평범해 보이는 Mac용 작은 도구를 하나 내려받았다고 해보자. 웹사이트와 아이콘, 기능 모두 특별히 이상해 보이지 않지만 처음 실행하자 관리자 비밀번호를 입력하라는 창이 나타난다. 이런 화면 자체는 드물지 않다. 구성 요소를 설치하거나 시스템 설정을 변경할 때 정상적인 앱도 비밀번호를 요구할 수 있다.
문제는 익숙한 입력창이 경계심을 낮추는 수단으로도 쓰일 수 있다는 점이다. Jamf Threat Labs가 공개한 PamStealer 사례에서는 공격자가 가짜 Maccy 웹사이트를 통해 클립보드 도구로 위장한 프로그램을 유포하고, 공격 과정에 비밀번호 입력 요구를 포함했다. 이 사례가 모든 비밀번호 입력창이 위험하다는 뜻은 아니다. 다만 입력창이 macOS의 정상 절차처럼 보인다는 사실만으로는 지금 눈앞의 앱을 신뢰할 수 없다는 점을 보여준다.
따라서 정말 답해야 할 질문은 “이 비밀번호 입력창이 진짜인가?”가 아니다. “이 앱의 출처를 확인할 수 있는가, 왜 지금 비밀번호가 필요한지 알 수 있는가, 그리고 요구하는 권한이 기능에 맞는가?”라고 물어야 한다. 답이 분명해질 때까지 먼저 취소해도 안전한 판단 시기를 놓치지 않는다. 오히려 아직 확인하지 않은 프로그램에 비밀번호를 넘기는 일을 막을 수 있다.
먼저 취소한 뒤 세 가지를 확인한다
취소를 누른 뒤 곧바로 앱을 악성 프로그램으로 단정할 필요는 없다. 아이콘이나 웹사이트 모양만 보고 추측할 필요도 없다. 출처, 용도, 권한을 차례대로 확인해 이번 요구에 추적 가능한 근거가 있는지만 살펴보면 된다.
출처: 이 앱은 어디에서 받았는가?
이미 컴퓨터에 저장된 파일만 보지 말고 다운로드를 시작한 곳으로 돌아간다. App Store, 개발자의 공식 웹사이트, 공식 GitHub 릴리스 또는 공식 문서에서 직접 연결한 페이지를 통해 받은 파일인지 확인한다. 검색 광고, 낯선 다운로드 사이트, 단축 URL 또는 출처를 추적할 수 없는 전달 파일에서 받았다면 일단 사용하지 않는다.
“웹사이트가 진짜처럼 보인다”는 것은 약한 신호에 불과하다. 도메인, 개발자 이름, 파일명, 버전이 공식 페이지의 정보와 서로 일치해야 한다. 이는 지인의 전화로 위장한 연락을 받았을 때 다른 경로로 다시 확인하는 원칙과 같다. 자세한 방법은 《아는 사람의 전화도 가짜 음성일 수 있다: AI 사칭 전화에 대처하는 3단계》에서도 확인할 수 있다.
용도: 입력창이 무엇을 하려는지 명확히 설명하는가?
비밀번호 입력창이 나타나기 직전에 자신이 무엇을 했는지 떠올린다. 설치나 업데이트 버튼을 눌렀거나 시스템 설정 변경을 시작했다면 입력 요구에 합리적인 맥락이 있을 수 있다. 반대로 앱을 실행하자마자 비밀번호를 요구하거나, 무엇을 바꾸려는지 설명하지 않은 채 “계속하려면 비밀번호를 입력하세요”라고만 한다면 계속 진행할 근거가 부족하다.
앱 이름, 다운로드 URL, 자신이 누른 버튼, 입력창의 전체 문구를 먼저 기록한다. 가능하면 화면도 캡처해 둔다. 이런 기록이 있으면 공식 문서를 다시 확인하거나 가족, IT 담당자, 프로젝트 책임자에게 검토를 요청할 수 있다. 몇 분 뒤 “아마 괜찮아 보였던 것 같다”는 인상만 남는 상황도 피할 수 있다.
권한: 요구 사항이 핵심 기능과 직접 관련되어 있는가?
“이 앱이 유명한가?”만 묻지 말고 왜 이 권한이 필요한지 확인한다. 일부 설치 작업이나 시스템 변경에는 실제로 관리자 비밀번호가 필요할 수 있다. 그러나 그 필요성은 앱의 기능과 공식 설명으로 뒷받침되어야 한다. 간단한 도구가 아무 설명 없이 비밀번호를 요구한다면 먼저 유해성을 입증할 필요는 없다. 근거가 부족하다는 사실만으로도 멈출 이유는 충분하다.
또한 “기능을 위해 특정 macOS 권한이 필요하다”는 것과 “앱이 사용자의 로그인 비밀번호를 알아야 한다”는 것은 같은 말이 아니다. 어느 단계가 실제로 시스템을 변경하는지 확인하는 방법은 《AI가 단축어를 작성해 줄 때는 실제로 실행되는 단계를 먼저 찾자》에서도 참고할 수 있다.
확인을 마쳤다면 세 가지 중 하나만 선택한다
확인의 목적은 모든 앱을 대상으로 완전한 보안 감사를 수행하는 것이 아니다. 지금 눈앞의 단계를 계속 진행해도 되는지 판단하는 것이다. 확인 결과는 다음 세 가지 경로 중 하나에 넣으면 된다.
