공용 와이파이, 요즘도 위험할까?

공용 와이파이에 연결하면 개인정보가 전부 털린다는 말도 있고, 요즘은 HTTPS가 있으니 걱정 없다는 말도 있습니다. 저는 해외 공항에서 이 두 이야기 사이 어딘가에 있는 실제 위험을 몸으로 겪었습니다. 둘 다 현실의 절반씩만 담은 말입니다. 어느 쪽이 더 정확한지, 제 경험과 근거를 함께 풀어보겠습니다.

HTTPS가 생기고 달라진 것, 달라지지 않은 것

공용 와이파이가 특히 위험하다는 인식이 굳어진 건 암호화되지 않은 HTTP 통신이 일반적이던 시절 때문입니다. 그 환경에서는 같은 네트워크에 접속한 공격자가 패킷 스니핑(Packet Sniffing)을 통해 오가는 데이터를 가로챌 수 있었습니다. 패킷 스니핑이란 네트워크를 흐르는 데이터 묶음을 중간에서 수집해 내용을 읽어내는 행위를 말합니다. 카페 와이파이에서 로그인하면 계정을 빼앗길 수 있다는 경고가 나온 배경이 바로 이것입니다.

지금은 상황이 많이 바뀌었습니다. HTTPS(HyperText Transfer Protocol Secure)는 내 기기와 웹사이트 서버 사이에 오가는 데이터를 TLS 암호화로 감싸는 프로토콜입니다. 쉽게 말해, 같은 와이파이를 쓰는 누군가가 트래픽을 가로채더라도 암호화된 덩어리만 볼 뿐 내용은 읽지 못하는 구조입니다. 미국 연방거래위원회(FTC)도 대부분의 웹사이트가 암호화를 적용하고 있기 때문에 공용 와이파이 연결이 일반적으로는 과거보다 훨씬 안전해졌다고 설명합니다(출처: FTC Consumer Advice).

그렇다고 공용 와이파이가 신뢰할 수 있는 공간으로 바뀐 것은 아닙니다. HTTPS는 통신 내용을 보호할 뿐, 제가 연결한 와이파이가 진짜인지, 열린 로그인 페이지가 공식 화면인지를 대신 검증해주지는 않습니다. 이 두 가지를 혼동하는 순간 진짜 위험이 시작됩니다.

이블 트윈과 가짜 로그인 화면, 제가 직접 마주쳤습니다

해외 공항 대기 시간에 무료 와이파이를 찾다가 이름이 비슷한 네트워크 두 개를 발견했습니다. 하나는 안내판에 적힌 공식 이름이었고, 다른 하나는 띄어쓰기 하나만 달랐는데 신호가 더 강했습니다. 별생각 없이 신호 강한 쪽에 연결했더니 열린 화면이 약관 동의 페이지가 아니라 이메일 주소와 비밀번호 입력을 요구하는 화면이었습니다. 공항 와이파이 인증에 포털 계정 비밀번호가 왜 필요한지 이상해서 입력을 멈추고 안내데스크에 확인했더니, 공식 네트워크는 약관 동의만으로 바로 연결되는 방식이었습니다.

제가 연결했던 네트워크가 바로 이블 트윈(Evil Twin)의 전형적인 형태였습니다. 이블 트윈이란 정상 와이파이와 유사한 이름으로 만들어진 가짜 접속 지점으로, 사용자를 오인 접속하게 유도한 뒤 가짜 로그인 페이지로 계정 정보를 탈취하는 공격 방식입니다. 영국 국가사이버보안센터(NCSC)는 이름이 비슷한 네트워크 두 개가 보일 경우 반드시 매장 직원에게 공식 접속 지점을 확인하라고 명시합니다(출처: NCSC - Public Wi-Fi).

솔직히 이건 예상 밖이었습니다. 비밀번호가 걸려 있는 네트워크도 안전을 보장하지 않습니다. 여러 손님에게 동일한 비밀번호를 공개하는 환경에서는 가짜 접속 지점도 그 비밀번호를 그대로 흉내 낼 수 있기 때문입니다. 가짜 인증 화면에서 특히 주의해야 할 요청들을 정리하면 다음과 같습니다.

