ClickFix란? 사용자를 속여 직접 악성 명령을 실행하게 만드는 공격

이 글에서 다루는 내용

웹사이트에 접속했을 때 갑자기 다음과 같은 안내가 나타났다고 가정해 보겠습니다.

“사람인지 확인하려면 아래 단계를 진행하세요.”

“브라우저 오류를 해결하려면 Windows 키와 R 키를 누르세요.”

“복사된 내용을 붙여 넣은 뒤 Enter를 누르세요.”

사용자는 단순한 보안 확인이나 오류 해결 과정이라고 생각할 수 있습니다. 그러나 안내를 그대로 따르면 자신도 모르는 사이에 컴퓨터에서 악성 명령을 직접 실행하게 될 수 있습니다.

이처럼 가짜 오류 메시지나 가짜 CAPTCHA를 보여 주고, 사용자가 직접 명령을 실행하도록 유도하는 사회공학 공격 기법을 ClickFix라고 합니다.

ClickFix는 특정 악성코드의 이름이 아닙니다. 악성코드를 컴퓨터에 침투시키기 위해 사용하는 초기 접근 방식이자 공격 절차에 가깝습니다.

Microsoft는 ClickFix를 사용자가 자발적으로 감염 과정을 시작하도록 속이는 사회공학 기법으로 설명하며, 가짜 오류 메시지·CAPTCHA·긴급 보안 경고 등이 미끼로 사용될 수 있다고 분석했습니다.

ClickFix란?

ClickFix는 ‘클릭해서 문제를 해결한다’는 의미처럼 보이지만, 실제로는 사용자가 직접 시스템 명령을 실행하게 만드는 공격 방식입니다.

일반적인 피싱 공격은 사용자가 악성 첨부파일을 열거나 악성 프로그램을 내려받도록 유도합니다. 반면 ClickFix는 사용자가 다음과 같은 운영체제 기능을 직접 열도록 만듭니다.

Windows 실행 창
PowerShell
명령 프롬프트
Windows Terminal
macOS Terminal

공격자는 사용자가 정상적인 문제 해결 절차를 수행한다고 믿게 만든 뒤, 공격자가 준비한 명령을 붙여 넣고 실행하도록 유도합니다.

따라서 ClickFix의 핵심은 단순히 악성 링크를 클릭하게 만드는 것이 아닙니다.

사용자에게 시스템 명령 실행 방법을 안내하고, 사용자가 자신의 권한으로 그 명령을 직접 실행하게 만드는 것이 핵심입니다.

ClickFix는 왜 등장했을까?

운영체제와 브라우저의 보안 기능이 강화되면서 웹사이트가 사용자의 컴퓨터에서 프로그램을 마음대로 실행하기는 어려워졌습니다.

이메일 서비스와 보안 솔루션도 실행 파일이나 악성 첨부파일을 탐지하고 차단합니다. 브라우저 역시 위험한 파일을 내려받을 때 경고를 표시할 수 있습니다.

공격자는 이러한 기술적 방어를 우회하기 위해 다른 방법을 사용하기 시작했습니다.

컴퓨터가 악성 명령을 자동으로 실행하게 만드는 대신, 사용자에게 직접 실행하도록 시키는 것입니다.

운영체제 입장에서 보면 사용자가 정상적인 기능을 열고 자신의 계정으로 명령을 실행한 것입니다. 따라서 공격 과정의 일부가 정상적인 사용자 행위처럼 보일 수 있습니다.

ClickFix는 보안 시스템의 취약점보다 다음과 같은 사람의 심리를 이용합니다.

오류를 빨리 해결하려는 심리
CAPTCHA를 통과해야 한다는 생각
익숙한 브랜드와 화면에 대한 신뢰
안내된 순서를 그대로 따르는 습관
작업이 중단될 수 있다는 불안감

즉, ClickFix는 기술적인 공격이면서 동시에 사람의 판단을 공격하는 사회공학 기법입니다.

ClickFix 공격은 어디에서 시작될까?

ClickFix 화면은 반드시 처음부터 악성 사이트에만 존재하는 것은 아닙니다.