근거가 있을 때만 계속한다. 다운로드 출처가 공식 경로로 이어지고, 입력창의 용도가 방금 수행한 작업과 일치하며, 요구하는 권한을 기능과 공식 문서로 설명할 수 있을 때만 원래 절차로 돌아가 계속한다. 판단의 근거는 확인 가능한 증거여야 한다. 익숙한 아이콘, 보기 좋은 화면, 많은 사람의 추천만으로는 충분하지 않다.
출처가 불분명하면 사용을 멈추고 공식 경로에서 다시 내려받는다. 검색 결과, 다운로드 사이트 또는 다른 사람이 전달한 파일에서 시작했다면 앱 이름이 정확하더라도 현재 파일을 다시 실행하지 않는다. 개인 기기에서는 먼저 다운로드 URL, 파일명, 버전, 입력창 화면을 기록한다. 그런 다음 기존 파일을 격리 위치로 옮기거나 보안 도구의 안내에 따라 제거하고, 개발자의 공식 웹사이트, 공식 GitHub 또는 App Store에서 새로 받는다. 회사 또는 고객의 기기에서는 파일이나 기록을 직접 삭제하지 않는다. 파일 위치, 다운로드 URL, 화면 캡처를 IT 담당자에게 전달하고 책임자가 보존, 격리 또는 제거 방법을 결정하게 한다. 다시 내려받는다고 해서 기존 파일이 반드시 유해했다는 뜻은 아니다. 추적할 수 없는 출처 구간을 제거하는 조치다.
용도나 권한을 설명할 수 없다면 중단한다. 개인 기기에서는 해당 도구를 일단 사용하지 않고 문서를 확인하거나 대체 도구를 찾을 수 있다. 회사 또는 고객의 기기라면 앱 이름, 다운로드 URL, 버전, 입력창 화면 캡처를 IT 담당자나 프로젝트 책임자에게 전달한다. “누가 설치를 요청했는지, 왜 필요한지, 어떤 변경을 허용하는지” 설명할 수 있는 사람만 마지막 확인을 맡아야 한다. 이런 사람의 확인 지점을 남겨두면 결정을 추적할 수 있고, 업무가 막혔다는 압박 때문에 사용자가 곧바로 비밀번호를 입력하는 상황도 피할 수 있다.
오늘 시작할 수 있는 가장 작은 행동은 한 문장으로 정리된다. 다음에 Mac이 비밀번호를 요구하면 먼저 취소를 누르고 출처, 입력창의 용도, 필요한 권한을 기록한 뒤 다음 단계를 결정한다.
AI 정리 카드
눈앞의 비밀번호 입력 요구를 확인 가능한 결정으로 정리하기
특정 Mac 앱을 평가하고 있다면 아래 문구를 복사해 사용할 수 있다. 신뢰하는 AI 도구에만 붙여 넣고 비밀번호, 계정 정보, 회사 내부 URL을 비롯한 민감한 정보는 삭제한다.
Mac 앱의 비밀번호 입력 요구를 계속 진행해도 되는지 판단하고 있습니다. 먼저 이 앱을 어디에서 내려받았는지, 비밀번호 입력창이 나타나기 전에 제가 무엇을 했는지, 그리고 입력창이 어떤 권한을 얻거나 무엇을 변경하려 한다고 설명하는지 질문해 주세요.
그다음 제가 제공한 정보를 ‘출처, 용도, 권한’ 세 항목으로 정리해 주세요. 화면 구성, 아이콘 또는 앱 이름만으로 안전하다고 판단하지 말고, 제게 비밀번호를 요구하지도 마세요. 어떤 정보에 확인 가능한 근거가 있는지, 어떤 정보에 공식 설명이 더 필요한지, 어떤 사항을 IT 담당자, 개발자 문서 또는 프로젝트 책임자가 직접 확인해야 하는지 알려주세요.
마지막으로 제안을 다음 중 하나의 결정으로 좁혀 주세요. 충분한 근거가 있을 때만 계속하기, 공식 경로에서 다시 내려받기, 또는 일단 중단하고 책임자에게 문의하기입니다. 오늘 바로 할 수 있는 가장 작은 단계도 하나 제시해 주세요.
계정, 개인정보, 회사 기기 또는 시스템 변경과 관련된 상황에서는 사람의 확인 절차를 유지한다. AI가 사용자를 대신해 비밀번호를 입력하거나 권한을 승인하게 해서는 안 된다.
생활 4컷 만화
- 한 여성이 노트북에 나타난 자물쇠 경고를 보고 키보드에 손을 대기 전에 멈춘다.
- 두 손을 거두고 노트북을 반쯤 닫은 뒤 휴대전화로 당시 화면을 남긴다.
- 노트북을 IT 담당자에게 가져가 신뢰할 수 있는 출처와 요청된 권한의 이유를 함께 확인한다.
- IT 담당자가 검증된 대체 파일과 격리된 원본을 분리해 둔 뒤, 여성은 다음 행동을 결정한다.
참고 자료
Jamf Threat Labs：PamStealer: macOS Malware Posing as Clipboard Manager App — https://www.jamf.com/blog/pamstealer-macos-infostealer-applescript-rust/（2026-07-02）
Ars Technica：Newly discovered PamStealer isn’t your typical macOS malware — https://arstechnica.com/security/2026/07/new-pamstealer-macos-malware-uses-clever-tradecraft-to-remain-stealthy/（2026-07-03）
The Hacker News：PamStealer Uses Fake Maccy Sites and PAM Checks to Steal Mac Login Passwords — https://thehackernews.com/2026/07/pamstealer-uses-fake-maccy-sites-and.html（2026-07-03）
