터미널에 명령어를 붙여넣었나요? 지금 Mac을 확인하세요.

1붙여넣은 한 줄이 하는 일

2025년 말부터 AI 도구를 사칭한 가짜 페이지와 "Mac 정리" 검색 광고가 Mac 사용자에게 터미널을 열고 한 줄을 붙여넣으라고 요구해 왔습니다. Sophos는 2025년 11월부터 2026년 2월 사이에 이 방식으로 MacSync 정보 탈취 악성코드를 설치한 캠페인 세 건을 추적했습니다. 이 한 줄은 스크립트를 내려받고, Mac의 암호를 묻고, 키체인 데이터와 저장된 로그인 정보, 암호화폐 지갑의 복구 문구를 가져갑니다(The Hacker News, 2026년 3월 16일). Microsoft도 Atomic(AMOS), MacSync, DigitStealer 탈취 악성코드에 같은 미끼가 쓰이며, 검색 광고를 거쳐 들어오는 경우가 많다고 보고했습니다(Microsoft 보고서에 관한 Security Affairs 기사, 2026년 2월 4일).

아무 경고도 없었던 이유: macOS는 인터넷에서 내려받은 소프트웨어를 처음 열기 전에 확인을 요청합니다(Apple 플랫폼 보안). 파일이 인터넷에서 왔다는 사실은 브라우저가 붙이는 격리(quarantine) 표시로 알아냅니다. 터미널에서 curl로 받은 파일에는 이 표시가 붙지 않을 수 있고(MITRE ATT&CK T1553.001), bash로 바로 넘긴 스크립트는 앱으로 열리는 일 자체가 없으므로 확인 창이 나타나지 않습니다.

이런 줄은 보통 다음 중 하나처럼 생겼고, 가운데에 웹 주소가 있습니다:

• curl -fsSL https://… | bash
• bash -c "$(curl -fsSL https://…)"
• echo … | base64 -d | sh

2확인 1: 로그인 항목과 백그라운드 앱

시스템 설정 → 일반 → 로그인 항목 및 확장 프로그램을 여세요(macOS 14 이하: 로그인 항목). 로그인 시 열기와 백그라운드에서 허용을 살펴보세요.

알아보지 못하는 항목은 자세히 볼 가치가 있습니다. 특히 이름이 이상하거나, 개발자가 표시되지 않거나, 명령어를 붙여넣은 날 나타난 항목이라면 더욱 그렇습니다. 백그라운드 항목을 끄면 다시 시작되지는 않지만, 삭제되는 것은 아닙니다.

3확인 2: 실행 에이전트와 데몬

스스로 시작하는 프로그램은 세 폴더 중 한 곳에 작은 파일을 남깁니다. 다음 명령어는 이 파일들을 최신순으로 보여 줍니다:

ls -lt ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

대부분의 이름은 com.company.app.plist처럼 생겼습니다. 명령어를 붙여넣은 날 전후의 날짜가 찍힌 파일, 내 Library 폴더 안에 있는데 Apple을 흉내 낸 이름(com.apple…), 무작위 문자로 된 이름을 찾아보세요. 어떤 프로그램을 시작하는 파일인지 보려면 NAME을 파일 이름으로 바꾸세요:

plutil -p ~/Library/LaunchAgents/NAME.plist

4확인 3: 셸 시작 파일

셸은 터미널이 열릴 때마다 이 파일들을 실행하므로, 탈취 악성코드가 여기에 한 줄을 숨길 수 있습니다. 다음은 각 파일이 마지막으로 바뀐 시점을 보여 줍니다:

ls -lT ~/.zshrc ~/.zprofile ~/.bash_profile ~/.bashrc ~/.profile 2>/dev/null

직접 고친 기억이 없는 날짜에 바뀐 파일이 있다면 마지막 줄들을 확인하세요:

tail -n 20 ~/.zshrc

직접 쓰지 않은 줄 중에 curl, base64, osascript 또는 웹 주소가 들어 있다면 문제의 흔적입니다.

5확인 4: 붙여넣은 내용

터미널은 실행한 줄을 기록해 둡니다. 다음은 무언가를 내려받거나 디코딩한 최근 30줄을 보여 줍니다:

grep -E 'curl|wget|base64|osascript' ~/.zsh_history | tail -n 30

6확인 5: macOS가 허용하지 않는 앱

macOS의 Gatekeeper는 응용 프로그램 폴더의 앱 중 허용하지 않는 앱(확인된 개발자가 서명하지 않았거나 Apple의 확인을 거치지 않은 앱)을 알려 줄 수 있습니다:

for a in /Applications/*.app; do spctl -a "$a" 2>/dev/null || echo "Not accepted: $a"; done

오래된 앱이나 오픈 소스 앱이 여기에 나타나도 괜찮은 경우가 있습니다. 설치한 기억이 없는 앱이 문제입니다. 다운로드 폴더도 최신순으로 같은 방식으로 눈으로 확인하세요:

ls -lt ~/Downloads | head -n 20

7확인 6: 원격 접근과 프로파일

시스템 설정 → 일반 → 공유를 여세요. 화면 공유, 원격 로그인, 원격 관리, 파일 공유는 직접 쓰는 경우가 아니라면 꺼져 있어야 합니다.