공격자는 다양한 경로를 이용해 사용자를 ClickFix 페이지로 이동시킬 수 있습니다.

1. 피싱 이메일

업무 메일, 예약 확인, 문서 공유, 결제 안내, 계정 보안 경고처럼 꾸민 이메일에 링크를 넣습니다.

사용자가 링크를 누르면 가짜 로그인 화면이나 가짜 CAPTCHA 페이지로 이동합니다.

Microsoft는 Booking.com을 사칭한 피싱 캠페인에서 ClickFix가 사용됐으며, 호텔과 숙박업 종사자를 대상으로 정보 탈취형 악성코드가 배포됐다고 분석했습니다.

2. 악성 광고

검색 결과나 웹사이트 광고를 통해 가짜 프로그램 다운로드 페이지 또는 가짜 오류 해결 페이지로 유도할 수 있습니다.

사용자는 정상적인 검색 결과나 광고라고 생각해 접속할 가능성이 있습니다.

3. 침해된 정상 웹사이트

공격자가 취약한 웹사이트에 악성 스크립트를 삽입하기도 합니다.

이 경우 사용자는 평소 알고 있던 정상적인 사이트에 접속했음에도 가짜 CAPTCHA나 오류 화면을 볼 수 있습니다.

Google Threat Intelligence Group은 침해된 정상 웹사이트에서 가짜 CAPTCHA를 표시하고, 사용자가 다운로더 스크립트를 실행하도록 유도한 ClickFix 캠페인을 분석했습니다.

4. 가짜 프로그램 설치 페이지

브라우저 업데이트, 문서 뷰어, 화상회의 프로그램, 보안 프로그램 등을 설치하거나 업데이트해야 한다고 속일 수 있습니다.

그러나 실제로는 정상 프로그램을 설치하는 것이 아니라 악성 명령을 실행하게 만듭니다.

ClickFix는 어떻게 동작할까?

ClickFix의 구체적인 방식은 공격마다 다르지만, 일반적으로 다음과 같은 흐름을 따릅니다.

1단계. 가짜 상황을 만든다

사용자가 특정 웹페이지에 접속하면 오류 메시지나 CAPTCHA 화면이 나타납니다.

예를 들면 다음과 같습니다.

브라우저에서 페이지를 표시할 수 없습니다.
문서를 불러오는 중 오류가 발생했습니다.
사람인지 확인해야 합니다.
보안 인증이 만료되었습니다.
동영상을 재생하려면 브라우저를 업데이트해야 합니다.
클라우드 문서를 열려면 추가 확인이 필요합니다.

화면은 실제 서비스와 비슷하게 제작될 수 있으며, Microsoft·Google·Cloudflare와 같은 익숙한 브랜드의 이름이나 디자인이 도용되기도 합니다.

2단계. 악성 명령을 클립보드에 복사한다

사용자가 화면의 ‘확인’, ‘복사’, ‘인증’과 같은 버튼을 누르면 웹페이지가 특정 문자열을 클립보드에 복사할 수 있습니다.

사용자는 일반적인 인증 코드나 확인 문구가 복사됐다고 생각할 수 있습니다.

그러나 실제로는 PowerShell이나 다른 시스템 도구를 실행하는 명령이 복사될 수 있습니다.

사용자는 복사된 내용을 직접 확인하지 않은 채 다음 단계로 넘어가게 됩니다.

이 과정 때문에 ClickFix는 클립보드 하이재킹 또는 클립보드 조작을 이용하는 공격으로도 설명됩니다.

3단계. 시스템 도구를 열도록 지시한다

공격 화면은 사용자가 운영체제의 시스템 도구를 직접 열도록 안내합니다.

Windows에서는 주로 다음과 같은 조작을 요구합니다.

Windows 키와 R 키를 누릅니다.
실행 창에 클립보드 내용을 붙여 넣습니다.
Enter를 누릅니다.

공격에 따라 PowerShell이나 명령 프롬프트를 직접 열도록 요구할 수도 있습니다.

macOS에서는 Terminal을 열어 명령을 붙여 넣도록 유도할 수 있습니다. ClickFix는 Windows에서 널리 관찰됐지만, Windows에만 한정된 공격 개념은 아닙니다. Microsoft는 macOS 사용자를 대상으로 Terminal 명령을 복사·실행하게 만드는 ClickFix 방식의 공격도 보고했습니다.

