유튜브 채널 해킹돼 가상자산 광고 올라가자 구글이 채널 운영 중단…복구 전 캡처부터 남겨야

해커가 유튜브 채널 관리자 계정을 해킹해 가상자산 광고 영상을 올리면 구글이 커뮤니티 가이드 위반을 근거로 채널 운영을 중단하는 조치를 한 것으로 확인됐다. 한국인터넷진흥원(KISA) 지역정보보호센터가 정리한 침해사고 사례다. 계정을 빼앗긴 운영자가 해커의 게시물 때문에 채널까지 멈추는 상황에 놓일 수 있다는 뜻이다.

KISA 안내와 관련 자료는 계정 복구에 나서기 전에 해야 할 일도 짚었다. 게시물부터 지우거나 기기를 초기화하기 전에 화면과 접속 기록을 먼저 남겨야 한다는 것이다. 영상을 보고 자산을 보낸 시청자는 지갑주소와 트랜잭션 해시를 저장하고 거래소에 출금 보류를 요청해야 한다.

해킹당한 채널에 내려진 구글의 운영 중단 조치

KISA가 소개한 사고 유형은 해커가 유튜브 채널 관리자 계정을 해킹한 뒤 가상자산 등을 홍보하는 광고 영상을 올리는 방식이다. 정부와 공공기관, 언론사, 잡지사 등이 운영하는 공식 유튜브 채널을 비롯한 SNS 계정이 이런 침해사고의 대상이 되고 있다. 이 가운데 구글은 커뮤니티 가이드 위반을 근거로 해당 유튜브 채널의 운영을 중단하는 조치를 취했다.

관련 안내는 이 수법을 3단계로 설명한다. 1단계에서 해커는 이메일 피싱, 가짜 로그인 페이지, 재사용 비밀번호, 악성 브라우저 확장프로그램, 원격제어 앱 가운데 하나를 써서 계정 인증정보를 확보한다. 피해자의 자산을 직접 훔치는 데서 그치지 않고 신뢰받는 채널을 광고판으로 바꾸는 것이 특징이다.

2단계에서는 탈취한 유튜브·SNS 관리자 계정의 프로필과 배너를 가상자산 행사처럼 바꾼다. 생방송이나 영상에는 ‘입금하면 두 배로 돌려준다’, ‘무료 에어드롭(코인 무상 배포)을 받으라’는 문구와 함께 지갑주소를 게시한다. 공식 채널이라는 신뢰를 이용해 구독자와 시청자의 송금을 유도하는 단계다.

3단계에서는 시청자가 공식 채널이라고 믿고 자산을 전송하면 해커가 계정을 삭제하거나 비밀번호와 복구 이메일을 바꾼다. 원래 운영자가 계정에 접근하지 못하게 막는 조치다. 이 때문에 피해가 드러난 시점에는 계정 복구와 피해 확인이 동시에 급해진다.

복구 신청 전에 먼저 남겨야 할 증거

계정에 이상이 생겼다면 곧바로 게시물을 삭제하거나 기기를 초기화하지 말아야 한다. 안내는 먼저 화면과 URL, 게시 시각, 변경된 이메일·전화번호, 접속 알림을 캡처하라고 권고한다. 해커가 어떤 영상을 언제 올렸는지, 복구 정보를 어떻게 바꿨는지 보여주는 기록이기 때문이다.

링크를 눌러 로그인 정보를 입력했다면 대응 범위가 넓어진다. 같은 비밀번호를 쓰는 다른 서비스의 비밀번호까지 즉시 바꿔야 한다. 복구 이메일과 전화번호, 이중인증도 다시 설정해야 한다.

지인에게 계정이 탈취된 사실을 알리는 것도 안내에 포함됐다. 탈취된 계정에서 지인에게 수상한 메시지나 링크가 갈 수 있어 2차 피해를 막으려면 주변에 먼저 알려야 한다는 취지다. 악성앱이 의심되면 KISA 인터넷침해대응센터 118에 상담하면 된다.

영상 보고 송금했다면 지갑주소와 해시부터

해커가 올린 영상을 믿고 가상자산을 보낸 피해자에게는 별도 절차가 있다. 상대 지갑주소와 트랜잭션 해시(블록체인에 기록된 개별 거래를 식별하는 고유 값)를 저장해야 한다. 이어 이용한 거래소에 상대 주소의 입출금 모니터링과 출금 보류를 요청해야 한다. 금전 피해는 경찰 112에 신고한다.

환급 가능성은 송금 경로에 따라 갈릴 수 있다. 통신사기피해환급법상 가상자산이 연루된 피해자산 환급제도가 마련됐지만 이용자가 개인 지갑으로 직접 보낸 자산이나 해외 플랫폼으로 이동된 자산은 추적·동결 가능성에 따라 결과가 달라진다. 제도가 있다고 해서 모든 피해금이 돌아오는 것은 아니다.

2차 사기도 경계 대상이다. 계정 복구와 피해금 회수 대행을 명목으로 시드문구(지갑을 복구하는 단어 조합)나 추가 수수료를 요구하는 사람에게는 다시 정보를 제공해서는 안 된다. 이미 한 번 속은 피해자를 다시 노리는 수법을 막기 위한 당부다.

관리자 계정 예방 수칙과 신고 창구

KISA는 SNS 계정 관리자에게 사전 보안 점검을 당부했다. 채널 관리 계정의 개수는 최소화하고 계정을 공유해서 쓰지 말아야 한다. 비밀번호는 주기적으로 바꾸고 반드시 이중 인증을 써야 한다. 기업과 기관의 SNS 계정 ID·비밀번호는 다른 시스템과 겹치지 않게 설정해야 한다.

관리용 기기는 따로 정하라는 권고도 있다. 동영상 업로드 전용 단말기와 이중 인증용 모바일 기기를 지정하고 다른 업무에는 쓰지 못하게 한다. 최신 운영체제와 백신 보안패치를 적용하고 악성코드 감염 여부도 주기적으로 점검해야 한다.

해킹 메일 예방 수칙도 함께 제시됐다. 송신자를 정확히 확인하고 모르는 이메일과 첨부파일은 열지 않는다. 출처가 불분명한 사이트 주소는 누르지 말고 이메일로 연결된 사이트는 일단 의심해 피싱 사이트 여부를 확인해야 한다.

점검 방법으로는 채널 관리 계정의 부정 접속 이력과 활동을 주기적으로 확인해 비정상 IP를 방화벽에서 차단하는 방안이 나왔다. 구글 계정이라면 계정관리의 보안 메뉴에서 최근 보안 활동을 볼 수 있다. 이미 로그인된 단말기 가운데 확인되지 않은 기기가 있으면 로그아웃시키고 비밀번호를 바꾼다. 침해사고가 나면 KISA 인터넷침해대응센터 종합상황실(02-405-4911)이나 ‘인터넷보호나라&KrCERT’ 홈페이지의 상담·신고 메뉴를 통해 신고한다.