‘도와주세요, 이 악성코드를 어떻게 지우나요?’는 Mac 포럼에 계속 올라오는 글이고, 2026년에는 거의 항상 같은 원인으로 거슬러 올라가요. 방문자를 설득해 터미널을 열고 명령어를 붙여넣게 하는 가짜 CAPTCHA 페이지예요. 보안 연구자들은 이 기법을 ClickFix라고 부르고, 올해 내내 Mac 사용자를 노린 이 기법의 캠페인이 추적됐어요. 개발자와 AI 도구 사용자를 겨냥한 것도 있어요. 이 가이드는 어떻게 일어나는지, 이미 명령어를 실행했다면 무엇을 해야 하는지, 추측하지 않고 Mac을 제대로 점검하는 방법을 설명해요.
이미 명령어를 붙여넣었다면: 아래 해당 섹션으로 가세요. 감염된 Mac에서 다른 일을 하기 전에 먼저 깨끗한 다른 기기에서 중요한 비밀번호를 바꾸세요.
빠른 상황 판단
| 내 상황 | 먼저 할 일 | 더 읽을 곳 |
|---|---|---|
| 웹사이트의 명령어를 붙여넣고 실행했어요 | 깨끗한 기기에서 핵심 비밀번호를 바꾸고, 데이터 유출이 진행 중이라고 의심되면 연결을 끊고, Mac이 감염됐다고 보세요 | 이미 터미널 명령어를 실행했다면 |
| 가짜 인증 페이지를 봤지만 아무것도 실행하지 않았어요 | 탭을 닫으세요. 이 기법은 내가 명령어를 실행해야만 성립해요 | 요즘 Mac은 실제로 어떻게 감염되나요 |
| 이상한 증상이 있지만 명령어를 실행한 적은 없어요 | 점검을 차례로 해 보세요 | 단계별 점검 방법 |
| 증상이 계속 돌아오거나 암호화폐나 민감한 데이터를 다뤄요 | 초기화와 재설치를 계획하세요 | 공장 초기화만이 진짜 해결책인 경우 |
요즘 Mac은 실제로 어떻게 감염되나요
이제 Mac 악성코드는 소프트웨어 취약점을 통해 들어오는 경우가 드물어요. 2026년의 주된 기법은 기술적 결함이 아니라 사회공학이에요.
- 가짜 인증 페이지. 어떤 사이트에 들어가면, 흔히 해킹당했지만 겉보기엔 멀쩡한 WordPress 사이트에서, 표준 Cloudflare 사람 확인이나 ‘macOS 최적화’ 안내처럼 보이는 화면이 나와요.
- 터미널을 열고 명령어를 붙여넣으라고 해요. 일부 변종은 명령어를 클립보드에 자동으로 복사해 두고 Command+Space, 터미널 열기, 붙여넣기, Return 누르기를 차례로 안내해요.
- 내가 직접 실행해요. 공격자가 취약점을 악용한 게 아니라 내가 Return을 눌렀기 때문에, 대부분의 전통적인 방어를 그냥 통과해요. 한 캠페인은 끝난 뒤 터미널 창을 지우고 가짜 ‘인증 성공’ 메시지를 출력해서 아무 일도 없었다고 믿게 만들기까지 해요.
- 페이로드가 조용히 설치돼요. 보통 임시 폴더에 파일을 내려받고, 터미널을 닫아도 살아남도록
nohup같은 명령어로 백그라운드에서 실행하고, 데이터 수집을 시작해요.
정상적인 CAPTCHA, 웹사이트, 인증 시스템은 터미널을 열어 무언가를 붙여넣으라고 절대 요구하지 않아요. 이 한 가지 사실만으로 현재 Mac 감염의 대부분이 설명돼요. 2026년 3월에 Apple은 이런 명령어가 실행되기 전에 사용자에게 경고하는 보호 기능을 macOS에 추가했지만, 새로운 변종은 단순한 경고를 계속 피해 가요. 그래서 패치보다 습관이 더 중요해요.
이미 웹사이트의 터미널 명령어를 실행했다면
다른 어떤 일보다 먼저, 지금 당장 Mac이 감염됐다고 보세요.
- 깨끗한 다른 기기에서 이메일, 은행, 그리고 비밀번호 관리자를 쓰는 모든 계정의 비밀번호를 바꾸세요.
- Macfinger 표시를 확인하세요.