4단계. 명령이 악성 파일이나 스크립트를 불러온다

사용자가 명령을 실행하면 컴퓨터는 외부 서버에 접속해 추가 파일을 내려받거나 스크립트를 실행할 수 있습니다.

처음 실행되는 명령 자체는 비교적 짧을 수 있습니다. 그러나 이 명령은 다음 단계의 프로그램을 불러오는 역할을 합니다.

예를 들면 다음과 같은 작업이 진행될 수 있습니다.

외부 서버에 접속
악성 스크립트 다운로드
압축 파일 해제
악성 프로그램 실행
컴퓨터가 다시 켜져도 실행되도록 설정
공격자 서버와 통신
추가 악성코드 설치

이처럼 첫 번째 명령은 실제 공격을 시작하는 다운로더 또는 로더 역할을 할 수 있습니다.

5단계. 최종 악성코드가 실행된다

ClickFix는 하나의 특정 악성코드만 설치하는 방식이 아닙니다.

공격자가 어떤 프로그램을 연결했느냐에 따라 다양한 악성코드가 설치될 수 있습니다.

정보 탈취형 악성코드
원격 제어 악성코드
백도어
랜섬웨어
암호화폐 지갑 탈취 프로그램
추가 악성코드 설치용 로더

Microsoft는 가짜 CAPTCHA를 이용한 ClickFix 공격에서 Lumma와 같은 정보 탈취형 악성코드가 배포된 사례를 분석했습니다.

왜 PowerShell이 자주 이용될까?

PowerShell은 Windows에 기본적으로 포함된 관리 및 자동화 도구입니다.

시스템 관리자는 PowerShell을 이용해 파일을 관리하고, 프로그램을 실행하고, 네트워크 설정을 확인하며, 여러 컴퓨터를 자동으로 관리할 수 있습니다.

문제는 이러한 강력한 기능을 공격자도 악용할 수 있다는 점입니다.

공격자는 PowerShell을 이용해 다음과 같은 작업을 시도할 수 있습니다.

외부 서버에서 파일 다운로드
스크립트 실행
명령 내용 숨기기
보안 설정 확인
시스템 정보 수집
추가 프로그램 실행

PowerShell 자체는 악성 프로그램이 아닙니다. 정상적인 Windows 관리 도구입니다.

하지만 공격자는 이처럼 운영체제에 원래 포함된 도구를 악용해 공격을 수행할 수 있습니다.

정상적인 시스템 도구가 왜 공격에 이용될까?

공격자가 PowerShell, mshta, rundll32와 같은 정상 도구를 악용하는 방식을 흔히 Living off the Land라고 표현합니다.

이는 새로운 해킹 프로그램을 처음부터 실행하는 대신, 컴퓨터에 이미 설치된 정상 프로그램을 공격에 활용하는 방식입니다.

이때 이용되는 정상 실행 파일을 LOLBins, 즉 Living Off the Land Binaries라고 부르기도 합니다.

ClickFix 공격에서는 다음과 같은 도구가 악용될 수 있습니다.

PowerShell
cmd.exe
mshta.exe
rundll32.exe
Windows Script Host
curl
certutil

이 도구들은 모두 정상적인 관리·실행 기능을 가지고 있습니다.

따라서 단순히 프로그램 이름만 보고 정상 행위와 악성 행위를 구분하기는 어렵습니다. 중요한 것은 해당 도구가 어떤 명령과 목적을 가지고 실행됐는지입니다.

Microsoft는 ClickFix에서 클립보드 조작과 함께 PowerShell, mshta, rundll32 등의 정상 시스템 도구가 악용될 수 있다고 설명했습니다.

ClickFix는 기존 피싱과 무엇이 다를까?

기존 피싱과 ClickFix는 모두 사용자를 속인다는 공통점이 있습니다.

하지만 사용자가 공격에 관여하는 방식에는 차이가 있습니다.

