호텔이나 공항에서 노트북을 열고 업무를 시작할 때, 공공 와이파이 해킹은 더 이상 이름이 수상한 네트워크에만 숨어 있지 않습니다. 정상적인 접속 화면처럼 보이는 페이지와 익숙한 Microsoft 로그인 창, 브라우저 업데이트 알림이 오히려 공격의 입구가 될 수 있습니다.
최근 Microsoft가 공개한 ‘CaptiveCrunch’ 분석은 이 위험을 구체적으로 보여줍니다. 러시아계 위협 행위자 Midnight Blizzard의 하위 조직으로 평가된 Storm-2945가 호텔과 회의장 등 캡티브 포털을 사용하는 네트워크의 트래픽을 조작해 여행객을 가짜 로그인 페이지와 악성 업데이트 화면으로 유도했다는 내용입니다. 제가 이 뉴스에서 더 신경 쓰는 부분은 와이파이 비밀번호가 아니라, 사용자가 신뢰하는 정상적인 절차 자체가 공격에 이용됐다는 점입니다.
공공 와이파이 해킹이 달라진 지점
과거에는 공격자가 유명 호텔과 비슷한 이름의 가짜 SSID를 만들고 이용자가 잘못 접속하기를 기다리는 방식이 널리 알려졌습니다. 이번 사례는 한 단계 다릅니다. Microsoft는 2026년 5월 초부터 여러 나라의 숙박업 관련 네트워크에서 DNS와 HTTP 트래픽 조작을 관찰했으며, 일부 공격은 공용 와이파이 접속 장비나 그 장비를 관리하는 공유 서비스가 침해됐을 가능성을 조사하고 있습니다.
공격자가 게이트웨이나 DNS 응답을 통제하면 사용자는 정확한 호텔 네트워크에 연결하고도 공격자 인프라로 이동할 수 있습니다. Microsoft Threat Intelligence의 조사에 따르면 공격자는 브라우저나 운영체제 업데이트처럼 꾸민 파일을 내려받게 하거나, 정상 Microsoft 페이지에서 공격자가 만든 기기 코드를 입력하게 하는 방식으로 계정과 세션 접근권을 노렸습니다.
악성코드가 설치되면 위험은 단순한 비밀번호 유출에서 끝나지 않습니다. Microsoft가 분석한 Windows 원격접속 악성코드는 키 입력, 클립보드, 파일, 브라우저 쿠키와 저장된 비밀번호를 수집하고 마이크·웹캠 접근과 원격 명령 실행까지 수행할 수 있었습니다. 다만 공용 네트워크에 접속했다는 이유만으로 자동 감염되는 것은 아닙니다. 사용자가 가짜 업데이트를 실행하거나 공격자가 제시한 인증 절차를 따라야 하는 단계가 남아 있다는 점도 함께 봐야 합니다.
‘VPN만 켜면 끝’이라는 말도 조건이 있습니다
이번 공공 와이파이 해킹 사례에서 ReliaQuest가 강조한 방어책은 항상 켜져 있는 풀터널 VPN입니다. 일반적인 브라우저 트래픽뿐 아니라 DNS 요청까지 회사가 관리하는 안전한 경로로 보내야 호텔 게이트웨이가 가짜 응답을 끼워 넣기 어렵기 때문입니다. ReliaQuest의 위협 분석은 미국 여러 도시와 인도, 사우디아라비아의 호텔·공유 장소에서 관련 장비 침해를 확인했고, 금융·법률·의료·에너지·유통 등 다양한 조직의 출장자가 연결한 흔적을 관찰했다고 밝혔습니다.
여기서 개인용 VPN 앱과 회사가 강제한 풀터널 VPN을 같은 것으로 생각하면 곤란합니다. 사용자가 호텔 포털을 통과한 뒤 수동으로 VPN을 켜는 구조라면, 연결 초기의 DNS 요청이나 로그인 과정은 이미 노출될 수 있습니다. 반대로 기기가 부팅되는 순간부터 모든 트래픽을 암호화된 회사 경로로 보내고, 연결이 끊기면 인터넷 접속도 차단하는 설정은 방어력이 훨씬 높습니다.
또 하나의 오해는 다중인증이 모든 피싱을 막아준다는 믿음입니다. 이번 공격은 정상 Microsoft 인증 페이지에 공격자가 만든 기기 코드를 입력하게 해 피해자가 공격자의 세션을 승인하도록 유도할 수 있었습니다. 문자나 앱 승인만 추가한 MFA보다 패스키, 보안키, 조건부 접근, 기기 코드 흐름 제한처럼 피싱 저항성이 높은 통제가 필요한 이유입니다.
