클로드 세션이 악성코드에 털렸습니다 — 인포스틸러 여섯 종과 2단계 인증이 못 막는 이유

쓰지도 않았는데 사용량이 줄어 있으면 기분이 이상합니다. 한도가 채워졌다가 내가 손도 안 댄 사이에 다시 바닥나 있다면 더 그렇고요.

앤스로픽이 8월 30일과 31일에 걸쳐 그 원인을 밝혔습니다. 인포스틸러라는 악성코드가 이용자 컴퓨터에서 클로드 로그인 세션을 훔쳐 계정에 들어가 사용량을 써 버리고 있었다는 내용입니다.

무서운 점은 비밀번호를 몰라도 되고 2단계 인증도 소용이 없다는 것입니다. 오늘은 이 수법이 어떻게 작동하는지, 그리고 지금 무엇을 해야 하는지 정리해 보겠습니다.

쓰지도 않은 클로드 사용량이 줄어들었다면

앤스로픽이 안내한 증상은 구체적입니다. 사용 한도가 다시 채워진 것처럼 보였다가, 이용자가 클로드를 쓰지 않는 동안 다시 줄어드는 현상입니다.

이 패턴을 겪으셨다면 이번 사안에 해당할 가능성이 있습니다.

단순한 오류가 아니라 다른 사람이 내 계정으로 들어와 쓰고 있었다는 뜻이에요.

앤스로픽이 밝힌 사실

앤스로픽은 흔히 쓰이는 인포스틸러 계열 악성코드가 이용자 컴퓨터에서 클로드 로그인 세션을 훔쳐 갔다고 밝혔습니다.

공격자는 훔친 세션으로 계정에 접속해 사용량을 소비했습니다.

회사는 영향받은 이용자를 강제 로그아웃시키고, 저장된 결제 수단을 제거하고, 부정 결제로 확인된 건은 환불하고 있다고 안내했습니다.

세션 쿠키가 무엇인가요

웹사이트에 로그인하면 브라우저에 작은 인증 표식이 저장됩니다. 이것을 세션 쿠키라고 부릅니다.

이 표식이 있기 때문에 페이지를 옮길 때마다 비밀번호를 다시 넣지 않아도 됩니다. 로그인 상태를 유지해 주는 열쇠 역할이에요.

편리한 만큼 위험합니다. 이 표식을 가진 쪽은 이미 로그인한 사람으로 취급되거든요.

비밀번호를 훔치지 않고도 뚫립니다

이번 수법의 핵심이 여기 있습니다. 공격자는 비밀번호를 알아낼 필요가 없습니다.

이미 로그인된 상태의 표식만 복사해 가면 됩니다. 그것을 자기 컴퓨터에서 그대로 제시하면 서비스는 정상 이용자로 인식합니다.

그래서 비밀번호를 아무리 복잡하게 만들어도 이 공격은 막히지 않습니다.

2단계 인증이 막지 못하는 이유

2단계 인증은 로그인하는 순간을 지킵니다. 아이디와 비밀번호를 넣은 뒤 추가 확인을 요구하는 방식이에요.

그런데 세션 쿠키는 그 확인을 이미 통과한 다음에 발급됩니다. 관문을 통과한 뒤에 받는 통행증인 셈입니다.

통행증 자체를 훔치면 관문을 지날 일이 없습니다. 2단계 인증이 무력해지는 구조적 이유입니다.

싱글 사인온도 같은 이유로 비껴갑니다

회사 계정으로 여러 서비스를 한 번에 로그인하는 방식을 싱글 사인온이라고 합니다.

이 방식도 인증이 끝난 뒤에 세션을 발급합니다. 발급된 세션을 훔치는 공격 앞에서는 마찬가지로 취약합니다.

인증을 아무리 강하게 해도 그 다음 단계가 뚫리면 소용이 없다는 점을 보여주는 사례예요.

지목된 악성코드 여섯 종

앤스로픽은 이번 사안에서 여섯 개의 악성코드 계열을 확인했다고 밝혔습니다.

윈도우에서 다섯 종, 맥에서 한 종입니다.

모두 이번 일을 위해 새로 만들어진 것이 아니라 오래전부터 유통돼 온 범용 정보 탈취 도구입니다.

윈도우 다섯 종 — 비다르·루마C2·스틸C·레드라인·애크리드

윈도우에서 확인된 계열은 비다르, 루마C2, 스틸C, 레드라인, 애크리드입니다.

이들은 브라우저에 저장된 비밀번호와 쿠키, 그리고 다른 앱의 자격증명을 조용히 복사해 갑니다.

범죄 시장에서 서비스처럼 판매되는 도구들이라 사용자가 넓습니다. 특정 조직의 표적 공격이 아니라는 뜻이에요.