기존 피싱

가짜 로그인 페이지에 비밀번호를 입력하게 함
악성 첨부파일을 열게 함
악성 프로그램을 다운로드하게 함
링크를 클릭하게 함

ClickFix

오류나 인증 문제를 해결한다고 속임
시스템 도구를 직접 열게 함
명령을 붙여 넣게 함
사용자가 자신의 권한으로 명령을 실행하게 함

ClickFix 역시 넓게 보면 피싱이나 사회공학 공격의 한 유형이지만, 사용자가 공격 명령의 실행 주체가 된다는 점이 두드러집니다.

ClickFix가 위험한 이유

1. 사용자가 직접 명령을 실행한다

웹사이트가 브라우저 보안 기능을 뚫고 프로그램을 자동으로 실행하는 것이 아닙니다.

사용자가 직접 실행 창이나 터미널을 열고 명령을 실행합니다.

이 때문에 일부 보안 통제에서는 정상적인 사용자 행동처럼 보일 수 있습니다.

2. 정상적인 운영체제 기능을 이용한다

PowerShell과 실행 창은 Windows의 정상 기능입니다.

따라서 해당 프로그램이 실행됐다는 사실만으로 공격 여부를 판단하기 어렵습니다.

보안 시스템은 실행된 명령의 내용, 외부 통신, 이후 생성된 파일과 프로세스까지 함께 분석해야 합니다.

3. 악성 파일을 직접 다운로드하지 않을 수 있다

사용자는 눈에 보이는 실행 파일을 내려받지 않았기 때문에 위험하다는 사실을 인식하지 못할 수 있습니다.

짧은 명령 하나가 백그라운드에서 추가 프로그램을 내려받고 실행할 수 있습니다.

4. 익숙한 화면을 모방한다

공격자는 CAPTCHA, 브라우저 오류, 문서 공유, 프로그램 업데이트처럼 사람들이 자주 보는 화면을 모방합니다.

디자인이 자연스러우면 사용자는 해당 절차가 정상이라고 판단하기 쉽습니다.

5. 공격 형태를 쉽게 바꿀 수 있다

ClickFix는 특정 프로그램이나 하나의 취약점에 의존하지 않습니다.

공격자는 화면 문구, 사칭 브랜드, 실행 도구, 최종 악성코드를 계속 변경할 수 있습니다.

따라서 특정 화면 하나만 외워서 차단하는 방식으로는 충분하지 않습니다.

가짜 CAPTCHA는 어떻게 구분할까?

CAPTCHA는 자동화된 봇과 실제 사용자를 구분하기 위한 인증 절차입니다.

정상적인 CAPTCHA에서는 일반적으로 다음과 같은 행동을 요구합니다.

체크박스 선택
이미지 고르기
퍼즐 맞추기
문자 또는 숫자 입력
브라우저 안에서 인증 완료

반면 다음과 같은 요구가 나온다면 가짜 CAPTCHA일 가능성을 의심해야 합니다.

Windows 키와 R 키를 누르라고 함
PowerShell을 열라고 함
명령 프롬프트를 실행하라고 함
Terminal을 열라고 함
복사된 명령을 붙여 넣으라고 함
보안 확인을 위해 시스템 명령이 필요하다고 주장함

정상적인 CAPTCHA는 운영체제의 실행 창이나 터미널에 명령을 입력하도록 요구하지 않습니다.

ClickFix에 감염되면 어떤 피해가 발생할까?

ClickFix는 공격의 입구이기 때문에 피해는 최종적으로 설치된 악성코드에 따라 달라집니다.

1. 계정 정보 탈취

브라우저에 저장된 아이디와 비밀번호가 탈취될 수 있습니다.

이메일, 소셜미디어, 쇼핑몰, 회사 업무 시스템 등의 계정이 공격자에게 넘어갈 수 있습니다.

2. 로그인 세션 탈취

브라우저 쿠키와 세션 정보가 탈취되면 비밀번호를 직접 알아내지 않고도 로그인 상태가 악용될 수 있습니다.

다중 인증을 설정했더라도 이미 생성된 로그인 세션이 탈취되면 계정 접근으로 이어질 수 있습니다.

