악성 Microsoft Office 확장 프로그램, 당신의 암호화폐를 노린다

이상한 '오피스 패키지', 평범한 사람을 노리는 사이버 공격의 실체

며칠 전, 평소에 자주 보는 보안 리포트에서 눈에 띄는 내용 하나가 있었습니다. Kaspersky 측에서 발표한 자료였는데, Microsoft Office 확장 프로그램으로 위장한 악성코드가 암호화폐 사용자들을 겨냥하고 있다는 것이었습니다. 처음엔 '에이 또 별 일 있겠어?' 싶었는데, 내용을 읽다 보니… 이거 그냥 소름이더라고요. 특히나 저처럼 암호화폐 거래도 자주 하고, 장기 투자 목적으로 비트코인도 꽤 들고 있는 입장에선 절대 남 얘기가 아니었습니다.

문제의 시작은 'officepackage'라는 이름으로 SourceForge에 올라온 정체불명의 파일이었습니다. 얼핏 보면 그냥 MS 오피스 애드인처럼 보이는데, 실제로는 ClipBanker라는 악성 프로그램이 그 안에 숨어 있는 겁니다. 이건 단순한 바이러스가 아니라 클립보드를 감시해서 암호화폐 지갑 주소를 몰래 바꿔치기하는 수법입니다. 즉, 내가 친구한테 보내려고 한 지갑 주소를 복사해서 붙여넣기만 하면, 공격자가 설정해둔 지갑 주소로 자동 변경되는 구조인 거죠.

ClipBanker의 작동 방식 – 당신의 주소는 이미 바뀌었다

ClipBanker의 핵심은 굉장히 교묘한 수법입니다. 사용자 눈에는 아무 변화가 없고, 마치 내가 복사한 주소가 잘 붙여진 것처럼 보이지만, 실제로는 전혀 다른 주소로 덮어씌워지는 거죠. 특히 암호화폐 지갑 주소는 숫자와 알파벳이 뒤섞여 있어서 육안으로는 차이를 바로 알아차리기 어렵습니다.

저도 예전에 이와 유사한 피해 사례를 제 지인한테 직접 들은 적이 있습니다. 2022년 말쯤이었는데, 비트코인을 5천만 원 정도 옮기던 중이었대요. 당연히 복사해서 붙여넣기를 했고, 전송 버튼을 눌렀는데 나중에 보니까 거래소에서 받았다고 한 지갑 주소가 자기가 알고 있던 주소랑 달랐던 거죠. 돌이킬 수도 없고, 확인하는 데만 몇 시간 걸렸답니다. 이런 일이 그저 영화 속 이야기로만 보였는데, 실제로 일어나는 겁니다.

공격자는 어떻게 유도하는가 – 정교하게 위장된 페이지들

문제는 단순히 프로그램 하나에 있는 게 아닙니다. Kaspersky 분석에 따르면, 이 악성 파일은 실제 소프트웨어처럼 보이도록 만들어진 페이지와 함께 배포된다고 합니다. 가짜 다운로드 버튼, 그럴듯한 설명 페이지, 그리고 심지어 깔끔한 UI까지 갖췄죠. 그러니까 보통의 사용자는 전혀 의심 없이 '괜찮아 보이는데?' 하고 설치를 눌러버리게 되는 겁니다.

그리고 이 악성코드는 단순히 클립보드만 조작하는 게 아닙니다. 기기 내에 저장된 IP 주소, 국가 정보, 사용자 이름까지 수집해서 Telegram 같은 채널을 통해 외부로 전송합니다. 저는 이런 부분이 정말 소름 돋았습니다. 단순히 돈만 노리는 게 아니라 내 정보 자체가 하나의 공격 도구가 되어버리는 거니까요.

ClipBanker는 당신을 모니터링하고 있다

ClipBanker는 흔적을 남기지 않기 위해 설치 이후 자기 자신을 은폐하는 기능까지 탑재하고 있습니다. 기존의 백신 프로그램이 깔려 있는지를 확인하고, 감지가 되면 자진 삭제까지 한다고 하네요. 너무 똑똑하고, 너무 무섭습니다.

더 충격적인 건, 이 악성코드의 피해자 중 90%가 러시아 기반 사용자라는 점인데요. 하지만 그렇다고 한국이 안전하다는 보장은 전혀 없습니다. 우리가 일상에서 사용하는 프로그램 대부분이 전 세계에서 유통되고 있고, 악성코드 또한 글로벌하게 퍼질 수 있으니까요. 저도 미국 거래소 통해 거래하다가 한 번 시스템 경고 받았던 적 있는데, 지금 생각해보면 정말 아찔합니다.

왜 이게 중요한가 – 보안은 선택이 아닌 생존 조건

여의도에서 일하면서 수많은 IT 스타트업, 블록체인 기반 프로젝트를 접해왔습니다. 처음엔 "보안은 나중 문제"라고 말하는 분들도 많았지만, 몇 번의 해킹 사고만 겪어 보면 생각이 완전히 달라지죠. 돈이 날아가고, 고객 정보가 유출되면 그때부터는 정말 모든 게 무너집니다.

ClipBanker 사태를 보고 느낀 건 단 하나입니다. 지금 우리는 단순한 보안 경고가 아니라 생존을 위한 싸움 한가운데에 있다는 겁니다. 특히 암호화폐 사용자라면 이 문제를 절대 가볍게 보면 안 됩니다.

지금 내가 할 수 있는 것 – '합법'과 '정상 경로'의 중요성

그럼 어떻게 해야 하느냐. 결론은 명확합니다. 절대로 비공식적인 경로로 소프트웨어를 다운로드하지 마십시오. 아무리 ‘공짜’, ‘무료’, ‘정품 크랙’ 이런 말들이 유혹적이어도요. 특히나 SourceForge처럼 일반 사용자들도 파일을 업로드할 수 있는 플랫폼에서는 더욱 신중해야 합니다.

그리고 하나 더. 암호화폐 거래 시에는 주소를 복사해서 붙여넣는 순간, 반드시 눈으로 한 번 더 확인하십시오. 습관이 되어야 합니다. 저도 요즘은 주소 마지막 네 자리 정도는 꼭 육안으로 확인하고 전송 버튼을 누르고 있습니다.

마무리하며 – 현실의 공격은 ‘의외로 쉽게’ 들어온다

이 글을 쓰면서 가장 강하게 느낀 건, 보안 위협이라는 게 절대 대단한 해커가 아주 복잡한 방식으로만 침투하는 게 아니라는 점입니다. 오히려 아주 단순하고 일상적인 루트를 통해 우리에게 침투합니다. MS 오피스 확장 프로그램처럼요.

ClipBanker는 현재 진행형입니다. 지금도 누군가는 자신도 모르는 사이에 지갑 주소가 바뀌고, 소중한 자산을 잃고 있을 겁니다. 그리고 그 누구도 그 사실을 당장 알지 못할 수도 있습니다.

우리는 더 이상 단순한 사용자가 아닙니다. 디지털 자산을 다루고, 다양한 형태의 금융 활동을 하는 ‘개인 투자자’이자 ‘개인 보안 관리자’입니다. 그 책임을 남에게 넘기지 마십시오. 이제는 누구보다 나 자신을 지켜야 할 때입니다.