• 평소 사용하는 포털이나 소셜 계정의 이메일·비밀번호 요구
• 카드번호 전체 또는 간편결제 정보 입력 요청
• 인터넷 접속 인증과 무관한 개인 신상 정보 수집
• 브라우저 보안 경고가 뜨는 상태에서 강제 진행 유도

저는 즉시 연결을 끊고 저장된 네트워크도 삭제했습니다. 이후 이메일 계정의 최근 로그인 기록을 확인했는데 다행히 낯선 접속은 없었습니다. 그날 이후로는 와이파이 이름을 감으로 고르지 않습니다.

VPN 오해, 켜는 것만으로 충분하지 않습니다

공용 와이파이 보안 이야기가 나오면 VPN이 해결책으로 자주 등장합니다. 특히 광고들은 VPN 하나로 해킹과 피싱과 악성코드를 모두 막을 수 있는 것처럼 말하는 경우가 많은데, 제 경험상 이건 좀 다릅니다.

VPN(Virtual Private Network)은 내 기기와 VPN 서버 사이에 암호화된 터널을 만드는 기술입니다. 공용 네트워크에서 전송되는 트래픽을 외부에서 보기 어렵게 만들고, 회사 내부 시스템처럼 허가된 환경에 안전하게 접속할 때 유용합니다. NCSC도 공용 와이파이에서 업무용 서비스에 로그인할 때 VPN 사용을 권고합니다. 이 용도 안에서는 분명히 효과적인 도구입니다.

그러나 VPN이 해결하지 못하는 영역이 있습니다. 제가 공항에서 마주쳤던 것처럼 가짜 로그인 페이지에 사용자가 직접 비밀번호를 입력하는 상황에서 VPN은 그 입력 자체를 막아주지 않습니다. VPN 연결이 시작되기 전에 표시되는 캡티브 포털(Captive Portal), 즉 와이파이 최초 접속 시 강제로 열리는 인증 화면은 VPN 바깥에서 처리되는 경우가 많기 때문입니다. 악성 파일을 내려받는 행위, 이미 감염된 기기, 계정 재사용 비밀번호 문제도 VPN의 보호 범위 밖입니다.

무료라는 이유만으로 정체가 불분명한 VPN 앱을 설치하면 오히려 트래픽이 어떻게 처리되는지, 어떤 데이터가 수집되는지 알기 어렵습니다. 신뢰의 대상이 공용 와이파이 운영자에서 VPN 제공자로 이동하는 셈입니다. 업무용이라면 회사에서 승인한 서비스를 쓰는 편이 맞고, 개인 용도라면 개인정보처리방침과 운영 주체 정도는 확인하는 것이 기본입니다.

작업의 민감도에 따라 연결 수단을 나누는 것이 핵심입니다

저는 공용 와이파이를 무조건 피하는 것도, 아무 확인 없이 쓰는 것도 현실적인 답이 아니라고 봅니다. 위험을 막연하게 과장하거나 지나치게 안심시키는 양극단은 실제 보안 습관을 만드는 데 도움이 되지 않습니다. 제가 정착한 기준은 하나입니다. 지금 하려는 작업이 잘못됐을 때 피해가 얼마나 큰가.

뉴스 검색이나 지도 확인처럼 민감도가 낮은 활동은 정상적인 HTTPS 연결이 확인된다면 공용 와이파이에서도 비교적 부담 없이 할 수 있습니다. 반면 금융 거래, 신분증 이미지 제출, 회사 기밀 자료 전송처럼 문제가 생겼을 때 피해 범위가 넓은 작업은 모바일 데이터나 개인 핫스팟을 쓰는 편이 단순하고 확실합니다. SSID(Service Set Identifier), 즉 와이파이 목록에 표시되는 네트워크 이름은 반드시 안내판이나 직원 확인을 통해 공식 명칭과 일치하는지 먼저 점검합니다.

