접속주소 확인하다 눌러도 되는 것과 안 되는 것: 최신주소 점검 문답

지난달에 도메인 변경 공지를 받고 새 접속주소로 들어갔던 한 이용자는, 페이지가 뜨자마자 연달아 나타난 알림 허용 창과 앱 설치 안내를 별생각 없이 눌렀다. 나중에 조회해 보니 주소 자체는 진짜 최신주소가 맞았다. 문제는 그 위에 얹혀 있던 광고 스크립트였고, 이후 닷새 동안 화면 구석에서 정체불명의 배너가 계속 떴다. 정작 본인은 주소를 잘못 찾은 줄 알고 링크모음만 며칠째 다시 뒤졌다.

토토사이트 주소 확인은 보통 이 주소가 맞느냐 틀리느냐의 문제로만 다뤄진다. 그런데 실제 피해는 주소의 진위보다 확인하는 동안의 손놀림에서 더 자주 난다. 가짜 주소를 걸러내는 눈은 있어도, 그 화면 위에서 무엇을 눌렀는지는 아무도 기록해 두지 않기 때문이다. 아래는 접속주소를 점검하다 보면 거의 반드시 마주치는 질문들을 하나씩 놓고 답을 정리한 문답이다.

Q. 주소가 맞는지 보려면 일단 들어가서 이것저것 눌러봐야 하지 않나요?

순서가 거꾸로다. 접속주소의 진위는 대부분 페이지를 열기 전에, 혹은 열더라도 주소창과 외부 조회만으로 판정된다. 도메인 등록일과 만료일, 인증서 투명성 로그에 남은 발급 시각, 웹아카이브의 과거 스냅샷은 모두 해당 사이트를 클릭하지 않고도 확인할 수 있는 정보다. 페이지 내부의 버튼과 팝업은 판정 근거가 아니라 판정이 끝난 뒤에야 만지는 대상이다.

위험 구간은 페이지가 뜬 뒤 첫 3초에 몰려 있다. 자동 실행 스크립트가 권한 요청 창을 띄우고, 다른 도메인으로 한 번 튕겼다가 돌아오고, 파일 다운로드를 시작하는 구간이 전부 여기다. 가짜 접속주소일수록 첫 화면에서 무언가를 요구하는 비율이 높다. 반대로 오래 운영된 주소는 첫 화면이 단순해서, 로그인 영역 말고는 사용자에게 시키는 일이 거의 없다.

현실적인 배분은 이렇다. 열기 전 외부 조회로 70퍼센트를 판정하고, 열고 나서 주소창 문자열과 화면 구성을 눈으로 훑어 30퍼센트를 채운다. 손가락이 페이지 위에서 하는 일은 그 시점까지 0이어야 한다. 확인 단계와 사용 단계를 섞지 않는 것만으로 대부분의 사고가 사라진다.

Q. 접속하자마자 뜨는 알림 허용 창은 눌러도 되나요?

웹푸시 알림 권한은 한 번 허용하면 그 사이트에 접속하지 않아도 알림을 보낼 수 있게 된다. 주소 안내를 찾는 사람에게 이 권한이 특히 나쁜 이유는, 뒤이어 오는 알림들이 최신주소 변경 안내 같은 제목을 달고 온다는 점이다. 실제 공지와 광고를 구분할 근거가 알림 제목뿐이라 판단이 흐려진다. 허용 직후 하루 10건에서 30건까지 밀려드는 사례가 흔하다.

더 곤란한 건 이 알림이 브라우저 자체의 표준 UI를 쓴다는 것이다. 운영체제 알림 영역에 뜨기 때문에 겉모습만으로는 어느 도메인이 보낸 것인지 흐릿하고, 눌러서 열리는 곳은 대체로 새 도메인의 랜딩 페이지다. 그 주소를 최신주소로 오해하고 즐겨찾기에 넣으면, 검증 안 된 링크가 정리해 둔 주소모음 안으로 슬쩍 들어온다.

대응은 단순하다. 브라우저 설정에서 알림 권한을 기본 차단으로 두면 이 창 자체가 뜨지 않는다. 크롬 계열은 사이트 설정의 알림 항목, 사파리는 웹사이트 탭의 알림 항목에서 한 번에 끌 수 있다. 이미 허용해 둔 도메인이 쌓여 있다면 목록을 열어 낯선 항목부터 지우면 된다.