3. 금융정보와 암호화폐 탈취

저장된 결제 정보나 암호화폐 지갑 파일, 지갑 확장 프로그램 정보가 표적이 될 수 있습니다.

4. 원격 제어

원격 제어 악성코드가 설치되면 공격자가 컴퓨터 화면을 보거나 명령을 실행하고 파일을 가져갈 수 있습니다.

5. 기업 내부 침투

업무용 컴퓨터가 감염되면 공격자는 기업 계정, VPN 정보, 클라우드 자격 증명, 내부 문서 등을 탈취할 수 있습니다.

감염된 한 대의 컴퓨터가 기업 내부망으로 침투하는 출발점이 될 수도 있습니다.

6. 랜섬웨어 감염

초기 침투에 성공한 공격자가 추가 악성코드를 설치하고, 이후 랜섬웨어 공격으로 연결할 가능성도 있습니다.

ClickFix를 예방하는 방법

1. 웹사이트의 시스템 명령 실행 요구를 따르지 않는다

웹사이트에서 다음과 같은 요구를 하면 즉시 중단해야 합니다.

Windows + R을 누르세요.
PowerShell을 실행하세요.
명령 프롬프트를 여세요.
Terminal에 명령을 입력하세요.
복사한 내용을 실행 창에 붙여 넣으세요.

정상적인 웹 인증이나 CAPTCHA가 이러한 작업을 요구할 이유는 없습니다.

2. 클립보드 내용을 확인하지 않고 붙여 넣지 않는다

웹페이지에서 복사 버튼을 눌렀다면 어떤 내용이 복사됐는지 확인해야 합니다.

특히 실행 창, PowerShell, 명령 프롬프트, Terminal에 출처를 알 수 없는 내용을 붙여 넣어서는 안 됩니다.

3. 오류 해결 방법은 공식 지원 페이지에서 확인한다

브라우저나 프로그램에 실제 오류가 발생했다면 팝업의 안내를 그대로 따르기보다 해당 프로그램의 공식 홈페이지나 공식 고객지원 문서를 확인해야 합니다.

4. 브라우저와 운영체제를 최신 상태로 유지한다

ClickFix는 사람을 속이는 공격이지만, 공격 페이지가 침해된 웹사이트나 악성 광고를 통해 전달될 수 있습니다.

브라우저, 운영체제, 보안 프로그램을 최신 상태로 유지하면 관련 위협을 차단하는 데 도움이 됩니다.

5. 업무용 계정에는 다중 인증을 적용한다

ClickFix를 통해 비밀번호가 유출되더라도 다중 인증은 계정 탈취 위험을 줄일 수 있습니다.

다만 브라우저 세션 자체가 탈취될 가능성도 있으므로 다중 인증만으로 모든 공격을 막을 수 있는 것은 아닙니다.

6. 기업에서는 명령 실행 행위를 함께 모니터링한다

기업 환경에서는 단순히 악성 파일만 탐지할 것이 아니라 다음과 같은 행위를 함께 확인해야 합니다.

브라우저 실행 직후 PowerShell이 실행됨
PowerShell이 외부 서버에 접속함
실행 창을 통해 의심스러운 명령이 수행됨
mshta 또는 rundll32가 외부 콘텐츠를 불러옴
사용자 폴더에 새로운 실행 파일이 생성됨
브라우저 자격 증명 파일에 비정상적으로 접근함

ClickFix는 정상 시스템 도구를 악용하기 때문에 파일 이름보다 프로세스 간 관계와 실행 흐름을 보는 것이 중요합니다.

이미 명령을 실행했다면 어떻게 해야 할까?

ClickFix가 의심되는 명령을 실행했다면 명령 창을 닫는 것만으로는 충분하지 않을 수 있습니다.

이미 추가 악성코드가 내려받아졌거나 실행됐을 가능성이 있기 때문입니다.

개인 사용자

인터넷 연결을 끊습니다.
사용 중인 업무나 금융 작업을 중지합니다.
신뢰할 수 있는 보안 프로그램으로 전체 검사를 실행합니다.
다른 안전한 기기에서 주요 계정의 비밀번호를 변경합니다.
이메일과 금융 계정의 로그인 기록을 확인합니다.
알 수 없는 로그인 세션과 연결 기기를 해제합니다.
필요하면 운영체제 초기화나 전문 점검을 고려합니다.

