[해외보안뉴스] 17,000개 URL 분석: 정상 웹사이트를 악성코드 함정으로 만드는 'ClickFix' 공격의 실태
· 2026-09-24 11:00
· 조회 20
· 원문 ↗
사이버 보안 기업 CTM360의 최신 위협 보고서에 따르면, 'ClickFix' 기법이 기업 네트워크 침투의 가장 주된 통로로 자리 잡았습니다. 약 17,000개의 URL 분석을 바탕으로 작성된 이 보고서는 ClickFix가 시스템 취약점(Exploit)이나 악성 첨부파일, 디스크 상의 악성 파일 없이도 사용자를 속여 시스템을 감염시킨다고 경고합니다. 2023년 말에 처음 발견된 이 기법은 현재 온체인(블록체인) 인프라를 갖춘 서비스형 악성코드(MaaS) 구독 상품으로 진화했으며, 국가 지원 해킹 조직들까지 대거 활용하고 있는 것으로 나타났습니다.
ClickFix 공격은 공격자가 정상적인 웹사이트를 침해하거나 신뢰할 수 있는 도메인으로 위장한 후, 브라우저 업데이트나 캡차(Captcha) 인증 오류를 가장한 가짜 팝업 창을 띄우는 방식으로 진행됩니다. 사용자가 이 안내에 속아 클립보드에 복사된 명령어(주로 PowerShell)를 직접 시스템에 실행하도록 유도하므로, 전통적인 보안 솔루션의 파일 기반 탐지를 쉽게 우회합니다. 이 공격은 엔터프라이즈 환경 전반을 위협하며, 단순 정보 탈취는 물론 랜섬웨어 전파를 위한 초기 침투 단계로 광범위하게 악용되고 있습니다.
공격자들이 정상 웹사이트와 온체인 인프라를 이용함에 따라 단순 악성 도메인 차단 방식만으로는 효과적인 방어가 불가능해졌습니다. 이에 대응하기 위해 조직은 브라우저나 외부 스크립트가 파워쉘(PowerShell) 및 명령 프롬프트(CMD)를 직접 호출하지 못하도록 엔드포인트 세션 제어를 강화하고, 터미널 명령어 실행을 기록하는 로깅(Script Block Logging)을 활성화해야 합니다. 또한, 웹페이지에서 터미널 명령어 복사 및 실행을 유도하는 가짜 안내창에 속지 않도록 임직원 대상의 사회공학 공격 대응 교육을 철저히 실시해야 합니다.
단순 도메인 블랙리스트 기반 방어는 무력화되었으므로, 네트워크 단이 아닌 프로세스 및 엔드포인트 제어 관점의 아키텍처 전환이 필요합니다. 프론트엔드 개발 시 불필요한 클립보드 API 호출을 제한하고, 시스템 단에서는 AppLocker나 WDAC를 통해 사용자 유도형 스크립트(PowerShell 등) 실행을 엄격히 차단해야 합니다. 결국 사용자 심리를 노리는 파일리스(Fileless) 공격을 막으려면 코드 레벨의 제어를 넘어 최소 권한 원칙 기반의 Zero Trust 엔드포인트 보안이 핵심입니다.
ClickFix는 취약점 악용이나 악성 파일 첨부 없이 오직 사회공학적 기법만으로 확실한 초기 침투(Initial Access) 경로를 제공하는 치명적인 공격 벡터입니다. 정상 도메인의 신뢰도를 이용하고 서비스형 범죄(CaaS) 모델로 확장되었기 때문에, 기존의 블랙리스트 기반 도메인 차단 체계는 사실상 무력화되었습니다. 모의 침투 관점에서도 파일리스(Fileless) 특성과 클립보드를 통한 사용자 주도형 명령어 실행 방식은 경계 보안과 EDR을 우회하기에 가장 효과적인 기법 중 하나입니다.
ClickFix 기법은 정상 도메인을 악용하고 파일 없이 침투하여 기존의 단순 도메인 차단이나 경계 보안 시스템을 완전히 무력화하고 있습니다. 이는 보안 거버넌스 관점에서 '신뢰된 웹사이트'라는 가정을 폐기하고, 제로 트러스트(Zero Trust) 원칙을 임직원의 브라우징 행위 영역까지 즉시 확장해야 함을 의미합니다. 조직 차원에서 파일리스 공격을 감지할 수 있는 EDR 체계를 고도화하는 한편, 신종 사회공학 기법에 대비한 임직원 인식 제고와 브라우저 실행 제어 정책을 대대적으로 강화해야 합니다.