명령어가 들어 있는 것입니다.

신호 3. "확인/인증을 위해 명령어를 실행하라"고 시킨다

"보안 확인을 완료하려면 이 명령을 실행하세요", "오류를 해결하려면 아래를 복사해 붙여넣으세요" 같은 안내는 전부 같은 수법입니다. 웹사이트가 파워셸·명령 프롬프트·터미널 실행을 요구한다면, 안내를 따르지 말고 즉시 접속을 중단하세요.

개발자 관점 한 줄 요약: 웹페이지는 원래 여러분의 운영체제(OS) 명령어를 직접 실행할 권한이 없습니다. 그 권한의 빈틈을 '사용자의 손'으로 메우려는 게 이 공격의 전부입니다. 그러니 "브라우저 밖에서 뭔가를 실행하라"는 요구 자체가 곧 공격 신호입니다.

이미 따라 했다면? 지금 바로 할 대처 3단계

명령어를 실행해버렸다면 이미 악성코드가 깔렸을 가능성이 높습니다. FTC 권고에 따라 순서대로 즉시 조치하세요.

인터넷 연결 차단 — Wi-Fi를 끄거나 랜선을 뽑습니다.
백신 전체 검사 — OS와 백신을 최신으로 올린 뒤 정밀 검사.
비밀번호 변경 + 2FA — 반드시 감염되지 않은 다른 기기에서.

여기서 끝이 아닙니다. 이 악성코드는 세션 쿠키까지 훔치기 때문에 비밀번호만 바꿔서는 막히지 않습니다. 왜 그런지와 그다음에 해야 할 일은 비밀번호·2FA 바꿔도 안 막힙니다 — 세션 토큰 터는 정보탈취 악성코드 대응법에 정리해 뒀습니다.

예방법 5가지 — 애초에 안 당하는 법

소프트웨어는 검색 결과가 아닌 공식 홈페이지에서 내려받습니다. 카카오톡, 크롬 같은 프로그램도 검색 상단 '광고' 링크의 URL이 공식 도메인과 정확히 일치하는지 확인 후 접속하세요.
'붙여넣기·명령어 실행'을 요구하는 캡차는 무조건 창을 닫습니다. 예외는 없습니다.
설치 가이드의 명령어라도 그대로 복사·실행하지 않습니다. 출처가 불분명하거나 이해되지 않는 명령어는 실행하지 마세요(개발자에게도 해당됩니다).
익숙한 사이트도 방심하지 않습니다. 정상 사이트가 침해돼 악성 페이지로 쓰일 수 있습니다.
주요 계정에 2단계 인증(2FA)을 미리 켜 둡니다. 자격증명이 새어도 2차 방어선이 됩니다.

함께 오는 다른 사기 신호 — 대부분이 놓치는 마지막 1가지

FTC는 이 캡차 사기와 함께 예상치 못한 "당신을 초대합니다(You're invited)" 문자·이메일도 같은 부류의 피싱으로 경고했습니다. 졸업·파티 시즌을 노려, 초대장을 열려면 이메일 로그인 정보나 비밀번호를 입력하라고 요구하는 방식입니다. 초대장을 여는 데 내 이메일 비밀번호를 넣으라는 곳은 없습니다.

미납 통행료를 요구하는 문자, 갑자기 돈을 요구하는 새 온라인 친구도 함께 언급된 사기 신호입니다. 공통점은 하나입니다. 출처가 불분명한 링크·요구는 누르지도, 따르지도 않는 것. 이 원칙 하나만 지켜도 대부분의 신종 피싱을 피할 수 있습니다.

자주 묻는 질문 (FAQ)

진짜 캡차와 가짜 캡차는 어떻게 한 번에 구별하나요?

진짜 캡차는 브라우저 화면 안에서 이미지 선택이나 글자 입력으로 끝납니다. 반면 가짜 캡차는 Windows+R, Ctrl+V, 명령어 실행처럼 브라우저 밖으로 나가는 행동을 요구합니다. 이 한 가지만 기억하면 됩니다.

이미 명령어를 붙여넣고 실행했는데 아무 일도 없었어요. 괜찮은 걸까요?

안심하기 이릅니다. 이런 명령어는 창을 숨긴 채 조용히 실행되도록 설계돼, 겉으로는 아무 변화가 없어 보이는 경우가 많습니다. 인터넷을 끊고 백신 정밀 검사, 비밀번호 변경(다른 기기에서), 2단계 인증을 곧바로 진행하세요.

아이폰이나 안드로이드 폰에서도 이 사기에 당할 수 있나요?

이 캡차 붙여넣기 수법은 주로 PC(윈도우·macOS)에서 명령어 실행을 노립니다. 다만 '초대장'·'통행료' 문자 피싱은 모바일에서도 활발하니, 출처 불명 문자의 링크는 폰에서도 누르지 마세요.

백신을 켜 뒀는데도 캡차 명령어는 왜 통하나요?

완전히 막긴 어렵습니다. 화면의 안내를 따르지 않는 것이 유일하게 확실한 방어입니다.

결론 — 딱 한 문장만 기억하세요

"보안 확인을 위해 브라우저 밖에서 뭔가를 실행하거나 붙여넣으라"고 하면, 그건 캡차가 아니라 사기입니다. 아무것도 누르지 말고 창을 닫으세요. 이 한 문장이 오늘 정리한 모든 신호의 핵심입니다.

참고 출처

How to spot a CAPTCHA scam — 미국 FTC 소비자 경보(2026.6.8)
Asked to enter your email address and password to open a party invite? That's a scam — 미국 FTC, '초대장' 피싱 경보(2026.5.26)
캡차·설치 안내 뒤에 숨은 위협, 클릭픽스가 위험한 이유 — 안랩(2026.5.27), 국내 LummaC2·AMOS 유포 사례
ESET Threat Report H1 2025 — ESET, 클릭픽스 공격 약 517% 급증·피싱 다음 2위 공격 벡터(2025 상반기)
Think before you Click(Fix): Analyzing the ClickFix social engineering technique — Microsoft Security(2025.8.21), 매일 수천 대 표적·Lumma Stealer 최다 페이로드
"공식 사이트인 줄"…'카카오톡 PC버전' 클릭하니 악성코드, 두 달간 560건 — KISA 확인, 카카오톡·클로드 사칭 피싱(2026)
Caught in the CAPTCHA: How ClickFix is Weaponizing Verification Fatigue — SentinelOne, 인포스틸러·RAT 유포 분석

이 블로그 검색