회사 컴퓨터

즉시 네트워크에서 분리합니다.
회사 보안 담당자나 IT 담당자에게 알립니다.
임의로 파일과 기록을 삭제하지 않습니다.
실행한 시간과 접속한 사이트를 전달합니다.
사용한 회사 계정과 접근한 시스템을 함께 알립니다.

기업 환경에서는 흔적을 임의로 삭제하면 사고 분석과 피해 범위 확인이 어려워질 수 있습니다.

ClickFix는 악성코드일까?

ClickFix 자체를 하나의 악성코드로 보는 것은 정확하지 않습니다.

ClickFix는 사용자를 속여 악성 명령을 실행하게 만드는 공격 기법 또는 초기 침투 방식입니다.

ClickFix를 통해 설치되는 악성코드는 공격마다 다를 수 있습니다.

따라서 다음과 같이 구분할 수 있습니다.

ClickFix: 사용자가 직접 명령을 실행하도록 속이는 방법
다운로더·로더: 추가 악성코드를 불러오는 프로그램
정보 탈취형 악성코드: 비밀번호·쿠키·금융정보 등을 탈취하는 프로그램
백도어·원격 제어 악성코드: 공격자가 감염된 컴퓨터를 제어하게 만드는 프로그램
랜섬웨어: 파일을 암호화하고 금전을 요구하는 프로그램

ClickFix는 이 가운데 첫 번째 감염 단계를 시작하는 수단으로 사용됩니다.

DANA NOTES 해설

ClickFix의 핵심은 새로운 해킹 프로그램이 아니라 공격 과정에서 사용자의 역할이 바뀌었다는 점입니다.

기존 공격에서는 공격자가 악성코드를 몰래 실행하려 했다면, ClickFix에서는 사용자가 공격자의 안내를 따라 직접 실행합니다.

공격자는 운영체제의 보안 기능을 기술적으로 무력화하기보다, 사용자가 스스로 그 경계를 넘어오도록 만듭니다.

이 때문에 ClickFix를 단순히 ‘가짜 CAPTCHA 공격’으로만 이해해서는 부족합니다.

가짜 CAPTCHA는 사용자를 속이는 여러 화면 중 하나일 뿐이며, 본질은 다음과 같습니다.

정상적인 문제 해결 절차처럼 보이게 만든다.
악성 명령을 클립보드에 숨겨 전달한다.
사용자가 정상 시스템 도구를 직접 실행하게 한다.
그 권한을 이용해 악성코드 감염을 시작한다.

따라서 ClickFix를 예방하는 가장 중요한 기준은 간단합니다.

웹사이트는 사용자의 컴퓨터에서 명령을 실행해야 사람인지 확인할 수 없습니다.

웹페이지가 실행 창, PowerShell, 명령 프롬프트 또는 Terminal을 열라고 요구한다면 문제를 해결하는 절차가 아니라 공격일 가능성을 먼저 의심해야 합니다.

정리

ClickFix는 가짜 오류 메시지나 CAPTCHA를 이용해 사용자가 직접 악성 명령을 실행하도록 만드는 사회공학 공격 기법입니다.

공격자는 클립보드에 명령을 복사한 뒤 Windows 실행 창이나 PowerShell, macOS Terminal 등에 붙여 넣도록 유도합니다.

이후 명령은 외부 서버에서 악성코드를 내려받거나 추가 스크립트를 실행하며, 정보 탈취·원격 제어·기업 내부 침투·랜섬웨어 감염으로 이어질 수 있습니다.

ClickFix는 기술적인 취약점만을 노리는 공격이 아닙니다. 정상적인 안내를 믿고 그대로 따르는 사람의 행동을 공격합니다.

따라서 CAPTCHA나 오류 해결 과정에서 시스템 명령 실행을 요구한다면, 안내를 따르지 말고 즉시 페이지를 닫는 것이 가장 안전합니다.