Windows 노트북이라면 공용 와이파이 연결 시 네트워크 프로필이 '공용 네트워크'로 설정돼 있는지 확인하는 것이 중요합니다. '개인 네트워크'로 잘못 설정하면 같은 와이파이에 연결된 다른 기기가 내 PC를 발견할 수 있는 상태가 됩니다. 인증서 오류나 '안전하지 않은 연결' 경고가 떴을 때 고급 메뉴를 눌러 강제 접속하는 행동은 HTTPS가 제공하는 보호를 사용자가 스스로 해제하는 것과 같습니다. 제 경험상 이 경고가 뜨는 상황에서 강제로 진행해서 좋았던 경우는 한 번도 없었습니다.

2단계 인증(2FA)도 유용하지만 한계가 있습니다. 2FA란 비밀번호 외에 추가 인증 수단을 요구해 계정 탈취를 어렵게 만드는 방식입니다. 그러나 가짜 사이트에 비밀번호와 인증번호를 동시에 입력하는 실시간 피싱 상황에서는 일부 2FA도 무력화될 수 있습니다. 인증 수단보다 접속한 페이지의 도메인 주소를 먼저 확인하는 습관이 더 근본적인 방어선입니다.

자주 묻는 질문

Q. 카페 와이파이에서 로그인하면 비밀번호가 노출되나요?

A. 접속한 사이트가 HTTPS를 사용한다면 비밀번호는 암호화된 상태로 전송되기 때문에 같은 와이파이의 제3자가 내용을 그대로 읽기는 어렵습니다. 다만 연결된 와이파이 자체가 이블 트윈이거나 열린 화면이 가짜 로그인 페이지라면 이야기가 달라집니다. HTTPS 여부보다 네트워크 이름과 페이지 도메인을 먼저 확인하는 것이 우선입니다.

Q. 공항이나 카페 와이파이 인증 화면에서 어떤 정보까지 입력해도 되나요?

A. 이름, 이메일 주소 정도와 약관 동의 체크는 일반적인 인증 범위에 해당합니다. 반면 포털 계정 비밀번호, 카드번호 전체, 주민등록번호처럼 인터넷 접속 자체와 무관한 정보를 요구한다면 입력을 멈추고 해당 시설의 직원에게 공식 접속 방법을 확인해야 합니다. 제가 공항에서 겪었던 상황이 정확히 이 경우였습니다.

Q. VPN을 켜면 공용 와이파이에서 완전히 안전한가요?

A. VPN은 트래픽을 암호화해 네트워크 경로에서의 도청 위험을 줄여주지만, 사용자가 직접 가짜 페이지에 정보를 입력하거나 악성 파일을 내려받는 행위는 막지 못합니다. 특히 VPN 연결이 시작되기 전에 표시되는 캡티브 포털 화면은 VPN 바깥에서 처리됩니다. 따라서 VPN은 유용한 보조 도구이지 모든 위험을 차단하는 완전한 해결책은 아닙니다.

Q. 이블 트윈 와이파이인지 어떻게 구별하나요?

A. 신호 강도나 비밀번호 유무만으로는 구별이 어렵습니다. 가장 확실한 방법은 해당 장소의 벽면 안내문, 영수증, 또는 직원에게 직접 공식 SSID를 확인하는 것입니다. 접속 후 열린 인증 화면이 요구하는 정보의 종류도 단서가 됩니다. 약관 동의 수준을 넘어 계정 비밀번호나 결제 정보를 요구한다면 가짜 화면일 가능성을 염두에 두어야 합니다.

결론

공용 와이파이 보안에 대한 두 가지 극단, 즉 무조건 위험하다는 말과 HTTPS가 있으니 괜찮다는 말은 둘 다 현실의 절반씩만 담고 있습니다. 제가 공항에서 직접 마주친 이블 트윈 상황이 그 증거입니다. 주소창에 자물쇠가 있어도 그 페이지 자체가 진짜인지는 별개의 문제입니다.

실질적인 보안은 특정 앱 하나가 아니라 공식 네트워크 이름 확인, 인증 화면에서 요구하는 정보의 종류 판별, 네트워크 프로필 설정, 보안 경고 무시하지 않기, 작업 민감도에 따른 연결 수단 선택이 겹쳐질 때 만들어집니다. 다음번 공용 와이파이를 사용할 때 한 가지만 챙긴다면, 연결 전에 안내판이나 직원에게 공식 SSID를 먼저 확인하는 것부터 시작해 보시길 권합니다.