비밀번호·2FA 바꿔도 안 막힙니다 — 세션 토큰 터는 정보탈취 악성코드(인포스틸러) 대응법

이 글은 보안 정보 제공을 목적으로 하며, 감염이 의심되면 사용하는 금융사·거래소·회사 보안팀 등 공식 창구에 함께 확인하시기 바랍니다. 특정 제품·업체와 이해관계가 없습니다.

인포스틸러(정보탈취 악성코드)는 붙여넣기 한 번으로 브라우저에 저장된 비밀번호와 로그인 세션 토큰, 그리고 회사 문서까지 통째로 빼가는 악성코드입니다. 무서운 건 그다음입니다. 털린 뒤에 비밀번호를 바꾸고 2단계 인증(2FA)을 켜도, 이미 빠져나간 세션 토큰 하나면 그 방어가 통하지 않습니다. 왜 그런지, 그리고 감염이 의심될 때 어떤 순서로 손을 써야 하는지 아래에서 실측 자료와 함께 정리했습니다. 끝에 대부분이 빼먹는 마지막 조치 1개가 있으니 확인하세요.

인포스틸러가 비밀번호·로그인 쿠키를 통째로 가져가는 원리 — 직접 검증 포함

이 글이 속한 주제: 계정·비밀번호 보안

인포스틸러가 실제로 훔치는 것 — 비밀번호가 끝이 아니다

정보탈취 악성코드는 이름 그대로 ’정보’를 훔칩니다. 문제는 그 범위가 우리가 생각하는 것보다 훨씬 넓다는 점입니다.

최근 보안업체 분석에서 확인된 ACR Stealer는 2024년부터 유통된 인포스틸러로, 감염된 PC에서 브라우저에 저장된 비밀번호와 쿠키, 바탕화면·다운로드 폴더의 PDF, 그리고 OneDrive·SharePoint로 동기화된 Microsoft 365 업무 파일까지 함께 빼내는 것으로 나타났습니다. 침투 경로는 단순합니다. “누군가 실행 창에 명령어를 붙여넣고 엔터를 누른” 순간부터 시작됩니다. ACR Stealer Uses ClickFix Lures to Steal Browser Tokens and Microsoft 365 Files

한 번 감염되면 무엇이 넘어가는지 정리하면 이렇습니다.

구분	훔치는 것 (담긴 파일)	왜 위험한가
로그인 자격증명	브라우저에 저장된 아이디·비밀번호 (Login Data)	저장해 둔 모든 사이트 계정이 한 번에 유출
세션 쿠키·토큰	로그인 상태를 유지하는 세션 토큰 (Cookies)	비밀번호·2FA 없이도 로그인 상태가 복제됨
자동완성·결제정보	주소·카드정보 등 (Web Data)	결제·본인확인 정보 유출
문서 파일	바탕화면·다운로드 폴더의 PDF	계약서·신분증 사본 등 민감 문서 유출
클라우드·업무 파일	OneDrive·SharePoint 동기화 Microsoft 365 파일	회사 기밀·업무 문서까지 유출

인포스틸러가 훔치는 정보와 그 위험

저는 이 주장을 그대로 옮기지 않고 직접 확인했습니다. 이 작업 환경에서 크롬(Chromium)으로 새 프로필을 만들자, 인포스틸러가 노리는 파일인 Login Data, Cookies, Web Data가 실제로 그대로 생성됐습니다(위 화면). 그 Login Data 파일을 열어보니 저장된 아이디·비밀번호가 하나의 데이터베이스 파일에 담겨 있었습니다. 즉 악성코드 입장에서는 이 파일 몇 개만 복사하면 저장된 계정이 통째로 넘어가는 구조입니다. (실제 계정·악성코드 없이 테스트용 더미 데이터로만 재현했고, 파일 내용은 열지 않았습니다.)

왜 비밀번호·2FA를 바꿔도 못 막나 — 세션 토큰의 함정

여기가 이 글의 핵심입니다. 인포스틸러 피해가 무서운 진짜 이유는 세션 토큰(로그인 쿠키) 때문입니다.