Q. 전용 앱을 설치하면 주소가 바뀌어도 자동 연결된다는 안내는요?

논리 자체는 그럴듯하다. 도메인 변경이 잦으니 앱이 내부적으로 새 주소를 받아오면 접속 끊김이 없다는 설명인데, 문제는 그 앱이 대체로 공식 스토어 바깥의 설치 파일이라는 점이다. 안드로이드라면 알 수 없는 출처의 앱 설치를 직접 허용해야 하고, 그 스위치를 켜는 순간 이후 다른 악성 설치 파일에도 문이 열린다.

설치 직전에 권한 목록을 한 번 읽어보면 판단이 빨라진다. 주소를 안내하는 기능에 필요한 권한은 사실상 네트워크 접근 하나뿐이다. 그런데 문자 메시지 읽기, 연락처, 다른 앱 위에 표시, 접근성 서비스가 목록에 있다면 용도가 다르다. 접근성 권한은 화면에 표시되는 모든 글자와 입력을 읽을 수 있는 권한이라, 인증번호까지 그대로 노출된다.

대안은 밋밋하지만 안전하다. 확인이 끝난 접속주소를 브라우저 북마크에 넣어 두고, 주소 안내를 받을 경로를 두 곳 이상 확보해 두는 방식이다. 앱 하나로 해결하려다 기기 전체를 거는 것보다, 주소가 바뀌었을 때 10분 더 쓰는 쪽이 싸다.

Q. 접속이 안 될 때 보안 인증서나 프로필을 설치하라고 하면 어떡하죠?

이건 다른 항목들과 급이 다르다. 루트 인증서를 기기에 설치하면 그 인증서를 발급한 쪽이 사용자의 https 통신을 복호화해서 들여다볼 수 있다. 은행 앱이든 메일이든 구분이 없다. 접속 문제를 푸는 데 루트 인증서가 필요한 상황은 사내 관리 기기 말고는 사실상 없다.

iOS의 구성 프로필이나 이름 없는 VPN 프로필도 같은 범주다. 프로필은 DNS 설정을 통째로 바꿀 수 있어서, 사용자가 올바른 도메인을 입력해도 실제로는 운영자가 지정한 서버로 보내진다. 주소창에는 정상 주소가 그대로 보이는데 열리는 화면은 미러사이트인 상황이 이렇게 만들어진다. 주소만 대조하는 검증법이 통하지 않는 유일한 경우다.

Q. 사람인지 확인한다며 키보드를 누르라는 화면은 진짜 캡차인가요?

아니다. 최근 자주 보이는 수법은 캡차 모양의 화면을 띄운 뒤, 로봇이 아님을 증명하려면 키보드 조합을 누르고 붙여넣기 후 실행하라고 안내하는 방식이다. 안내대로 하기 전에 이미 클립보드에는 명령문이 복사되어 있고, 사용자가 직접 그것을 실행해 주는 구조다. 브라우저 보안 경고를 전부 우회하는 이유가 여기 있다. 사용자가 손수 실행하기 때문이다.

판별 기준은 한 줄로 요약된다. 진짜 캡차는 브라우저 안에서 끝난다. 이미지를 고르거나 체크박스를 누르는 것 이상은 요구하지 않으며, 브라우저 바깥의 실행창이나 터미널, 설정 앱을 열라고 시키는 일이 없다. 모바일에서도 같은 원리로, 캡차가 설정 화면 이동이나 파일 열기를 요구하면 그건 캡차가 아니다.

Q. 확인 삼아 아이디와 비밀번호를 한 번 넣어보면 빠르지 않나요?

로그인 성공 여부는 접속주소 진위의 근거가 되지 못한다. 잘 만든 복제 페이지는 입력값을 진짜 서버로 그대로 중계해서 로그인을 성공시킨 뒤 화면까지 정상으로 보여준다. 사용자는 통과했으니 진짜라고 결론 내리고, 그 사이 계정 정보는 중간에서 한 벌 복사된다. 확인 수단으로 자격증명을 쓰는 순간 잃을 수 있는 것과 얻는 정보의 크기가 맞지 않는다.

대신 써먹을 수 있는 신호가 하나 있다. 비밀번호 관리자는 저장된 도메인과 현재 도메인이 정확히 일치할 때만 자동완성을 띄운다. 늘 뜨던 자동완성이 조용하다면, 눈에 보이는 주소가 비슷해 보여도 문자열이 다르다는 뜻이다. 자동완성의 침묵은 경고음보다 조용하지만 정확한 신호다. 이 침묵을 무시하고 손으로 입력하는 순간 유일한 자동 방어선이 사라진다.

