해커들, 새로운 피싱 공격을 통해 Signal 사용자 백업 탈취 시도

(techcrunch.com)

TechCrunch2026년 5월 28일정책·규제

해커들이 시그널(Signal) 지원팀을 사칭하여 사용자의 채팅 백업 복구 키를 탈취하려는 새로운 피싱 공격을 시작했으며, 이는 과거 대화 기록과 민감한 미디어 파일이 포함된 백업 데이터 전체를 위협할 수 있어 각별한 주의가 필요합니다.

이 글의 핵심 포인트

1해커들이 Signal Support를 사칭하여 채팅 백업 복구 키를 요구하는 새로운 피싱 공격 수행
2공격의 핵심은 사용자의 불안감을 자극하여 '데이터 영구 손실'을 명분으로 복구 키 탈취 유도
3기존 계정 탈취와 달리, 이번 공격은 과거 대화, 사진, 문서가 포함된 백업 아카이브 전체를 노림
4중국 반체제 활동가 등 특정 타겟을 넘어 광범위한 사용자 대상으로 확산될 가능성 존재
5Signal은 어떠한 경우에도 사용자에게 등록 코드, PIN, 복구 키를 먼저 요구하지 않음

이 글에 대한 공공지능 분석

왜 중요한가?

기존의 시그널 계정 탈취 공격은 새로운 메시지만 볼 수 있는 수준이었으나, 이번 공격은 복구 키를 통해 과거의 모든 데이터가 담긴 백업 전체를 탈취할 수 있는 경로를 제공합니다. 보안의 핵심인 '종단간 암기화'의 약점이 기술적 결함이 아닌 '사용자 기만'이라는 사회 공학적 기법을 통해 공략되고 있다는 점이 매우 위협적입니다.

어떤 배경과 맥락이 있나?

시그널은 보안을 위해 서버에 암호화된 백업을 저장하고 사용자가 복구 키를 관리하는 방식을 채택했습니다. 해커들은 이 구조적 특징을 이용해 '동기화 문제로 인한 데이터 손실'이라는 허위 정보를 유포하며, 사용자가 스스로 암호화의 열쇠를 넘겨주도록 유도하는 심리적 공격을 수행하고 있습니다.

업계에 어떤 영향을 주나?

보안 솔루션 및 메신저 개발사들은 기술적 보안만큼이나 사용자 교육과 '사회 공학적 공격(Social Engineering)'에 대한 방어 체계 구축이 중요함을 시사합니다. 특히 보안 기능이 복잡하고 사용자에게 관리 책임을 부여할수록, 보안 기능의 취약점이 사용자 인터페이스(UI)와 커뮤니케이션의 허점을 통해 드러날 수 있습니다.

한국 시장에 어떤 시사점이 있나?

개인정보 보호가 엄격한 한국 시장의 스타트업들도 보안 기능의 편의성과 보안성 사이의 트레이프오프를 신중히 설계해야 합니다. 특히 금융이나 의료 등 민감 데이터를 다루는 서비스라면, 사용자가 보안 키를 관리하는 과정에서 발생할 수 있는 혼란을 방지하고, 서비스 운영 주체가 절대 개인 정보를 요구하지 않는다는 원칙을 사용자에게 직관적으로 각인시키는 UX 설계가 필수적입니다.

이 글에 대한 큐레이터 의견

이번 사건은 보안 기술의 완성도가 아무리 높더라도, 결국 보안의 가장 약한 고리는 '사람(사용자)'이라는 고전적인 진리를 다시 한번 일깨워줍니다. 해커들은 암호화 알고리즘을 깨는 대신, 사용자의 불안감을 자극하는 '심리적 해킹'을 선택했습니다. 이는 보안 기능을 설계하는 개발자들에게 기술적 완결성만큼이나 사용자 경험(UX) 측면에서의 보안 인지 능력이 중요하다는 것을 시사합니다.

스타트업 창업자들은 제품의 보안 기능을 강화할 때, 사용자가 이를 '어렵고 번거로운 것'으로 느끼지 않게 하면서도 '위험 상황'을 명확히 인지할 수 있는 커뮤니케이션 전략을 구축해야 합니다. 특히 복구 키나 인증 수단 같은 민감한 정보를 다루는 서비스라면, 서비스 운영 주체가 어떠한 경우에도 개인 정보를 요구하지 않는다는 신뢰를 브랜드의 핵심 가치로 내세우고 이를 사용자 인터페이스를 통해 반복적으로 증명해야 합니다.

원문 보기 →