우리가 사이트에 로그인하면, 브라우저는 “이 사람은 방금 인증을 통과했다”는 증표인 세션 토큰을 쿠키로 저장합니다. 그래야 페이지를 옮길 때마다 비밀번호를 다시 안 물어보죠. 문제는, 공격자가 이 세션 토큰을 훔쳐 자기 브라우저에 심으면 이미 로그인된 상태가 그대로 복제된다는 것입니다. 비밀번호를 묻지 않으니 2단계 인증도 물어볼 일이 없습니다. 보안 업계에서는 이를 “문 앞에서 신분증은 당신이 보여줬는데, 방 열쇠는 다른 사람이 들고 있는 상황”에 비유합니다. Session Cookie Theft: You Showed Your ID at the Door. But Someone Else Has Your Room Key

이것도 직접 재현해 봤습니다. 데모 세션 쿠키가 담긴 쿠키 파일을 다른 프로필(다른 기기 역할)로 복사하자, 옮겨간 쪽에서도 그 세션 토큰이 그대로 살아 있었습니다. 비밀번호도 2FA도 다시 묻지 않는 상태가 복제된 것입니다. 아래 시연으로 그 과정을 확인해 보세요.

그래서 대응의 방향이 달라집니다. 마이크로소프트도 이런 공격의 사후 조치로 “비밀번호 교체가 아니라 토큰 무효화가 필수”라고 못박습니다. 비밀번호만 바꾸면 훔쳐간 세션은 여전히 살아 있기 때문입니다. Think before you Click(Fix): Analyzing the ClickFix social engineering technique

어떻게 내 PC에 들어오나 — 클릭픽스 한 줄 요약

침투 방식 자체는 ’클릭픽스(ClickFix)’라 불리는 수법입니다. 정상적인 보안 인증(캡차)이나 오류 해결 화면처럼 꾸민 뒤, 사용자가 직접 명령어를 복사해 실행 창이나 파워셸에 붙여넣도록 유도하는 사회공학 공격입니다. 국내에서도 안랩이 정상 사이트가 침해돼 가짜 캡차로 정보탈취 악성코드(LummaC2)를 퍼뜨린 사례를 공개했습니다. 캡차·설치 안내 뒤에 숨은 위협, 클릭픽스가 위험한 이유

이 ’가짜 캡차’를 화면에서 알아채고 애초에 안 당하는 법은 별도 글에서 신호 3가지로 정리해 두었습니다. 예방·판별이 궁금하다면 먼저 그 글을 참고하세요. 이 글은 이미 당했을 때의 대응에 집중합니다.

감염이 의심되면 지금 해야 할 대응 순서

명령어를 붙여넣어 실행했거나, 갑자기 로그인이 풀리고 낯선 접속 기록이 보인다면 아래 순서대로 즉시 조치하세요. 순서가 중요합니다.

인터넷 연결을 끊습니다. Wi-Fi를 끄거나 랜선을 뽑아, 악성코드가 추가로 정보를 빼내가는 것을 차단합니다.
감염 PC가 아닌 다른 기기(스마트폰 등)에서 주요 계정의 비밀번호를 바꿉니다. 감염된 PC에서 바꾸면 그 새 비밀번호까지 다시 새어 나갑니다.
모든 기기에서 로그아웃(세션 무효화)합니다. 이것이 대부분 빼먹는 핵심입니다. 메일·금융·거래소·SNS의 보안 설정에서 ‘다른 모든 기기에서 로그아웃’ 또는 ’활성 세션 종료’를 실행해 훔쳐간 세션 토큰을 무력화하세요. 비밀번호 변경만으로는 부족합니다.
2단계 인증(2FA)을 재설정하고, 가능하면 인증 수단을 다시 등록합니다.
거래소·클라우드를 별도로 점검합니다. 암호화폐 거래소를 쓴다면 API 키를 삭제·재발급하고 출금 내역과 화이트리스트를 확인하세요. 빗썸도 클릭픽스·인포스틸러 경고에서 네트워크 차단 후 다른 기기에서 비밀번호 변경, 2단계 인증 재설정, API 키 삭제, 로그인 내역 점검을 안내했습니다. 빗썸, ‘클릭픽스 피싱·인포스틸러 코드’ 주의 당부
백신 정밀검사와 운영체제·소프트웨어 업데이트를 실행합니다. 악성 파워셸은 창을 숨긴 채 조용히 도는 경우가 많아, 겉으로 멀쩡해 보여도 안심하기 이릅니다.

