AnyDesk, 안전할까요? 암호화, 2024년 보안 사고, 사기 수법

짧게 답하자면, 그렇습니다. 정당한 목적으로 사용하는 사람들에게 AnyDesk는 합법적이고 대체로 안전한 상용 원격 데스크톱 제품입니다. 정작 이해해야 할 위험은 AnyDesk가 악성코드라는 것이 아닙니다 — 실제로 악성코드가 아닙니다 — 오히려 클로즈드 소스이고 기본적으로 클라우드를 통해 연결을 중개하며, 2024년에 주목할 만한 보안 사고를 겪었고, 사기범들이 가장 즐겨 악용하는 도구 중 하나라는 점입니다. 이어지는 내용은 출처를 바탕으로 한 공정한 그림입니다.

짧은 답변

AnyDesk는 표준적이고 검증된 암호화로 세션을 보호하며, 기대할 만한 수준의 계정 보호 기능을 제공합니다. 헬프데스크와 기업들이 매일 문제없이 사용하고 있습니다. 다만 판단에 영향을 줄 두 가지 유의점이 있습니다. 첫째, 여러분은 독점 클라이언트를 신뢰해야 하며, 기본적으로 연결 중개를 AnyDesk 자체 클라우드에 맡기게 됩니다. 즉 코드를 직접 감사할 수 없고 공급업체의 운영 보안을 그대로 이어받게 되는데, 이는 2024년에 더 이상 추상적인 이야기가 아니게 되었습니다. 둘째, 일반 사용자에게 더 큰 영향을 줄 수 있는 부분으로, AnyDesk는 원격 접근 사기에서 즐겨 이용되는 도구입니다. 두 가지 모두 AnyDesk를 설치하는 것 자체를 위험하게 만들지는 않지만, 둘 다 여러분이 이를 사용하는 방식에 영향을 미칩니다.

AnyDesk가 세션을 보호하는 방법

AnyDesk의 공식 보안 문서에 따르면, 세션은 AEAD를 적용한 TLS 1.2로 보호되며, 엔드포인트를 검증하고 중간자 공격을 방지하기 위한 RSA-2048 비대칭 키 교환, 그리고 256비트 AES 전송 암호화를 사용합니다. 또한 임시 키 교환을 통한 완전 순방향 비밀성(Perfect Forward Secrecy, PFS)도 제공됩니다. 계정 측면에서는 무인 접속을 위한 2단계 인증(TOTP), 연결 가능한 대상을 제한하는 접근 제어 목록/허용 목록(allowlist), 그리고 솔트가 적용된 비밀번호 해싱을 지원합니다. (AnyDesk의 일부 자료는 더 최신 TLS 버전을 언급하기도 하므로, 현재 공식 페이지를 기준으로 삼고 세부 사항은 직접 확인하시기 바랍니다.)

이는 견고하고 업계 표준에 부합하는 보호 조치로, 진지한 경쟁 제품들이 사용하는 수준과 본질적으로 비교할 만합니다. 전송 계층에서는 특별히 우려할 부분이 없습니다. 정작 흥미로운 질문은 암호 스위트가 아니라 신뢰 모델과 인간의 행동에 관한 것입니다.

2024년 AnyDesk 보안 사고: 실제로 무슨 일이 있었나

2024년 초, AnyDesk는 프로덕션 시스템에 영향을 미친 보안 사고를 공개적으로 발표했습니다. Infosecurity Magazine과 Akamai의 보안 분석가들에 따르면, 공격자는 내부 인프라에 접근해 소스 코드와 코드 서명 자료를 탈취했습니다. AnyDesk 측 설명에 따르면, 대응 조치로는 외부 포렌식 전문가 투입, 보안 관련 인증서의 폐기 및 교체, 재서명된 클라이언트 빌드 배포, 그리고 예방 차원의 웹 포털 비밀번호 초기화가 포함되었습니다.

AnyDesk에 공정을 기하자면, AnyDesk는 최종 사용자 기기는 영향을 받지 않았다고 밝혔으며, 자사 시스템은 공격자가 고객의 기기에 접속할 수 있게 해줄 개인 키, 토큰, 비밀번호를 저장하지 않도록 설계되어 있다고 설명했습니다. 정확한 날짜와 수치는 당시 여러 형태로 보도되었으므로, 이 글을 포함한 어느 한 요약본이 아니라 AnyDesk의 공식 공지와 중립적인 보도를 통해 세부 사항을 확인하시기 바랍니다.

솔직한 결론은 “AnyDesk만 유독 안전하지 않다”는 것이 아닙니다. 주요 원격 접근 공급업체는 모두 사고 이력을 가지고 있습니다. 여기서 얻어야 할 교훈은 **공급업체 집중 위험(vendor-concentration risk)**입니다. 세션 중개 인프라를 운영하고 계정 데이터를 보유한 제3자가 있다면, 그곳에서 발생하는 침해는 여러분이 선택하지도, 막을 수도 없었던 침해라는 뜻입니다.

더 큰 위험은 버그가 아니라 사기입니다

대다수 개인에게 AnyDesk와 관련된 가장 큰 위험은 CVE(취약점)와는 아무 관련이 없습니다. 바로 사회공학적 수법입니다. 기술지원 사기범들이 피해자에게 원격 데스크톱 소프트웨어를 설치하도록 유도한 뒤 그 접근 권한으로 금융 계좌를 털어간다고 FBI는 경고했습니다. AnyDesk는 이러한 사기 수법에 끊임없이 등장하며, 바로 그렇게 흔히 악용되기 때문에 AnyDesk 스스로도 악용 방지 안내를 게시하고 있습니다.

