ClickFix 공격, PC·Mac 동시 감염 확산
원제: ClickFix attacks infecting PCs and Macs are going viral
왜 중요한가
공격 인프라 부담을 사용자 행동으로 전가하는 이 기법은 탐지 회피율이 높아 기존 보안 솔루션의 효용성을 재검토하게 만든다.
2026년 9월 11일, 가짜 CAPTCHA 화면을 이용해 사용자가 직접 악성 명령을 터미널에 붙여넣도록 유도하는 'ClickFix' 공격이 Windows·macOS를 가리지 않고 빠르게 확산되고 있다. 크렘린 연계 해킹 그룹까지 이 기법을 채택했으며, 보안 연구자들은 일반 웹사이트 다수가 이미 감염 경로로 악용되고 있다고 경고했다.
ClickFix는 한때 고급 해킹 기법으로 분류됐지만, 이제는 사실상 표준 공격 방식이 됐다. 공격 구조는 단순하다. 해커가 정상 웹사이트를 침해한 뒤 Cloudflare CAPTCHA를 모방한 가짜 인증 화면을 띄우고, 사용자에게 특정 텍스트를 복사해 Windows의 실행 창·PowerShell 또는 macOS 터미널에 붙여넣도록 유도한다. 명령어는 악성 코드가 숨겨진 방식으로 표시돼 육안으로 식별하기 어렵다.
독립 연구자 Kevin Beaumont는 "Reddit이 ClickFix로 감염된 사람들의 글로 넘쳐나고 있으며, 합법적인 웹사이트들이 광범위하게 해킹돼 가짜 CAPTCHA 화면을 제공하고 있다"고 밝혔다.
보안 업체 BlueVoyant에 따르면, 이전 공격 방식은 SEO 조작, Microsoft 신뢰 서명 인증서, 지속적으로 교체되는 악성 도메인 등 복잡한 인프라를 필요로 했다. 그러나 2026년 5월 말부터 ClickFix로 전환하면서 코드 서명 요건 자체가 사라졌다. BlueVoyant는 "악성 설치 파일의 합법성 대신, 사용자가 자발적으로 명령을 실행하는 행위 자체가 새로운 신뢰 수단으로 기능한다"며 "피해자 범위도 Microsoft Teams 검색자에 국한되지 않고, 침해된 웹사이트를 방문하는 누구에게나 확대됐다"고 분석했다.
macOS도 안전하지 않다. 보안 업체 Jamf와 개별 연구자들은 Gatekeeper 보호 기능을 우회하는 macOS 전용 ClickFix 변종을 공식 문서화했다. 전문가들은 이 기법의 확산 배경으로 복잡한 CAPTCHA, 닫기 어려운 팝업, 자주 바뀌는 인터페이스 등 일상적인 인터넷 경험이 만들어낸 '피로감'을 지목한다.