만약 여러분의 Mac에서 평소와 다른 이상한 현상들이 나타난다면 어떨까요? 본 적 없는 파일이 생기고, 설치한 기억이 없는 애플리케이션이 나타나거나, 심지어 마우스가 스스로 움직이기도 합니다.
혹시 Mac이 해킹당한 것은 아닐까요?
저는 IT 분야에서 15년의 경력을 가진 전직 Mac 관리자로서, MacBook, iMac 등 macOS가 실행 중인 기기가 침해되었을 가능성이 의심될 때 확인해야 할 사항들을 안내해 드리겠습니다.
이 글에서는 세 가지 상황을 살펴봅니다. 누군가 현재 Mac을 실시간으로 감시하고 있는지 확인하는 방법, 과거에 Mac이 원격으로 침해된 적이 있는지 확인하는 방법, 그리고 향후 무단 원격 접속을 예방하기 위해 운영체제를 보안 강화하는 방법까지 다룹니다.
누군가 내 Mac에 원격으로 접속하고 있는지 확인하는 방법
Mac을 사용하는 도중 누군가 원격으로 접속하고 있다고 의심된다면, 다음과 같은 징후들을 확인해 보세요.
1. 카메라 표시등 확인하기
해커가 소유자 몰래 웹캠을 켜서 카메라에 담기는 모든 것을 지켜보거나, 더 심하게는 녹화까지 한다는 끔찍한 이야기를 들어보셨을 겁니다.
다행히 iMac이나 MacBook처럼 내장 카메라가 있는 Mac에는 카메라 사용 시 초록색으로 켜지는 표시등이 있습니다.
그렇다면 이 표시등은 완벽하게 믿을 수 있을까요?
Apple에 따르면 카메라와 표시등은 직렬로 연결되어 있어, 표시등이 꺼지면 카메라도 함께 꺼진다고 합니다. Apple의 공식 설명은 다음과 같습니다.
"카메라는 카메라 표시등이 함께 켜지지 않으면 작동할 수 없도록 설계되었습니다. 이것이 카메라가 켜져 있는지 확인하는 방법입니다."
하지만 과거에 웹캠 표시등이 비활성화된 사례가 있었던 만큼, 해커가 표시등 LED를 끈 상태로 카메라를 활성화하는 방법을 찾아낼 가능성도 완전히 배제할 수는 없습니다.
LED를 100% 신뢰해서는 안 되지만, 카메라를 사용하는 프로그램을 실행하지 않았는데도 표시등이 켜져 있다면 누군가 다른 사람이 카메라에 접근하고 있을 수 있습니다.
2. Apple Remote Desktop 또는 화면 공유 아이콘 확인하기
Apple Remote Desktop(ARD)은 교사나 IT 관리자 등 권한이 있는 사용자가 다른 Mac 컴퓨터를 모니터링하고 조작하며 제어할 수 있게 해주는 Apple의 원격 제어 소프트웨어입니다.
화면 공유(Screen Sharing) 역시 다른 사람이나 기기에게 컴퓨터 접근 권한을 주는 또 다른 방법입니다.
누군가 ARD나 화면 공유를 통해 여러분의 Mac에 연결하면, macOS는 화면 오른쪽 상단에 화면 공유 아이콘을 표시합니다.
Mac이 잠금 화면(또는 로그인 화면) 상태라면 "화면이 관찰되고 있습니다(Your screen is being observed)"라는 메시지도 함께 표시됩니다.
OS 버전에 따라 이 메시지의 위치는 다릅니다. macOS 12 Monterey에서는 화면 공유 아이콘 옆 오른쪽 상단에 표시되며, 구버전에서는 사용자 계정 목록 위 중앙 부근에 나타납니다.
macOS Monterey에서의 화면은 다음과 같습니다.
이 아이콘이 보인다면 Mac이 감시 중일 수 있습니다.
다만 이 아이콘이 반드시 원격 감시를 의미하지 않는 두 가지 경우가 있습니다.
첫 번째는 AirPlay를 사용해 무선으로 화면을 미러링하는 경우입니다. Apple TV나 기타 AirPlay 호환 기기에 연결하면 macOS는 ARD 및 원격 화면 공유 때와 마찬가지로 화면 공유 아이콘을 표시합니다.
물론 미러링 세션을 직접 시작하지 않았다면 누군가 원격으로 AirPlay를 실행했을 가능성도 있지만, 이미 Mac에 접근 권한이 있는 사람이라면 굳이 AirPlay를 사용할 이유가 없습니다.
두 번째는 화면을 녹화하는 경우입니다. macOS에서 화면 녹화가 가능하다는 것을 알고 계셨나요?
