내 Mac이 해킹당했을까요? 확인하는 방법과 해야 할 일

해킹, 감염, 아니면 사기?

해킹처럼 보이는 것은 대개 서로 다른 세 가지 중 하나이며, 각각 해결 방법이 다릅니다.

• 사기: 브라우저에 팝업이 뜨거나, Mac이 해킹당했다거나 카메라로 녹화되었다는 이메일을 받은 경우입니다. Mac에서는 아무것도 바뀌지 않았습니다. Apple Security Alert 사기를 참고하세요. 비트코인으로 돈을 요구하는 이메일은 성적 협박(섹스토션)이며, 삭제하는 것이 올바른 대응입니다.
• 악성 코드 또는 애드웨어: 홈페이지나 검색 엔진이 바뀌었거나, 원래 없던 광고가 나타나거나, 설치하지 않은 앱이 있는 경우입니다. Mac에서 악성 코드를 제거하는 방법을 참고하세요.
• 해킹당한 계정: 로그인 알림, 요청하지 않은 암호 재설정 이메일, 내 이름으로 보내진 메시지가 있는 경우입니다. 누군가 암호를 알고 있지만, 반드시 Mac에 접근한 것은 아닙니다. 아래 6단계부터 시작하세요.

누군가 실제로 Mac을 제어하는 경우는 가장 드뭅니다. 대개 가짜 기술 지원 전화 중에 설치한 원격 지원 앱이나, Mac을 직접 만질 수 있었던 사람으로부터 시작됩니다.

누군가 Mac에 접근하고 있다는 징후

• 아무것도 하지 않는데 포인터가 움직이거나, 창이 열리거나, 텍스트가 입력됩니다.
• 설치하지 않았거나 누군가 전화로 설치하라고 했던 AnyDesk, TeamViewer, 화면 공유 도구 같은 원격 제어 앱이 있습니다.
• 사용자 및 그룹에 만든 적 없는 사용자 계정이 있거나, 암호가 갑자기 맞지 않습니다.
• 카메라나 마이크를 사용할 앱을 열지 않았는데 카메라의 초록색 표시등이나 마이크의 주황색 점이 나타납니다.
• 고쳐 놓은 설정이 다시 바뀝니다. 예를 들어 방화벽이 꺼지거나, 제거할 수 없는 프로파일이 생깁니다.

1. 인터넷 연결 끊기

시작하기 전에 Wi-Fi를 끄거나 케이블을 뽑으세요. 원격 제어와 데이터 업로드가 멈추고, 연결되어 있던 사람이 내가 무엇을 확인하는지 지켜보거나 되돌릴 수 없게 됩니다. 마지막에 암호를 변경할 때처럼 필요할 때만 다시 연결하세요.

2. 원격 접근 끄기

시스템 설정 › 일반 › 공유를 여세요. 직접 사용하지 않는 항목은 모두 끄세요. 특히 화면 공유, 원격 관리, 원격 로그인, 파일 공유, 원격 Apple 이벤트를 확인하세요. 원격 로그인을 켜 두면 계정 암호를 아는 사람은 누구나 네트워크를 통해 Mac에서 명령어를 실행할 수 있습니다.

그런 다음 응용 프로그램에서 AnyDesk, TeamViewer, Splashtop, ConnectWise, RustDesk 같은 원격 제어 앱을 찾아보세요. 분명한 이유로 직접 설치한 것이 아니라면 종료하고 도우미 프로그램까지 함께 제거하세요. 앱을 완전히 삭제하는 방법을 참고하세요.

3. 사용자 계정 확인하기

시스템 설정 › 사용자 및 그룹을 여세요. 나열된 모든 계정은 Mac에 로그인할 수 있으며, 관리자는 Mac의 모든 것을 바꿀 수 있습니다. 만든 적 없는 계정은 삭제하고, 관리자가 본인뿐인지 확인하세요. 그런 다음 누군가 이전 암호를 알고 있을 경우에 대비해 암호 변경으로 본인의 Mac 암호를 바꾸세요.