계정 도용·개인정보 유출로 번졌을 때의 공통 대응(지급정지·명의도용 차단 등)은 아래 ’함께 보면 좋은 글’의 대응 정리에 이어집니다.

기업·Microsoft 365 사용자라면 추가로 확인할 것

인포스틸러가 특히 위험해진 이유는 개인 계정을 넘어 업무 환경까지 노리기 때문입니다. 앞서 본 ACR Stealer는 OneDrive·SharePoint로 동기화된 회사 파일과 Microsoft 365 문서까지 함께 빼냅니다. 업무용 PC 한 대가 감염되면 개인 피해로 끝나지 않는다는 뜻입니다.

회사 계정이 걸려 있다면 개인 조치와 함께 관리자 차원의 세션·토큰 무효화가 필요합니다. 관리자는 해당 계정의 활성 세션을 강제 종료하고 리프레시 토큰을 폐기한 뒤, 의심 로그인·아웃바운드 연결(원격 공유·이미지 호스팅 등)이 있었는지 점검해야 합니다. 감염이 의심되는 즉시 회사 보안팀에 알리는 것이 먼저입니다.

자주 묻는 질문 (FAQ)

비밀번호를 이미 바꿨는데 왜 계속 뚫리나요?

세션 토큰(로그인 쿠키)이 함께 털렸기 때문입니다. 비밀번호를 바꿔도 이미 빠져나간 세션은 살아 있어, 공격자가 그 세션으로 로그인 상태를 유지할 수 있습니다. 각 서비스에서 ’모든 기기에서 로그아웃’을 실행해 세션 자체를 무효화해야 합니다.

백신이 깔려 있으면 자동으로 막아주지 않나요?

완전히 막기는 어렵습니다. 이 공격은 사용자가 ‘직접’ 명령어를 실행하는 정상 행위를 악용해 탐지를 우회하도록 설계됐습니다. 백신은 보조 수단이고, 출처가 불분명한 명령어를 붙여넣어 실행하지 않는 것이 가장 확실한 방어입니다.

감염됐는지 어떻게 알 수 있나요?

낯선 기기·지역의 로그인 기록, 갑작스러운 로그아웃, 보낸 적 없는 메일·메시지, 거래소 출금 알림 등이 신호입니다. 확실치 않다면 감염을 전제로 위 대응 순서를 밟는 편이 안전합니다.

스마트폰도 이 방식으로 당할 수 있나요?

이 ‘붙여넣기 실행’ 수법은 주로 PC(윈도우·macOS)를 노립니다. 다만 인포스틸러 자체는 모바일 환경으로도 확대되고 있으므로, 출처 불명 링크·앱 설치는 폰에서도 조심해야 합니다.

결론

인포스틸러 피해의 핵심은 “비밀번호 하나 털린 문제”가 아니라 “로그인 상태 자체가 복제됐다”는 점입니다. 그래서 대응도 비밀번호 교체에서 끝나면 안 되고, 모든 기기에서 로그아웃(세션 무효화)까지 가야 합니다. 그리고 그런 상황을 애초에 안 만들려면, 웹페이지가 시키는 명령어를 실행 창·터미널에 붙여넣지 않는 것 하나면 됩니다.

참고 출처

ACR Stealer Uses ClickFix Lures to Steal Browser Tokens and Microsoft 365 Files — The Hacker News(2026.7.17), 탈취 대상·유포 방식
Think before you Click(Fix): Analyzing the ClickFix social engineering technique — Microsoft Security, 토큰 무효화 권고
Session Cookie Theft: You Showed Your ID at the Door. But Someone Else Has Your Room Key — The Hacker News, 세션 토큰 탈취 원리
캡차·설치 안내 뒤에 숨은 위협, 클릭픽스가 위험한 이유 — 안랩, 국내 LummaC2 유포 사례
빗썸, ‘클릭픽스 피싱·인포스틸러 코드’ 주의 당부 — 블록미디어(2026.4.9), 거래소 이용자 대응 수칙

인포스틸러가 훔쳐 가는 것과, 비밀번호만 바꿔서는 막히지 않는 이유 요약