~/Library/Caches/com.apple.metadata/com.apple.verified경로가 Mac에 있다면, 한 보안 연구자는 이것을 이 특정 캠페인의 징후로 지목해요. - 활발하게 유출이 진행 중이라고 의심되면 네트워크 연결을 끊고 아래 점검을 이어 가세요.
- 한동안 키체인 암호 요청을 믿지 마세요. 일부 캠페인은 처음 명령어가 실행된 뒤 가짜 시스템 대화상자로 키체인 암호를 빼내려고 해요. 이후 몇 시간 안에 예상치 못한 키체인 암호 요청이 뜨면 취소하고 아무것도 입력하지 마세요.
- 무슨 일이 있었는지 적어 두세요. 어느 사이트였는지, 대략 언제였는지, 페이지가 무엇을 하라고 했는지요. 신고하거나 도움을 청할 때 도움이 돼요.
- 명령어를 다시 실행하지 마세요. ‘무슨 일을 하는지 보려고’ 다른 곳에 붙여넣지도 마세요.
Mac이 감염됐을 수 있다는 신호
- Mac이 놀고 있는데도 활동 상태 보기에서 이유 없이 CPU 사용량이 높아요.
- 브라우저 리디렉션, 뜻밖의 팝업, 내가 설정하지 않은 새 기본 검색 엔진.
- 시스템 설정 밖에서 뜨는 가짜 소프트웨어 업데이트 알림.
- 모르는 로그인 항목이나 백그라운드 항목.
- 뚜렷한 이유 없이 눈에 띄게 뜨거운 Mac이나 더 시끄러운 팬.
이 중 하나만으로는 감염을 증명할 수 없어요. 업그레이드 후 Golden Gate 자체의 인덱싱도 CPU와 열을 끌어올릴 수 있어요. 같은 시기에 저장 공간이 유난히 가득 차 보인다면 시스템 데이터 가이드를 보세요. 아래 점검이 어느 쪽이든 실제로 확인해 줘요.
Mac 악성코드가 숨는 곳
Mac의 지속 기법은 잘 알려져 있고 몇 군데에 몰려 있어요.
| 위치 | 범위 |
|---|---|
/Library/LaunchDaemons/ | 시스템 전체, 부팅 시 로그인 전에 실행 |
/Library/LaunchAgents/ | 시스템 전체, 어떤 사용자든 로그인할 때 실행 |
~/Library/LaunchAgents/ | 내 사용자 계정으로 로그인할 때만 실행 |
| 로그인 항목 및 확장 프로그램 | 로그인할 때 자동으로 열리도록 설정된 앱 |
| 백그라운드 항목 | Dock에 나타나지 않고 실행되도록 허용된 앱 |
| 브라우저 확장 프로그램 | 앱 자체와 상관없이 유지됨 |
| 구성 프로파일 | 내가 계속 의식하지 못하는 사이 설정을 강제하거나 인증서를 설치할 수 있음 |
| cron 작업 | 예약된 작업. 덜 흔하지만 여전히 쓰여요 |
정상적인 소프트웨어도 이런 위치를 많이 써요. 중요한 건 내가 모르는 항목이에요.
단계별 점검 방법
- 활동 상태 보기. 열어서 CPU 순으로 정렬하고, 모르는 프로세스, 특히 이름이 이상하거나 무작위로 보이는 것을 찾으세요.
- 로그인 항목 및 확장 프로그램. 시스템 설정 > 일반 > 로그인 항목 및 확장 프로그램. 모르는 항목을 클릭해서 제거하세요. 같은 화면의 ‘백그라운드에서 허용’ 섹션도 확인하세요.
- LaunchAgents와 LaunchDaemons. Finder를 열고 Command+Shift+G를 눌러 아래 경로를 하나씩 확인하세요.
/Library/LaunchDaemons/
/Library/LaunchAgents/
~/Library/LaunchAgents/모르는 .plist 파일, 특히 이름이 일반적이거나 최근에 수정된 것을 찾으세요. 폴더마다 수정일 순으로 정렬하면 최근 파일이 위로 올라와요.
- 구성 프로파일. macOS 버전에 따라 시스템 설정 > 일반 > 기기 관리, 또는 개인정보 보호 및 보안 > 프로파일을 보세요. 내가 설치하지 않은 프로파일은 제거하세요.
- 브라우저 확장 프로그램. 브라우저마다 확장 프로그램 페이지를 따로 확인하고 낯선 것은 제거하세요.
- 감염 경로가 남긴 임시 파일. ClickFix 방식의 명령어를 실행했다면
/tmp에서 최근에 만들어진 모르는 파일이 있는지 확인하세요.