왜 하필 AnyDesk일까요? 무료로 다운로드할 수 있고, 몇 초 만에 설치되며 — 결정적으로 — 제어당하는 쪽은 계정을 만들 필요가 없기 때문입니다. 이러한 낮은 진입 장벽은 정당한 지원 업무에는 장점이지만, 사기범들에게는 더없이 좋은 선물입니다. 이들은 표적에게 전화나 이메일로 접근해 긴급한 “문제”를 지어낸 뒤, 전체 원격 제어 권한을 넘기도록 단계별로 유도합니다.

자극적인 헤드라인 속에서 흔히 놓치는 공정한 지적은 바로 이것입니다. 이는 사용상의 위험이지, AnyDesk의 취약점이 아닙니다. 완전히 동일한 수법이 TeamViewer, Chrome Remote Desktop, RustDesk에서도 통합니다. 전화기 너머의 낯선 사람에게 스스로 열쇠를 넘겨준다면 그 어떤 AES도 여러분을 보호해 줄 수 없습니다. 방어 전략이 궁금하다면 원격 데스크톱 사기를 피하는 방법에서 별도로 다루었으며, 같은 논리는 Chrome 원격 데스크톱이 안전한지에도 그대로 적용됩니다.

클로즈드 소스와 클라우드 중개: 신뢰의 문제

바로 이 지점에서 AnyDesk의 방식과 RustDesk의 방식이 갈립니다. 암호화가 훌륭한지 여부가 아니라, 무엇을 그대로 믿어야 하는가 하는 문제에서입니다.

AnyDesk는 독점 소프트웨어입니다. 클라이언트의 소스 코드를 읽거나 직접 빌드하거나 동작을 독립적으로 검증할 수 없습니다. 바이너리가 광고된 대로 동작한다는 것을 AnyDesk를 믿고 받아들여야 합니다. 또한 기본적으로 세션은 AnyDesk의 클라우드를 통해 중개되므로, 해당 인프라의 가용성과 보안은 전적으로 공급업체가 관리할 몫입니다 — 2024년 사고가 이를 여실히 보여주었습니다. AnyDesk의 상위 요금제에서는 온프레미스 어플라이언스를 제공하여, 이를 도입하는 고객에 한해 이 격차를 어느 정도 줄일 수 있습니다.

RustDesk는 이 두 가지 전제 모두에서 정반대 편에서 출발합니다. RustDesk는 AGPL 라이선스로 공개된 오픈소스이므로 클라이언트를 감사하고 직접 빌드할 수 있어, 독점 바이너리를 그대로 믿고 받아들일 필요가 없습니다. 그리고 ID/랑데부 서버와 릴레이를 직접 셀프 호스팅할 수 있으므로, 세션을 중개하는 인프라가 제3자가 아니라 여러분의 것이 됩니다 — 바로 2024년이 구체적으로 드러낸 공급업체 집중 위험에 대한 노출입니다. 이는 데이터 주권 설계도 뒷받침할 수 있지만, 엔드포인트 위치, 데이터 보존, 법적 의무 등은 여전히 별도로 검토해야 합니다.

공정을 기하자면, 이는 신뢰를 없애는 것이 아니라 그 대상을 옮기는 것입니다. 코드가 공개되어 있으므로 RustDesk 역시 자체 결함이 공개적으로 알려지며, 따라서 최신 릴리스와 취약점 기록을 계속 확인해야 합니다. 그리고 감사 가능하고 셀프 호스팅된 인프라는 출발점일 뿐, 보장은 아닙니다. 세션은 여전히 엔드포인트 사이를 직접 오가며, 서버 패치를 적용할 책임은 여러분에게 있습니다.

그래서, AnyDesk는 안전한가요?

의도적이고 정당한 용도로 사용한다면: 그렇습니다. 표준 수준의 암호화와 합리적인 계정 제어를 갖춘 성숙한 제품이며, 매일 대규모로 안전하게 사용되고 있습니다. 지금까지의 기록이 뒷받침하는 만큼, 합리적으로 안전한 도구로 받아들여도 좋습니다.

다만 단서 조항이야말로 솔직하게 짚어야 할 부분입니다. 기본값인 클라우드 중개형, 클로즈드 소스 방식이라는 것은 곧 AnyDesk의 운영 보안을 신뢰해야 한다는 뜻이며, 이는 2024년에 실제로 타격을 입은 바 있습니다. 그리고 실제로 가장 흔하게 발생하는 피해는 설치가 쉽다는 점을 악용하는 사기범들로부터 비롯되며, 이는 암호화의 문제가 아니라 사람의 문제입니다. 이러한 트레이드오프가 마음에 걸린다면, 오픈소스 셀프 호스팅 대안이 신뢰 기반 자체를 바꿔줍니다. 감사 가능한 코드와 직접 통제하는 중개 방식을 얻는 대신, 서버를 직접 운영해야 하는 비용을 감수하는 것입니다.

어떤 도구를 선택하든, 가장 큰 피해를 막아주는 규칙은 가장 비용이 들지 않는 규칙입니다. 상대방이 먼저 여러분에게 연락해서 요청했다는 이유만으로 원격 접근 소프트웨어를 설치하지 마십시오.