화면 녹화를 시작하는 가장 쉬운 방법은 shift + command + 5 단축키를 누른 후 "녹화" 버튼을 클릭하는 것입니다.
직접 따라 해보면 오른쪽 상단에 정사각형 정지 버튼이 있는 원형 아이콘이 나타납니다. 화면 공유 아이콘은 녹화 진행 중에 화면이 잠길 때만 표시됩니다.
3. 마우스 움직임 및 기타 GUI 이상 동작 살피기
마우스가 스스로 움직이고 있나요?
프로그램이 저절로 열리거나 닫히고 있나요? 입력하지 않은 키 입력이 화면에 나타나고 있나요?
이러한 낯설고 불규칙한 동작들은 누군가 Mac을 원격 제어하고 있다는 신호일 수 있습니다.
다만 Magic Mouse, 무선 키보드, 트랙패드 같은 주변 입력 장치의 오작동도 유사한 증상을 일으킬 수 있으므로, 먼저 이런 장치들이 정상적으로 작동하는지 확인하세요.
4. who 명령어 활용하기
Mac에서 원격 로그인(Remote Login)이 활성화되어 있다면, 누군가 SSH(Secure Shell)를 통해 Mac에 접속하고 있을 수 있습니다.
간단한 확인 방법은 macOS 터미널에서 "who" 명령어를 실행하는 것입니다. Launchpad에서 "Terminal"을 검색해 앱을 실행하세요.
프롬프트에 "who"(따옴표 제외)를 입력하고 return 키를 누릅니다.
터미널에 현재 컴퓨터에 로그인된 모든 사용자가 표시됩니다.
원격 사용자는 IP 주소와 함께 목록에 나타납니다. 위 스크린샷에서는 "jeremiah"라는 사용자가 IP 192.168.1.22에서 연결된 것을 볼 수 있습니다.
Mac이 과거에 해킹당했는지 확인하는 방법
현재 누군가 접속 중인 것은 아니지만, 과거에 원격 접속 기록이 있는지 확인하고 싶다면 다음 몇 가지 방법을 활용할 수 있습니다.
1. 로그 파일 확인하기
터미널에서 다음 명령어를 입력합니다.
log show –last 7d –predicate 'processImagePath CONTAINS "screensharingd" AND eventMessage CONTAINS "Authentication"'
이 명령어는 최근 7일간의 화면 공유 로그 중 인증 관련 메시지를 모두 보여줍니다.
위 예시에서 사용자 'jeremiah'가 IP 주소 192.168.1.22에서 화면 공유 세션 설정을 시도한 것을 확인할 수 있습니다.
2. 새 파일 또는 수정된 파일 찾기
본인이 만들지 않은 새 파일이 보이나요? 수정한 적 없는 파일이 변경되어 있나요?
이것은 누군가 컴퓨터에 접근해 조작했다는 신호일 수 있습니다.
다만 운영체제 자체도 곳곳에 시스템 파일을 생성하므로, 낯선 파일을 발견했다고 해서 즉각 결론 내리지는 마세요.
그럼에도 불구하고 수상한 파일들은 무단 원격 접속의 증거일 수 있습니다.
3. 새 사용자 계정 확인하기
터미널을 다시 열고 다음을 입력합니다.
dscl . list /Users
밑줄(_)로 시작하는 사용자와 daemon, nobody, root는 무시해도 됩니다. 이들은 macOS에 기본 내장된 정상적인 계정입니다.
만약 인식할 수 없는 사용자 계정이 보인다면, 원격 접근 권한을 가진 누군가 해당 계정을 생성해 Mac에 접속하는 데 사용하고 있을 가능성이 있습니다.
4. 멀웨어 검사하기
확인해야 할 또 하나의 항목은 멀웨어입니다.
멀웨어는 다양한 형태로 존재하며, 신원 도용, 봇넷, 갈취 등 여러 목적을 위해 원격으로 컴퓨터에 접근하는 기능을 포함하는 경우가 많습니다.
Bitdefender 백신은 macOS 바이러스 검사 및 보호 분야에서 최고 수준으로 꾸준히 평가받고 있습니다. 유료 소프트웨어이므로 매년 몇몫의 비용을 지출할 준비가 필요합니다.
또 다른 좋은 선택지는 Malwarebytes입니다. Malwarebytes 역시 무료는 아니지만 14일 무료 체험판을 제공하므로, 일회성 검사만 필요하다면 좋은 대안이 될 수 있습니다.
