가짜 Adobe·Zoom 업데이트 팝업, 누르고 설치하면 PC가 원격 조종될 수 있습니다

-

가짜 Adobe·Zoom 업데이트 팝업, 누르고 설치하면 PC가 원격 조종될 수 있습니다

이 글은 보안 사고 예방을 위한 정보 제공용입니다. 감염이 의심되면 아래 절차와 함께 한국인터넷진흥원(☎118)·수사기관에 반드시 신고하세요.

“Adobe를 업데이트하세요”, “Zoom 최신 버전을 설치하세요”라는 팝업이 브라우저에 뜬다면, 클릭하거나 내려받은 파일을 실행하지 말고 창을 닫으세요. 팝업을 본 것만으로 감염되는 것은 아니지만, 안내에 따라 파일을 실행하면 공격자가 준비한 ScreenConnect 원격제어 프로그램이 설치될 수 있습니다. 설치 뒤에는 공격자가 화면을 보거나 PC를 조작할 수 있습니다.

보안업체 Securonix의 위협 연구팀은 이 공격 활동을 ’SMOKE#SCREEN’이라는 이름으로 추적해 2026년 8월 공개했습니다. 즉 이 글에서 말하는 ’SMOKE#SCREEN 캠페인’과 ’Securonix가 공개한 공격’은 같은 것을 가리키는 하나의 이름입니다. 무엇을 조심해야 하고, 진짜 업데이트와 어떻게 구별하며, 이미 눌렀다면 무엇부터 해야 하는지 순서대로 정리했습니다.

가짜 업데이트 팝업에서 원격제어 프로그램 설치까지 이어지는 감염 흐름도
가짜 업데이트 팝업에서 원격제어 프로그램 설치까지 이어지는 감염 흐름도

왜 이 ‘업데이트’ 팝업이 위험한가

핵심부터 말하면, 이 팝업은 백신에 잘 걸리지 않는 정상 원격제어 프로그램을 악용하기 때문에 위험합니다. Securonix 분석에 따르면 공격자는 Zoom 업데이트, Adobe Reader·Flash Player 업데이트, 업무 문서 검토 요청, 시스템 점검 도구 같은 여러 미끼를 번갈아 쓰면서 최종적으로 ScreenConnect(ConnectWise사의 원격 모니터링·관리 도구) 를 몰래 설치합니다.

여기서 중요한 점이 있습니다. ScreenConnect 자체는 IT 관리자들이 정식으로 쓰는 합법적인 원격 지원 프로그램입니다. 문제는 이 정상 프로그램을 공격자가 자기 서버에 붙도록 설정해 몰래 깔아 두는 데 있습니다. 게다가 설치 파일에는 ConnectWise가 DigiCert 인증서로 정식 서명한 서명값이 들어 있어서, 여러 백신·보안 제품이 “믿을 만한 기업이 만든 프로그램”으로 보고 검사를 느슨하게 하는 경우가 있다고 Securonix는 지적합니다.

설치 과정에서 악성 스크립트는 윈도우 디펜더를 무력화하고, 사용자 계정 컨트롤(UAC) 권한을 올리고, 스마트스크린 경고를 끄는 동작까지 시도합니다. 설치는 사용자에게 보이지 않는 무인 방식으로 진행되고, 끝나면 프로그램이 공격자가 지정한 중계 서버에 계속 접속해 원격 접근을 유지합니다. 이 공격은 윈도우뿐 아니라 맥(macOS)에서도 확인됐습니다.

한 줄로 정리하면, 정상 업데이트인 척하지만 실제로는 누군가 내 PC에 상시 접속할 통로를 열어 두는 것입니다.

진짜 업데이트와 가짜 업데이트, 이렇게 구별하세요

중요한 경고 신호는 웹 서핑 중 갑자기 뜬 팝업이 설치 파일 실행을 요구하는지입니다. 팝업 자체만으로 진위를 단정하지 말고, 해당 창은 닫은 뒤 프로그램 내부의 업데이트 메뉴나 공식 다운로드 페이지에서 필요한 업데이트를 직접 확인하세요.

Zoom과 Adobe의 공식 다운로드 페이지를 직접 확인했습니다. 배포 경로는 운영체제의 공식 앱 스토어 등 여러 형태가 있을 수 있으므로 “주소 하나뿐”이라고 단정하기보다, 앱 내부 업데이트 기능이나 제조사 공식 도메인에서 시작하는 것이 안전합니다. 검색 광고·낯선 사이트·갑자기 뜬 “업데이트 필요” 창에서 받은 파일은 실행하지 마세요.