그다음 시스템 설정 → 일반 → 기기 관리를 여세요(이전 macOS: 개인정보 보호 및 보안 → 프로파일). 직접 설치하지 않은 프로파일은 웹 사용 내용을 다른 사람의 서버로 보내거나 그들의 인증서를 신뢰하게 만들 수 있습니다. 학교나 회사에서 설치한 것이 아니라고 확신할 때만 제거하세요.

8확인 7: 인터넷과 통신 중인 프로그램

다음은 프로그램별로 열려 있는 인터넷 연결 수를 셉니다:

lsof -nP -iTCP -sTCP:ESTABLISHED | awk 'NR>1 {print $1}' | sort | uniq -c | sort -rn

브라우저, Mail, 메시지, iCloud는 정상입니다. 모르는 이름이나 osascript, python3, curl 같은 스크립트 실행기가 연결을 잡고 있다면 살펴볼 가치가 있습니다. 다른 컴퓨터의 연결을 기다리는 프로그램을 보려면:

lsof -nP -iTCP -sTCP:LISTEN

9무언가 발견했다면

1. 연결 끊기: Wi-Fi를 끄고 네트워크 케이블을 모두 뽑으세요.
2. 다른 기기에서 Apple 계정, 이메일, 은행 암호부터 바꾸고, 다른 모든 세션에서 로그아웃하고, 2단계 인증을 켜세요.
3. 이 Mac에 복구 문구나 키가 있었던 암호화폐 지갑은 모두 잃은 것으로 보세요. 깨끗한 기기에서 새 지갑을 만들고 자금을 옮기세요. 탈취 악성코드가 이미 문구를 가지고 있을 수 있고, 전송은 되돌릴 수 없습니다. 암호화폐 지갑 보안을 참고하세요.
4. 발견한 것 제거하기: 활성 상태 보기에서 종료하고, 실행 에이전트 파일과 앱을 삭제한 뒤 재시동하세요. 모두 찾았는지 확신이 없다면 문서(앱은 제외)를 백업하고 Mac을 지우세요: 시스템 설정 → 일반 → 전송 또는 재설정 → 모든 콘텐츠 및 설정 지우기.
5. 악성코드가 차단되어 휴지통으로 이동되었다는 알림을 봤나요? Mac에 내장된 보호 기능인 XProtect가 알아본 파일을 제거한 것입니다. 좋은 일이지만, 파일이 어디서 왔는지 확인하세요. 같은 사이트가 다른 것도 보냈을 수 있습니다. Mac 내장 보호 기능이 하는 일을 참고하세요.

10다음에 터미널에 무언가 붙여넣기 전에

• 사이트 주소는 직접 입력하세요. 광고나 채팅 속 링크를 따라가지 마세요.
• 붙여넣기 전에 그 줄을 읽어 보세요. | sh, | bash, base64, osascript는 무언가를 실행한다는 뜻입니다.
• 웹사이트, 캡차, "깨진" 다운로드를 진짜로 고치는 데 터미널이 필요한 경우는 없습니다.
• 어떤 줄이 암호를 묻는다면 멈추고, 그 암호가 무엇에 쓰이는지 스스로 물어보세요.

11자주 묻는 질문

Mac이 해킹당했습니다. 무엇부터 해야 하나요?

인터넷 연결을 끊은 다음, 다른 기기로 Apple 계정, 이메일, 은행 암호를 바꾸고 다른 모든 세션에서 로그아웃하세요. 복구 문구가 Mac에 있었던 암호화폐는 깨끗한 기기에서 만든 새 지갑으로 옮기세요. 그런 다음 이 페이지의 확인 절차를 따르거나 Mac을 지우세요.

지금 내 Mac이 해킹당했는지 어떻게 알 수 있나요?

알아보지 못하는 로그인 항목이나 실행 에이전트, 직접 바꾸지 않은 셸 파일, macOS가 허용하지 않는 앱, 인터넷에 연결된 낯선 프로그램을 찾아보세요. 내가 띄우지 않은 암호 요청이나 저절로 바뀐 브라우저 설정도 신호입니다.

macOS가 악성코드를 차단하고 휴지통으로 옮겼다고 합니다. 안전한가요?

XProtect가 알려진 악성 파일을 알아보고 실행되기 전에 제거했다는 뜻입니다. 파일이 어디서 왔는지 확인하고 위의 확인 절차를 따르세요. 같은 사이트나 이메일이 XProtect가 알아보지 못한 것을 보냈을 수도 있습니다.

터미널에 명령어를 붙여넣어도 안전한가요?

사이트 주소를 직접 입력해 들어갔고 그 줄이 무엇을 하는지 알 때만 안전합니다. 광고, 팝업, "사람인지 확인" 페이지, 채팅에서 받은 줄은 절대 붙여넣지 마세요. 내려받은 것을 sh나 bash로 넘기거나, base64를 디코딩하거나, 암호를 묻는다면 멈추세요.

Mac을 지워야 하나요?

발견한 것을 식별하고 제거할 수 없거나, Mac에 가치가 큰 복구 문구나 키가 있었다면 지우는 것이 안전합니다. 앱이 아닌 문서를 백업하고, 처음부터 다시 로그인하세요.