Q. 주소모음이나 링크모음 페이지 안에서 클릭하는 건 안전한가요?

허브 페이지의 링크는 목적지로 바로 가지 않고 중간 경유를 거치는 경우가 많다. 클릭 수를 세거나 제휴를 추적하려는 목적이 대부분이라 그 자체가 악의는 아니지만, 화면에 적힌 글자와 실제 도착지가 다를 수 있다는 점은 그대로 남는다. 경유 서버가 나중에 주인이 바뀌면 같은 링크가 전혀 다른 곳을 열기도 한다.

그래서 클릭 전에 목적지를 미리 읽는 습관이 필요하다. PC에서는 링크 위에 커서를 올리면 좌측 하단 상태표시줄에 실제 주소가 뜨고, 모바일에서는 링크를 길게 눌러 미리보기를 열면 된다. 도착한 뒤에는 주소창의 최종 문자열을 메모에 복사해 둔다. 경유 링크를 저장하는 대신 최종 도착 주소만 주소모음에 남기면, 다음번에는 중간 단계를 통째로 건너뛸 수 있다.

우회주소를 다룰 때는 한 단계 더 본다. 우회 경로는 구조상 경유가 많아서, 도착지가 원래 도메인과 이름만 비슷한 다른 곳으로 바뀌어도 알아채기 어렵다. 도착한 페이지의 파비콘, 공지 글의 최근 날짜, 내부 링크가 가리키는 도메인 세 가지를 함께 보면 갈아치운 흔적이 드러난다.

Q. 그럼 확인 과정에서 해도 되는 건 뭐가 남나요?

페이지 바깥에서 하는 조회는 전부 안전하다. 후보 주소의 도메인 등록 정보를 조회해 등록일이 언제인지 보고, 인증서 투명성 로그에서 최근 발급 시각이 공지된 도메인 변경 시점과 하루이틀 안에 맞물리는지 확인한다. 등록한 지 2주도 안 된 도메인이 몇 년 된 사이트의 최신주소라고 안내된다면 그 간극 자체가 질문거리다.

그다음은 교차 확인이다. 성격이 다른 경로 두세 곳에서 같은 문자열이 나오는지 보고, 확장자와 하이픈 위치까지 한 글자씩 대조한다. 이 과정은 전부 읽기만 하는 작업이라 기기에 아무 흔적을 남기지 않는다. 판정이 끝난 뒤 처음으로 주소창에 직접 입력해서 들어가는 것이 마지막 순서다.

Q. 이미 눌러버렸다면 되돌릴 수 있나요?

되돌릴 수 있는 것부터 순서대로 처리하면 된다. 먼저 설치된 앱과 구성 프로필, 신뢰된 인증서 목록을 열어 최근에 추가된 항목을 지운다. 그다음 브라우저 설정에서 알림과 위치 권한이 허용된 도메인 목록을 훑어 낯선 항목을 제거하고, 확장프로그램 목록에서 설치한 기억이 없는 것을 찾는다. 이 세 곳이 실제로 남는 자리다.

비밀번호를 입력했다면 변경은 반드시 다른 깨끗한 기기에서 한다. 감염이 의심되는 기기에서 새 비밀번호를 치면 그것까지 같이 기록된다. 변경 후에는 계정 설정에서 모든 기기 로그아웃을 실행해 기존 세션을 끊고, 2단계 인증이 켜져 있는지 확인한다. 순서를 바꾸면 앞선 작업이 전부 무의미해진다.

Q. 다음부터 같은 상황을 줄이려면 확인 환경을 어떻게 두면 되나요?

검증용 브라우저 프로필을 따로 하나 만들어 두는 방법이 가장 품이 적게 든다. 그 프로필에는 로그인 정보를 저장하지 않고, 알림과 위치와 카메라 권한을 전부 기본 차단으로, 다운로드는 저장 위치를 매번 묻도록 설정한다. 확인 안 된 접속주소는 여기서만 연다. 잘못 눌렀을 때 잃는 것이 프로필 하나로 제한된다.

주소모음 메모에는 주소 옆에 확인한 날짜를 함께 적어 둔다. 앞의 이용자는 그 배너를 지우는 데 사흘을 쓴 뒤로, 새 주소를 받으면 검증용 프로필에서 먼저 열고 날짜를 적는 습관이 생겼다. 30일이 지난 항목만 다시 조회하니 매번 전체를 들여다볼 일도 없어졌다. 주소를 찾는 시간보다 잘못 누른 것을 되돌리는 시간이 훨씬 길다는 걸 한 번 겪으면 순서는 자연히 바뀐다.