4. Mac을 지켜보거나 제어할 수 있는 앱 확인하기

시스템 설정 › 개인정보 보호 및 보안을 열고 다음 목록을 하나씩 살펴보세요. 모르는 앱이나 더 이상 사용하지 않는 앱은 끄거나 − 버튼으로 제거하세요.

• 손쉬운 사용: 앱이 Mac을 제어하고, 사용자 대신 클릭하고 입력할 수 있습니다.
• 화면 및 시스템 오디오 녹음: 앱이 화면의 모든 것을 볼 수 있습니다.
• 입력 모니터링: 앱이 암호를 포함해 입력하는 내용을 읽을 수 있습니다.
• 전체 디스크 접근 권한, 카메라, 마이크.

마이크가 사용 중일 때는 메뉴 막대에 주황색 점이 표시되고, 카메라는 초록색 표시등이 켜집니다. 제어 센터를 열면 어떤 앱이 사용 중인지, 또는 마지막으로 사용했는지 볼 수 있습니다.

5. Mac과 함께 시작되는 항목 확인하기

접근을 유지하려는 것은 무엇이든 재시동 후에 스스로 다시 실행되어야 합니다. Mac에서 악성 코드를 제거하는 방법에 설명된 대로 시스템 설정 › 일반 › 로그인 항목 및 확장 프로그램과 launch agent 폴더를 확인하고, 일반 › 기기 관리에서 설치하지 않은 프로파일을 제거하세요. 그런 다음 악성 코드 검사를 실행하세요.

6. 다른 기기에서 계정 확인하기

1. Apple 계정: account.apple.com이나 시스템 설정의 내 이름 아래에서 기기를 확인하세요. 내 것이 아닌 기기는 제거한 다음 암호를 변경하세요. 다른 사람이 Apple 계정을 손에 넣으면 iCloud 사진, 메시지, 백업을 볼 수 있고, 나의 찾기로 기기를 잠글 수도 있습니다.
2. 이메일: 최근 로그인 활동과 전달 규칙을 확인하세요. 메일을 다른 곳으로 전달하는 규칙은 암호를 변경한 뒤에도 공격자가 재설정 코드를 계속 받아 보는 수단입니다.
3. 이메일, Apple 계정, 은행, 그리고 브라우저에 저장된 모든 계정의 암호를 이메일부터 변경하고, 사이트에서 지원한다면 다른 모든 세션에서 로그아웃하세요.
4. 모든 곳에서 이중 인증을 켜세요. 가능하면 문자 메시지 대신 인증 앱이나 패스키를 사용하세요.

신뢰할 수 있는 휴대폰이나 다른 컴퓨터에서 하세요. Mac이 여전히 침해된 상태라면 그 Mac에서 입력한 새 암호도 탈취될 수 있습니다.

사기범에게 Mac 접근을 허용했다면

가짜 지원 전화나 가짜 환불 등을 통해 모르는 사람이 원격으로 제어했다면, 그 사람이 화면에 있던 내용을 보았고 다시 들어오기 위해 무언가를 설치했을 수 있다고 가정하세요. 인터넷 뱅킹을 보거나 건드렸다면 먼저 은행에 전화하세요. 그런 다음 위의 모든 단계를 진행하고 Mac을 지우는 것도 고려하세요. 문서를 백업한 다음 시스템 설정 › 일반 › 전송 또는 재설정 › 모든 콘텐츠 및 설정 지우기를 선택하고, 각 개발자에게서 앱을 다시 설치하세요.

Tidy My Mac으로 Mac 확인하기

• Security Settings는 FileVault, 방화벽, Gatekeeper, SIP 등 Mac의 보호 기능에 점수를 매기고, 꺼져 있는 항목마다 고치는 방법을 알려 줍니다.
• Privacy Access는 카메라, 마이크, 화면, 파일을 사용할 수 있도록 허용된 모든 앱을 한곳에 나열하고, Sudo Activity는 지난 30일 동안 관리자 권한으로 실행된 명령어를 보여 줍니다.
• Antivirus는 악성 코드와 원격 접근 트로이 목마를 검사하고, Startup Items는 Mac과 함께 시작되는 모든 항목을 보여 주며, Firewall은 어떤 앱이 외부로 연결하는지 보여 주고 차단합니다.