Zoom 공식 다운로드 센터 페이지 — 정식 배포처가 이 공식 주소임을 보여주는 화면
Zoom 공식 다운로드 센터 페이지 — 정식 배포처가 이 공식 주소임을 보여주는 화면
adobe.com 도메인의 Adobe Acrobat Reader 공식 다운로드 페이지 화면
adobe.com 도메인의 Adobe Acrobat Reader 공식 다운로드 페이지 화면

아래 표로 진짜와 가짜를 나란히 비교했습니다.

구분 진짜 업데이트 가짜 업데이트 팝업
어디서 안내되나 프로그램 내부 메뉴 또는 공식 다운로드 페이지 웹 서핑 중 갑자기 뜨는 브라우저 팝업·광고
받는 경로 zoom.us · adobe.com 등 공식 도메인 직접 접속 검색 광고·낯선 사이트·문서 링크·클라우드 공유 링크
요구하는 동작 설치 후 정상 실행. 보안 기능 해제를 요구하지 않음 권한 상승 승인, 백신·스마트스크린 무력화 유도
설치 결과 해당 프로그램만 최신 버전으로 갱신 원격제어 프로그램(ScreenConnect 등)이 조용히 설치·상시 접속
진짜 업데이트와 가짜 업데이트 팝업의 차이

가짜 문자·메신저로 시작하는 링크 사기의 구별법이 궁금하다면 택배 “주소 불일치” 문자, 안에 링크 클릭하면 큰일납니다. 진짜일까 사기일까? 구별법 5가지 글도 같은 원리로 도움이 됩니다.

Zoom·Adobe를 안전하게 업데이트하는 공식 경로 요약 카드
Zoom·Adobe를 안전하게 업데이트하는 공식 경로 요약 카드

이미 눌렀다면? 지금 순서대로 하세요

혹시 팝업을 눌러 뭔가를 설치했다면, 당황하지 말고 아래 순서대로 진행하세요. 원격제어 프로그램은 인터넷 연결이 있어야 공격자와 붙기 때문에, 가장 먼저 인터넷을 끊는 것이 피해를 줄이는 핵심입니다.

무엇이 설치됐는지 확인하려면 설치된 프로그램 목록을 열어야 합니다. 윈도우에서는 시작 버튼 옆 톱니바퀴(설정)를 열거나 키보드에서 Windows 키와 i를 함께 눌러 설정에 들어간 뒤, ‘앱’ > ‘설치된 앱’ 으로 이동하면 됩니다. 이 경로가 보이지 않는 버전이라면 제어판 > 프로그램 및 기능 에서도 같은 목록을 볼 수 있습니다. 목록에서 ScreenConnect, ConnectWise, ScreenConnect Client 같은 이름이 보이더라도 회사·기관 PC에서는 정식 관리 도구일 수 있으므로 임의로 삭제하지 말고 정보보안 담당자에게 확인하세요. 개인 PC에서 설치를 요청한 적이 없다면 인터넷 연결을 끊고 118 또는 보안 전문가의 안내에 따라 제거·점검하는 것이 안전합니다.

순서 할 일 어떻게
1 인터넷 연결 끊기 Wi-Fi 끄기 또는 랜선 뽑기(원격 접속 차단이 최우선)
2 설치된 앱 확인·상담 설정 > 앱 > 설치된 앱(또는 제어판 > 프로그램 및 기능)에서 ScreenConnect·ConnectWise 검색 후 회사 IT 담당자·118에 확인
3 백신 전체 검사·신고 백신 정밀 검사 후 한국인터넷진흥원 ☎118 또는 보호나라에 신고
4 비밀번호 변경 감염되지 않은 다른 기기에서 이메일·금융·주요 계정 비밀번호 교체
5 금융 피해 점검 이상 거래 의심 시 카드·은행 고객센터 또는 금융감독원 ☎1332로 계좌 점검·지급정지 요청
원격제어 악성코드 감염이 의심될 때 순서대로 할 일

삭제만으로 끝났다고 확신하기 어렵기 때문에, 백신 전체 검사와 함께 한국인터넷진흥원에 신고해 도움을 받는 것이 안전합니다. 한국인터넷진흥원 보호나라 사이트에 직접 들어가 보니, 첫 화면에 ‘침해사고 신고’ 메뉴와 상담 전화 118이 바로 보여서 감염이 의심될 때 여기서 신고할 수 있습니다. 118은 해킹·악성코드 관련 상담을 받는 번호이며, 국번 없이 118로 전화하면 됩니다.