5. 새로 설치된 애플리케이션 찾기
Finder 메뉴에서 이동(Go)을 클릭한 후 응용 프로그램(Applications)을 선택합니다. 목록 보기에서 수정한 날짜(Date Modified)를 클릭해 앱을 정렬하세요.
수상해 보이거나 인식되지 않는 최근 설치 프로그램이 있나요?
있다면 해당 앱 이름을 인터넷 검색 엔진에 입력해 정품 프로그램인지 확인하세요. 정품이 아니라면 삭제합니다.
6. 로그인 항목 점검하기
허가받지 않은 시작 프로그램이 있다면 스파이웨어, 애드웨어 또는 기타 악성 코드가 컴퓨터에 존재한다는 신호일 수 있습니다.
로그인할 때마다 화면 공유를 다시 활성화하는 스크립트처럼 단순하면서도 악의적인 사례일 수도 있습니다.
로그인 시 실행되는 프로그램을 확인하려면 시스템 환경설정(System Preferences)으로 이동해 사용자 및 그룹(Users & Groups) 아이콘을 클릭한 뒤, 오른쪽의 로그인 항목(Login Items) 탭을 선택합니다.
이 화면에는 로그인 시 실행되는 프로그램 목록이 표시됩니다. 인식되지 않거나 필요 없는 항목을 선택한 후 마이너스(-) 버튼을 클릭해 제거하세요.
원격 접근을 차단하는 방법
과거에 누군가 Mac에 접근했을 가능성이 없더라도, 운영체제 설정을 조정해 보안을 강화하는 것은 언제나 좋은 습관입니다. 이를 하드닝(hardening)이라고 하며, 많은 시간이 걸리지 않습니다. 다음 설정들을 확인해 보세요.
1. 카메라 및 마이크 접근 권한 확인하기
시스템 환경설정에서 보안 및 개인 정보 보호(Security & Privacy)를 클릭한 후 개인 정보 보호(Privacy) 탭을 선택합니다.
왼쪽 하단의 자물쇠 아이콘을 클릭하고 인증하여 이 화면의 설정을 변경할 수 있도록 합니다.
왼쪽 목록에서 카메라(Camera)를 찾아 선택합니다. 접근 권한이 있는 앱이 오른쪽에 체크박스와 함께 표시됩니다.
카메라에 접근하지 못하도록 하고 싶은 프로그램의 체크를 해제하세요.
마이크(Microphone)도 동일한 방법으로 점검합니다.
2. 백신 소프트웨어 설치하기
좋은 백신 프로그램은 번거로울 수 있지만, Mac에서 발생할 수 있는 악의적인 활동에 대한 또 하나의 방어선이 됩니다. 추천 제품은 앞서 소개한 내용을 참고하세요.
3. SSH, 화면 공유, 원격 관리 비활성화하기
시스템 환경설정에서 공유(Sharing) 화면으로 이동합니다.
"화면 공유(Screen Sharing)", "원격 로그인(Remote Login)", "원격 관리(Remote Management)" 체크박스를 해제합니다.
이렇게 하면 Mac에 대한 원격 접근이 제한됩니다. 임시로 원격 접속을 허용할 필요가 생기면 언제든 다시 켤 수 있습니다.
자주 묻는 질문(FAQ)
이제 원격 접속의 징후를 파악하고 향후 무단 접근을 막기 위해 Mac을 보안 강화하는 방법을 알게 되었지만, 아직 궁금한 점이 남아 있을 수 있습니다.
Mac도 원격으로 해킹될 수 있나요?
네, Mac도 원격 해킹에 완전히 면역이 되지는 못합니다. SSH가 활성화되어 있다면 관리자 자격 증명을 가진 사람은 Mac 전체를 장악할 수 있는 코드를 원격으로 실행할 수 있습니다.
Mac의 최근 활동 기록은 어떻게 확인하나요?
콘솔(Console) 유틸리티의 system.log 파일이 좋은 출발점입니다. 이 로그 파일에서 특정 키워드를 검색할 수 있습니다. 화면 공유 이벤트를 찾고 있다면 위에서 안내한 명령어를 활용하세요.
여러분의 Mac을 다시 손에 넣으세요
위의 단계를 따라 하면 누군가 Mac에 원격 접속 중인지 식별할 수 있을 뿐만 아니라, 과거의 접속 기록을 확인하고 향후 침해를 예방하기 위해 시스템을 강화할 수도 있습니다.
Mac을 사용할 때 두려워할 필요는 없습니다. 이 가이드를 따르고 기본적인 상식을 활용하면, Mac은 오직 여러분과 여러분이 허락한 사람들만 접근할 수 있다는 확신을 가질 수 있습니다.