OAuth 동의 피싱(오인 동의 피싱)이란 무엇인가요?

비밀번호를 직접 훔치는 과거의 방식과 달리, 사용자가 소셜 로그인 등의 과정에서 무심코 악성 애플리케이션에 과도한 계정 권한을 승인하도록 유도하여 디지털 자산과 개인정보를 탈취하는 새로운 보안 위협입니다.

악성 애플리케이션 권한 승인의 위험성은 무엇인가요?

정상적인 앱은 서비스에 꼭 필요한 최소한의 권한만 요구하지만, 악성 애플리케이션은 메일 읽기 및 발송, 주소록 전체 열람, 클라우드 저장소 파일 수정 등 전혀 상관없고 과도한 권한을 요구하여 승인 시 해커에게 계정 통제권을 넘겨주게 됩니다.

OAuth 동의 피싱(Consent Phishing): 악성 애플리케이션 권한 승인 위험

2026년 10월 26일 읽는 시간 약 8분

디지털 세상의 새로운 위협인 오인 동의 피싱의 모든 것

우리는 매일 스마트폰이나 컴퓨터를 사용하면서 새로운 웹사이트나 모바일 앱에 가입합니다. 이때 번거로운 회원가입 절차를 건너뛰기 위해 구글이나 카카오, 네이버 같은 대기업 계정으로 로그인 버튼을 누르는 경우가 많습니다. 아이디와 비밀번호를 일일이 입력하지 않아도 되니 정말 편리하고 시간도 절약됩니다. 하지만 이러한 편리함의 이면에 현대의 해커들이 가장 주목하는 새로운 해킹 수단이 숨어 있다는 사실을 알고 계셨나요.

바로 오늘 이야기할 오인 동의 피싱이라는 보안 위협입니다. 과거의 해킹은 주로 사용자에게 피싱 메일을 보내 비밀번호를 직접 입력하게 만들거나 악성코드를 심는 방식이 주를 이뤘습니다. 하지만 보안 기술이 발전하고 이중 인증이 보편화되면서 해커들도 수법을 바꿨습니다. 비밀번호를 직접 훔치는 대신 사용자가 스스로 자신의 계정 권한을 해커에게 통째로 넘기도록 유도하는 것입니다. 이 글에서는 이 위험한 현상이 정확히 무엇이며 어떻게 내 소중한 디지털 자산을 지킬 수 있는지 자세히 알아보겠습니다.

악성 애플리케이션 권한 승인의 위험성이란 무엇인가요

오인 동의 피싱을 이해하려면 먼저 우리가 평소에 자주 보는 화면을 떠올려봐야 합니다. 어떤 새로운 앱이나 웹서비스를 처음 이용할 때 서비스 이용을 위해 이 앱이 사용자의 이름, 이메일 주소, 주소록, 혹은 드라이브 파일에 접근해도 되겠냐는 팝업 창이 뜹니다. 우리는 대개 무심코 파란색 허용 버튼이나 동의 버튼을 누르고 넘어갑니다. 바로 이 순간이 위험할 수 있습니다.

정상적인 서비스라면 앱이 정상적으로 작동하기 위해 꼭 필요한 최소한의 권한만 요구합니다. 예를 들어 사진 편집 앱이라면 사진 보관함 접근 권한만 필요로 합니다. 하지만 악성 애플리케이션은 전혀 상관없는 과도한 권한을 요구합니다. 메일 읽기 및 발송 권한, 주소록 전체 열람 권한, 클라우드 저장소 파일 수정 권한 등을 교묘하게 숨겨서 요청합니다.

사용자가 이 요청을 승인하는 순간 해커는 사용자의 아이디나 비밀번호를 몰라도 합법적인 토큰을 발급받아 계정에 접근할 수 있게 됩니다. 이 방식이 무서운 이유는 비밀번호를 바꾸거나 이중 인증을 설정해 두어도 해커가 얻어낸 접근 권한은 그대로 유지되기 때문에 보안 시스템을 완벽하게 우회할 수 있다는 점입니다.

실생활에서 마주치는 흔한 공격 시나리오

해커들은 우리 주변의 평범한 상황을 가장하여 방심한 틈을 노립니다. 일상에서 흔히 겪을 수 있는 몇 가지 대표적인 공격 상황을 살펴보겠습니다.