맥 한 종 — 아토믹 스틸러

맥에서는 아토믹 스틸러가 확인됐습니다. 줄여서 AMOS라고도 부릅니다.

앤스로픽은 맥 쪽 감염 사례는 소수였다고 밝혔습니다.

맥이라 안전하다고 볼 근거는 없습니다. 최근 몇 년 사이 맥을 노리는 정보 탈취 도구가 꾸준히 늘고 있어요.

이 악성코드는 클로드와 무관합니다

앤스로픽이 특히 강조한 부분입니다. 이 악성코드는 클로드를 통해 설치된 것이 아니고, 클로드에서 한 일과도 관련이 없습니다.

클로드의 보안 결함으로 생긴 사고가 아니라는 뜻입니다.

이용자 컴퓨터가 이미 감염돼 있었고, 그 컴퓨터에 있던 여러 정보 중 하나가 클로드 세션이었던 것입니다.

어디로 들어오나 — 불법 내려받기와 가짜 설치 파일

감염 경로는 대체로 익숙합니다. 정품이 아닌 소프트웨어, 크랙 파일, 출처가 불분명한 설치 파일이 주된 통로입니다.

검색 광고를 통해 가짜 다운로드 페이지로 유도하는 방식도 흔합니다.

공짜로 받은 프로그램 하나가 브라우저에 저장된 모든 계정을 넘겨주는 대가가 될 수 있습니다.

앤스로픽은 어떻게 알아챘나

회사는 사용 한도가 채워졌다가 계정 주인이 활동하지 않는 동안 소진되는 패턴을 발견하고 조사에 들어갔다고 밝혔습니다.

사용량 기반 서비스라 이런 이상 패턴이 눈에 띄기 쉬웠던 셈입니다.

거꾸로 말하면 이용자 본인은 알아채기 어렵습니다. 한도가 빨리 닳는다고만 느끼기 쉬우니까요.

회사가 취한 조치 ① 강제 로그아웃

앤스로픽은 영향받은 계정의 세션을 무효화하고 있습니다. 이용자 입장에서는 갑자기 로그아웃되는 것으로 나타납니다.

훔쳐 간 세션 표식을 못 쓰게 만드는 조치입니다.

갑자기 로그아웃됐다면 불편하더라도 이 조치의 결과일 수 있으니 확인해 보시면 좋겠습니다.

회사가 취한 조치 ② 저장된 결제 수단 삭제

저장된 결제 수단도 제거하고 있습니다. 추가 결제가 일어나지 않도록 막는 조치입니다.

결제 수단이 사라져 있다면 이 때문일 수 있습니다.

다시 등록하시기 전에 기기 검사를 먼저 하시는 편이 안전합니다.

회사가 취한 조치 ③ 부정 결제 환불

회사는 부정 결제로 확인된 건을 환불하고 있다고 밝혔습니다.

영향받은 이용자에게는 이메일로 안내하고 있습니다.

결제 내역에 기억나지 않는 항목이 있다면 확인해 보시는 것이 좋겠습니다.

지금 해야 할 일 ① 기기부터 검사

가장 먼저 할 일은 컴퓨터에서 악성코드를 제거하는 것입니다. 이 순서가 중요합니다.

감염된 상태에서 비밀번호를 바꾸면 바꾼 비밀번호가 다시 넘어갑니다.

백신으로 전체 검사를 돌리고, 최근에 설치한 출처 불명 프로그램이 있으면 지우는 것부터 시작하시면 됩니다.

지금 해야 할 일 ② 자격증명 교체

기기를 정리한 뒤에 비밀번호를 바꿉니다. 클로드뿐 아니라 그 브라우저에 저장돼 있던 다른 계정도 함께 봐야 합니다.

인포스틸러는 클로드만 노리지 않습니다. 브라우저에 저장된 모든 것을 쓸어 갑니다.

메일과 금융 서비스처럼 피해가 큰 곳부터 순서대로 바꾸시길 권합니다.

지금 해야 할 일 ③ 다른 세션 전부 종료

비밀번호를 바꿔도 이미 발급된 세션은 살아 있는 경우가 있습니다.

각 서비스의 보안 설정에서 다른 기기 로그아웃 또는 모든 세션 종료 기능을 찾아 실행하시면 됩니다.

이 단계를 빼먹으면 비밀번호를 바꿔도 공격자가 계속 들어와 있을 수 있습니다.

순서를 틀리면 다시 털립니다

정리하면 기기 검사, 비밀번호 교체, 세션 종료 순서입니다.

이 순서가 뒤바뀌면 앞의 조치가 무효가 됩니다. 감염된 채로 바꾼 정보는 그대로 다시 넘어가니까요.

