저장해 둔 편리함이 그대로 표적이 됩니다.
브라우저가 "비밀번호를 저장할까요?"라고 물으면 대개 저장을 누릅니다. 로그인 상태도 유지해 둡니다. 매번 입력하지 않아도 되니까요.
그 편리함이 정확히 무엇을 의미하는지 한 번 뒤집어 보겠습니다. 내 컴퓨터 어딘가에 계정 목록이 통째로 적혀 있고, 지금 로그인된 상태까지 저장돼 있다는 뜻입니다. 그걸 노리는 악성코드가 인포스틸러(정보 탈취형)입니다.
500만 건, 그리고 59%
카스퍼스키 디지털 풋프린트 인텔리전스 연구진이 2025년 한 해 다크웹에서 발견된 인포스틸러 로그 파일을 세어 보니 500만 건이었습니다. 전년 대비 59% 증가입니다.
여기서 "로그 한 건"은 감염된 기기 하나에서 긁어낸 정보 묶음입니다. 아이디와 비밀번호, 브라우저 쿠키, 암호화폐 지갑 정보, 시스템 정보가 한 덩어리로 담깁니다.
노드VPN이 별도로 조사한 결과도 방향이 같습니다. 2025년 한 해 인포스틸러 로그에서 자주 등장한 상위 1만 개 도메인을 추리자 관련 로그가 약 5억 건이었고, 피해의 약 99%가 윈도우 PC에서 나왔습니다.
대부분은 내가 직접 실행합니다
감염 경로 통계가 꽤 직설적입니다. 카스퍼스키 분석에서 악성코드가 실행된 위치를 보면:
- 35% — 윈도우 임시 폴더(
AppData\Local\Temp) - 32% —
C:\Windows\Microsoft.NET\Framework\
첫 번째가 바로 인터넷에서 내려받은 파일을 확인 없이 곧바로 실행한 경우입니다. 브라우저가 파일을 임시 폴더에 내려놓고, 사용자가 그걸 더블클릭하면 거기서 실행되니까요. 두 번째는 정상 시스템 도구를 빌려 쓰는 방식(프로세스 인젝션·리빙 오프 더 랜드)으로, 백신 눈을 피하려는 수법입니다.
정리하면 거창한 해킹이 아니라 "받아서 실행"이 가장 큰 입구입니다.
그림 1. 끊을 수 있는 지점은 사실상 1번뿐입니다.
비밀번호를 바꿔도 안 끊기는 이유
여기가 이 글에서 가장 중요한 대목입니다.
유출된 것이 비밀번호뿐이라면 바꾸면 끝입니다. 그런데 인포스틸러는 활성 세션도 함께 가져갑니다. 세션은 "이 사람 로그인 확인됨"이라는 출입증이고, 브라우저는 그걸 쿠키로 들고 있습니다.
출입증을 복사당하면 상대는 비밀번호를 몰라도, 2단계 인증을 통과하지 않고도 이미 로그인된 상태로 들어갑니다. 비밀번호를 바꿔도 기존 출입증이 살아 있으면 그대로 통합니다.
노드VPN은 이 점을 이렇게 짚습니다 — 세션 하나만 넘어가도 이메일과 결제 서비스 등 여러 계정으로 연쇄 접근이 가능해 피해가 빠르게 번진다고요. 메일함이 뚫리면 나머지 서비스의 비밀번호 재설정 메일이 전부 그쪽으로 갑니다.
오늘 할 일 네 가지
1. 받은 파일은 출처부터 봅니다. 공식 홈페이지나 정식 스토어에서만 내려받으세요. 검색 결과 상단의 광고 링크, "무료 정품", 비공식 런처가 대표적인 입구입니다.
2. "설치하려면 백신을 꺼 주세요"는 그 자체가 답입니다. 카스퍼스키도 같은 걸 강조합니다. 정상 프로그램은 보안 기능을 끄라고 요구하지 않습니다.
3. 비밀번호를 바꿨다면 세션도 함께 끊습니다. 주요 서비스의 보안 설정에는 "모든 기기에서 로그아웃" 또는 "다른 세션 종료" 항목이 있습니다. 비밀번호 변경과 세트로 눌러야 합니다. 이걸 안 하면 앞의 설명대로 안 끊깁니다.
4. 브라우저에 다 맡기지 않습니다. 앞서 정리한 비밀번호 관리자 쪽이 낫고, 주요 계정엔 2단계 인증을 걸어 둡니다. 다만 세션 탈취에는 2단계 인증도 만능이 아니라는 점은 기억해 두세요 — 그래서 3번이 필요합니다.
내 정보가 이미 돌아다니는지 궁금하다면 계정 유출 확인하는 법을 참고하시면 됩니다.
인포스틸러 규모·감염 경로·대응
| 항목 | 내용 |
|---|---|
| 무엇 | 브라우저·앱에 저장된 로그인 정보를 긁어가는 악성코드 |
| 규모 | 다크웹 로그 2025년 500만 건, 전년 대비 +59% (카스퍼스키) |
| 환경 | 피해의 약 99%가 윈도우 PC (노드VPN) |
| 최대 입구 | 내려받은 파일을 그냥 실행 — 실행 위치의 35%가 임시 폴더 |
| 털리는 것 | 아이디·비밀번호, 브라우저 쿠키, 지갑, 시스템 정보 |
| 핵심 함정 | 세션까지 넘어가면 비밀번호 변경·2단계 인증을 우회 |
| 대응 | 출처 확인 · 백신 끄라는 요구 거부 · 비번 변경 시 전체 로그아웃 |
참고 자료
- 데일리시큐, "복잡한 해킹보다 파일 실행이 더 위험"…인포스틸러 감염 35% 차지 — 카스퍼스키 DFI의 2025년 로그 500만 건 분석, 실행 위치 35%/32% 통계
- ZDNet Korea, 노드VPN, 편의성 미끼 악성코드 '인포스틸러' 확산 경고 — 상위 1만 도메인·약 5억 건 로그, 윈도우 99%, 세션 연쇄 접근 경고
- 안랩 ASEC, 인포스틸러 월간 동향 보고서 — 국내 유포 흐름 추적
수치는 각 조사 시점 기준입니다. 특정 제품이나 서비스를 비방할 의도는 없으며, 여기 적은 대응은 일반적인 권고입니다.