온라인에서 무료로 진행하는 흥미로운 성격 테스트나 운세 보기 서비스에 참여할 때 소셜 계정 로그인을 요구받는 경우
유명한 소프트웨어의 정품 인증 크랙이나 유료 프로그램을 무료로 다운로드할 수 있다고 홍보하는 사이트에서 인증을 가장한 권한 승인을 요구하는 경우
가상의 암호화폐 에어드랍이나 이벤트에 참여하기 위해 지갑이나 소셜 계정 연동을 필수 조건으로 내걸어 권한을 탈취하는 경우
지인으로 위장한 사람으로부터 신년 인사나 모바일 초대장을 받았는데 링크를 눌렀더니 외부 앱 연동 동의창이 뜨는 경우

이러한 상황들은 모두 공통점이 있습니다. 사용자에게 큰 이익이나 재미를 먼저 제공하고 그 대가로 가벼운 클릭을 유도한다는 것입니다. 피해자는 자신이 해킹당하고 있다는 사실을 전혀 인지하지 못한 채 스스로 해커에게 계정의 문을 열어준 꼴이 됩니다.

알아두어야 할 오인 동의 피싱의 주요 특징

이 공격 방식은 기존의 피싱과 다른 독특한 특성들을 가지고 있습니다. 이를 잘 파악하고 있어야 사전에 피해를 예방할 수 있습니다.

비밀번호 불필요: 해커는 사용자의 비밀번호를 알 필요가 없습니다. 단지 한 번의 동의로 생성된 권한 인증서만 있으면 됩니다.
지속성과 은밀함: 사용자가 로그아웃을 하거나 비밀번호를 변경해도 연동된 앱의 권한을 수동으로 해제하지 않는 이상 해커는 계속해서 계정에 접근할 수 있습니다.
합법적 프로토콜 악용: 보안에 널리 쓰이는 표준 인증 프로토콜을 악용하기 때문에 보안 프로그램이나 브라우저에서도 이를 정상적인 접속으로 오인하는 경우가 많습니다.
광범위한 피해 범위: 이메일 내용 유출은 기본이고 스팸 메일 발송 기지로 악용되거나 클라우드에 저장된 개인정보와 금융 관련 문서가 통째로 탈취될 수 있습니다.

흔히 갖는 오해와 진실

많은 사람들이 디지털 보안에 대해 가지는 오해들이 있습니다. 오인 동의 피싱과 관련된 대표적인 오해들을 바로잡아 보겠습니다.

오해: 이중 인증을 켜두었기 때문에 내 계정은 절대 안전하다.
진실: 이중 인증은 로그인 과정에서 비밀번호 외의 추가 인증을 요구하는 것이므로 이미 권한을 허용한 앱의 접근까지 막아주지는 못합니다.
오해: 유명 플랫폼의 로그인 창을 통하는 것이므로 가짜일 리 없다.
진실: 구글이나 네이버의 실제 로그인 창이 맞더라도 그 뒤에 연결되는 앱 자체가 악성일 수 있습니다. 공식 로그인 창은 신뢰의 증거가 될 수 없습니다.
오해: 앱을 삭제하면 권한도 자동으로 사라진다.
진실: 스마트폰에서 앱을 지우더라도 계정에 부여된 외부 앱 접근 권한은 서버에 그대로 남아있어 별도로 철회해야 합니다.

계정을 안전하게 지키기 위한 실용적인 대처 방법

그렇다면 우리는 이 보이지 않는 위협으로부터 어떻게 자신을 보호해야 할까요. 일상에서 실천할 수 있는 구체적인 관리 요령을 정리했습니다.

연결된 앱 정기 점검: 지금 바로 구글, 네이버, 카카오 등 자주 쓰는 소셜 계정의 보안 설정 메뉴로 들어가세요. 연결된 서드파티 앱이나 외부 서비스 목록을 확인하고 사용하지 않거나 의심스러운 항목은 즉시 연결을 끊으세요.
최소 권한 원칙 적용: 새로운 앱과 계정을 연동할 때 이 앱이 정말 이 기능들을 다 써야만 하는지 꼼꼼히 따져보고 과도한 권한을 요구한다면 과감히 거부하세요.
출처가 불분명한 링크 차단: 커뮤니티나 SNS를 통해 알게 된 사이트에서 로그인을 유도할 때는 각별히 주의하고 공식 스토어나 검증된 경로를 통해서만 서비스를 이용하세요.
비정상적 활동 모니터링: 보낸 적이 없는 메일이 발송되어 있거나 내가 모르는 파일이 클라우드에 생성되어 있다면 즉시 모든 연동 권한을 초기화하고 비밀번호를 변경해야 합니다.