한국에서는 확인된 사건보다 전달 경로를 봐야 합니다
현재 공개된 자료만으로 동일한 공격 조직이 한국 호텔이나 공항 와이파이를 침해했다고 단정할 수는 없습니다. Microsoft는 여러 국가에서 광범위한 침해를 확인했다고 밝혔지만 모든 국가와 업체 이름을 공개하지 않았고, ReliaQuest가 구체적으로 언급한 지역에도 한국은 포함되지 않았습니다. 따라서 이것을 ‘한국에서도 이미 같은 사건이 벌어졌다’고 확대하는 것은 사실과 다릅니다.
그렇다고 한국 독자에게 먼 이야기도 아닙니다. 한국 기업의 임직원은 미국 전시회, 해외 출장, 프랜차이즈 교육, 투자 미팅에서 호텔과 컨벤션센터 네트워크를 자주 사용합니다. 한 번 탈취된 Microsoft 365 계정은 이메일 열람뿐 아니라 거래처 문서, 클라우드 저장소, 회계 파일, 전자계약, 사내 메신저로 이어질 수 있습니다. 공공 와이파이 해킹의 실제 손실은 여행 중 노트북 한 대가 아니라, 회사가 그 계정에 연결해 둔 모든 업무 자산에서 발생합니다.
자영업자와 소규모 사업자는 더 취약할 수 있습니다. 대기업처럼 전담 보안팀이나 기기 관리 정책이 없고, 대표자가 개인 노트북 하나로 이메일·은행·세금·고객정보를 함께 처리하는 경우가 많기 때문입니다. 최근 개인정보 유출이 기업의 규제와 신뢰 비용으로 번지는 과정을 살펴봤듯, 계정 하나의 관리 실패도 고객 통지와 거래 중단, 법적 책임으로 확장될 수 있습니다.
출장자와 사업자가 바꿔야 할 4가지 접속 원칙
- 민감한 업무는 모바일 핫스팟이나 eSIM 데이터로 처리하세요. 호텔 와이파이가 무료라는 이유보다 계정, 결제, 계약 문서의 가치가 훨씬 큽니다. 인터넷 속도가 조금 느려도 관리자 계정, 금융 사이트, 전자서명은 개인 통신망을 우선하는 편이 안전합니다.
- 접속 직후 나타나는 업데이트와 인증 요청을 믿지 마세요. 브라우저, Windows, 보안 프로그램 업데이트는 설정 메뉴나 공식 앱에서 직접 실행해야 합니다. 포털 화면이 터미널 명령 복사, 인증서 설치, 앱 다운로드, 기기 코드 입력을 요구하면 연결을 끊는 것이 맞습니다.
- 회사 노트북에는 항상 켜지는 풀터널 VPN과 피싱 저항성 인증을 적용하세요. 직원의 주의력만으로 막기보다 관리자가 VPN 자동 연결, 패스키 또는 보안키, 위험 로그인 차단, 불필요한 기기 코드 인증 제한을 정책으로 강제해야 합니다.
- 출장 후에는 계정과 기기를 점검하세요. 낯선 지역의 로그인, 새로 등록된 기기, 메일 전달 규칙, OAuth 앱 권한, 브라우저 확장 프로그램을 확인하고 이상이 있으면 비밀번호 변경만 하지 말고 세션과 토큰을 모두 폐기해야 합니다.
무료 연결보다 ‘신뢰의 순간’을 관리해야 합니다
이 대목은 조금 냉정하게 볼 필요가 있습니다. 공용 와이파이를 모두 끊는 것은 현실적이지 않지만, 화면이 익숙하다는 이유로 업데이트와 로그인을 승인하는 습관은 바꿀 수 있습니다. 공공 와이파이 해킹은 네트워크 이름을 확인하는 문제에서, 접속 이후 어떤 요청을 허용할지 판단하는 문제로 이동했습니다.
개인은 민감한 업무를 개인 통신망으로 분리하고, 회사는 직원 교육을 넘어 기기와 계정 정책을 강제해야 합니다. 이번 사건이 주는 가장 현실적인 교훈은 ‘무료 와이파이를 쓰지 말라’가 아니라, 낯선 네트워크에서 나타난 정상처럼 보이는 요청을 승인하지 말라는 것입니다.