한국인터넷진흥원 보호나라 첫 화면 — '침해사고 신고' 메뉴와 상담 전화 118이 보이는 부분
한국인터넷진흥원 보호나라 첫 화면 — '침해사고 신고' 메뉴와 상담 전화 118이 보이는 부분





원격 접속이 열려 있던 동안 인터넷 뱅킹이나 금융 앱에 접속한 적이 있다면, 계정 비밀번호를 감염되지 않은 다른 기기에서 바꾸고, 이상 거래가 의심되면 금융회사 고객센터나 금융감독원(☎1332)에 즉시 알려 계좌 점검·지급정지를 요청하세요. 비밀번호를 감염된 PC에서 바꾸면 공격자가 그 화면까지 볼 수 있으니, 반드시 다른 기기를 쓰세요.

앞으로 당하지 않는 예방 습관 5가지

한 번 정리해 두면 이런 공격 대부분을 자동으로 걸러 낼 수 있습니다.

첫째, 업데이트는 프로그램 안에서 하세요. Zoom은 앱을 켜고 프로필 메뉴에서 업데이트를 확인하고, Adobe 제품은 프로그램의 도움말 메뉴에서 업데이트를 확인합니다. 브라우저 팝업은 무시합니다.

둘째, 설치 파일이 필요하면 검색 결과가 아니라 공식 주소를 직접 입력해 들어갑니다. 광고로 뜬 상단 링크나 낯선 다운로드 사이트를 피하세요.

셋째, 실행 파일을 열 때 윈도우가 “이 앱이 기기를 변경하도록 허용하시겠습니까?”라고 물으면, 내가 방금 직접 받은 것이 아니라면 아니요 를 누릅니다. 이 공격은 바로 이 권한 요청을 통과해야 힘을 씁니다.

넷째, 백신과 윈도우 보안 기능을 켜 두고, 어떤 프로그램이 “보안 기능을 잠깐 꺼 달라”고 하면 의심합니다. 정상 업데이트는 백신을 끄라고 요구하지 않습니다.

다섯째, 회사·기관 PC라면 관리자가 허가하지 않은 원격제어 도구가 깔려 있는지 주기적으로 확인하고, 필요 없는 원격 지원 프로그램은 차단하도록 요청하세요.

자주 묻는 질문

ScreenConnect가 깔려 있으면 무조건 해킹된 건가요?

아닙니다. ScreenConnect는 IT 부서나 외주 지원업체가 정식으로 쓰는 프로그램일 수 있습니다. 다만 내가 설치를 요청한 적도, 회사가 안내한 적도 없는데 깔려 있다면 의심해야 합니다. 회사 PC라면 정보보안 담당자에게, 개인 PC라면 118에 문의해 확인하세요.

백신에서 아무것도 안 잡히는데 괜찮은 건가요?

Securonix는 이 공격이 정식 서명된 파일을 쓰기 때문에 일부 보안 제품이 검사를 느슨하게 할 수 있다고 지적했습니다. 백신이 조용하다고 안심하지 말고, 설치된 앱 목록에서 낯선 원격제어 프로그램이 있는지 직접 눈으로 확인하는 편이 안전합니다.

맥(Mac)을 쓰는데 저는 안전한가요?

아닙니다. 이 공격은 처음 윈도우에서 관찰됐지만, Securonix는 같은 방식의 가짜 Zoom 업데이트가 macOS로도 확산된 것을 확인했습니다. 맥 사용자도 브라우저 팝업 업데이트는 똑같이 조심해야 합니다.

결론

기억할 것은 하나입니다. 업데이트는 브라우저 팝업이 아니라 프로그램 안이나 공식 사이트에서 합니다. Adobe·Zoom을 사칭한 이 공격은 화려한 해킹이 아니라, “업데이트하세요”라는 익숙한 문구로 사용자가 스스로 원격제어 통로를 열게 만드는 심리전입니다. 팝업을 닫는 습관, 공식 주소를 직접 입력하는 습관, 권한 요청에 함부로 ’예’를 누르지 않는 습관 세 가지면 대부분 막힙니다. 이미 설치했다면 인터넷부터 끊고, 설치된 앱을 확인한 뒤 118에 신고하세요.

함께 보면 좋은 글

참고 출처