급하더라도 기기 정리를 먼저 끝내시는 편이 결국 빠릅니다.

표적은 클로드만이 아닙니다

이번에 드러난 것이 클로드일 뿐, 같은 악성코드는 다른 서비스도 함께 훔칩니다.

메일, 클라우드 저장소, 쇼핑, 금융 계정까지 브라우저에 저장돼 있던 모든 것이 대상입니다.

클로드 사용량 이상이 발견됐다면 다른 계정도 이미 노출됐다고 보고 점검하시는 편이 안전합니다.

AI 구독이 새 표적이 된 이유

AI 구독 계정은 공격자 입장에서 매력적인 물건이 됐습니다. 훔친 계정으로 유료 모델을 그냥 쓸 수 있으니까요.

훔친 계정을 되파는 시장도 형성돼 있습니다.

연산 자원 자체가 값이 나가는 시대라 계정이 곧 돈이 된 셈입니다.

사용량 과금이 만든 새로운 피해 형태

예전의 계정 탈취는 정보를 빼가는 것이 목적이었습니다. 이번에는 자원을 소비하는 것이 목적입니다.

내 정보가 유출되지 않아도 내 돈이 나가는 구조예요.

사용량 기반 요금제를 쓰신다면 한도 알림을 켜 두시는 것이 조기 발견에 도움이 됩니다.

저시력 이용자에게 특히 위험한 지점

화면을 크게 확대해 쓰시는 분들은 브라우저 주소창의 미세한 차이를 확인하기가 더 어렵습니다. 가짜 다운로드 페이지에 걸리기 쉬운 조건이에요.

확대 상태에서는 화면에 들어오는 정보량이 줄어 경고 문구를 놓치기도 쉽습니다.

소프트웨어는 가능하면 공식 홈페이지나 운영체제의 앱 스토어를 거쳐 설치하시길 권합니다. 검색 결과 상단의 광고 링크는 특히 조심하셔야 해요.

앞으로 무엇을 지켜봐야 하나

세션 탈취를 막으려는 기술적 대응이 업계에서 논의되고 있습니다. 기기와 세션을 묶어 다른 기기에서는 쓸 수 없게 만드는 방식이 대표적입니다.

AI 서비스들이 이런 보호 장치를 얼마나 빨리 넣을지가 관전 지점입니다.

당분간은 이용자 쪽 기본기가 가장 확실한 방어입니다. 출처가 분명한 것만 설치하는 습관이요.

핵심 정리

앤스로픽이 인포스틸러 악성코드에 의한 클로드 세션 탈취를 확인하고 안내했습니다. 훔친 세션으로 계정에 들어가 사용량을 써 버리는 방식입니다.

윈도우에서 비다르, 루마C2, 스틸C, 레드라인, 애크리드가, 맥에서 아토믹 스틸러가 확인됐습니다. 모두 범용 정보 탈취 도구입니다.

세션 쿠키를 훔치는 방식이라 비밀번호 강도와 2단계 인증으로는 막히지 않습니다. 클로드 자체의 결함이 아니라 이용자 기기 감염이 원인입니다.

대응 순서는 기기 검사, 비밀번호 교체, 모든 세션 종료입니다. 순서가 바뀌면 앞의 조치가 무효가 됩니다.

참고하실 만한 것

클로드에서 갑자기 로그아웃됐거나 결제 수단이 사라졌다면 이번 조치의 결과일 수 있습니다. 다시 등록하시기 전에 기기 검사를 먼저 해 주세요.

블로그에는 AI 서비스를 안전하게 쓰는 방법과 보안 사고 사례를 계속 정리해 두고 있습니다. 계정 보안을 다룬 지난 글들도 함께 보시면 도움이 되실 거예요.

점검하시다 막히는 부분이 있으면 편하게 물어봐 주세요.

출처

• BleepingComputer — Anthropic warns infostealer malware is hijacking Claude sessions to drain usage
• Help Net Security — Anthropic locks out Claude users after infostealers hijack login sessions
• Security Affairs — Infostealers Are Hijacking Claude Sessions and Draining Subscriptions
• The Cyber Express — Anthropic Warns Of Infostealers Hijacking Claude Sessions
• Cyber Security News — Hackers Steal Claude Login Sessions With Infostealer Malware to Hijack Accounts
• GBHackers — Hackers Use Infostealer Malware to Steal Claude Session Cookies
• Search Engine Journal — Anthropic Warns Hackers Are Stealing Claude Sessions To Hijack Accounts
• Red Canary Threat Detection Report — Info Stealers

협업문의 : kuroicode@gmail.com
블로그 : https://blog.svil.dev/
홈페이지 : https://svil.dev/