찾은 것 제거하기
- 의심스러운 앱이나 프로세스를 먼저 종료하세요. 정상적으로 종료되지 않으면 활동 상태 보기에서 하세요.
- 응용 프로그램 폴더에서 앱 자체를 삭제하세요.
- 위에서 확인한 해당 LaunchAgent나 LaunchDaemon plist를 삭제하세요.
- 로그인 항목이나 백그라운드 항목을 제거하세요.
- Mac을 재시동하세요.
- 활동 상태 보기와 로그인 항목 및 확장 프로그램을 다시 열어 의심스러운 것이 다시 나타나지 않았는지 확인하세요.
- 다음 한 주 동안 증상이 돌아오는지 지켜보세요. 유휴 상태의 CPU 급증, 브라우저 리디렉션, 가짜 업데이트 알림, 모르는 새 로그인 항목 같은 것들이에요.
공장 초기화만이 진짜 해결책인 경우
수동 제거는 단순한 애드웨어와 브라우저 하이재커에는 효과가 있어요. 사용자의 모든 권한으로 이미 실행된 진짜 인포스틸러에는 믿을 만하지 않아요. 그것이 건드리고, 내려받고, 설정한 모든 것을 찾아 되돌렸다고 확신할 수 없기 때문이에요. 아래 중 하나라도 해당하면 디스크를 깨끗이 지우고 macOS를 재설치하는 것이 더 안전해요.
- 수상한 페이지의 터미널 명령어를 실행했고, 알아차리기 전에 악성코드가 실행될 시간이 있었어요.
- 이제 와서 보니 공격의 일부였던 것 같은 요청에 관리자 암호나 키체인 접근을 허용했어요.
- 찾은 것을 모두 제거했는데도 증상이 계속 돌아와요.
- Mac에서 민감한 데이터, 인증 정보, 암호화폐 지갑을 다뤄요. 해당된다면 핫 월렛 위협 모델 가이드를 보세요.
파일을 백업하고(감염을 다시 들여올 수 있는 앱과 시스템 설정은 제외), 복구에서 디스크를 지우고, 깨끗하게 설치하세요. 순서는 이렇게 해요.
- 문서와 사진만 백업하세요.
- 시스템 설정 > 일반 > 전송 또는 재설정의 모든 콘텐츠 및 설정 지우기로, 또는 macOS 복구에서 Mac을 지우세요.
- macOS를 다시 설치하세요.
- Mac을 새것으로 설정하고 문서만 되돌리세요.
- 앱은 오래된 백업이 아니라 공식 출처에서 다시 설치하세요.
비밀번호를 바꾼 뒤에
- 서비스가 지원한다면 중요한 계정의 모든 세션에서 로그아웃하세요.
- 이메일, 은행, 비밀번호 관리자에 2단계 인증이나 패스키를 켜세요.
- 모르는 로그인이나 비밀번호 재설정 이메일이 없는지 확인하세요.
- 앞으로 몇 주 동안 은행과 카드 명세서를 꼼꼼히 살피세요.
- 그 Mac에서 암호화폐 지갑을 썼다면 복구 문구가 노출됐다고 보세요.
정리한 뒤: 들어온 문을 닫으세요
- 웹사이트에서 가져온 명령어를 터미널에 붙여넣지 마세요. 어떤 식으로 포장돼 있어도요. 정상적인 인증 절차는 그런 걸 요구하지 않아요.
- 페이지가 브라우저가 ‘봇이 아님을 증명’해야 한다며 터미널이 끼는 방식을 요구하면 탭을 닫으세요.
- Gatekeeper와 XProtect를 켜 두고 macOS를 최신으로 유지하세요. 내 Mac에 필요한 보안 업데이트를 확인하세요.
- Mac App Store 밖의 앱을 설치하기 전에 앱이 정품인지 확인하는 방법 가이드를 보세요.
한눈에 보기
- 현재 Mac 악성코드의 대부분은 ClickFix로 퍼져요. 가짜 CAPTCHA나 인증 페이지가 내가 직접 터미널에 명령어를 붙여넣게 속이는 방식이에요.
- 이미 그런 명령어를 실행했다면 즉시 다른 기기에서 중요한 비밀번호를 바꾸세요.
- 활동 상태 보기, 로그인 항목 및 확장 프로그램, LaunchAgents와 LaunchDaemons, 구성 프로파일에서 낯선 것이 없는지 확인하세요.
- 진짜 인포스틸러 감염이라면 수동 제거보다 깨끗이 지우고 재설치하는 편이 더 믿을 만해요.
