RustDesk와 원격 접속 사기: 우리의 대응

RustDesk는 합법적인 오픈소스 원격 접속 소프트웨어이지만, 합법적인 소프트웨어라도 악용될 수 있습니다. 사기범은 피해자에게 전화를 걸어 긴급한 문제가 있는 것처럼 꾸며내고, 그 사람을 설득해 원격 제어 도구를 설치하고 접속 권한을 부여하게 만들 수 있습니다. RustDesk도 이러한 위험에서 예외가 아니며, 기만을 통해 얻어낸 동의는 암호화로 해결할 수 있는 문제가 아닙니다.

이에 대한 저희의 대응은 그 경로의 여러 지점—웹사이트, Android 피제어 기기 흐름 내부, 주요 배포 채널, 퍼블릭 서버—에 경고문과 마찰(진입 장벽)을 두는 것이었습니다. 이러한 조치는 정상적인 사용자에게도 불편을 줍니다. 이 글에서는 저희가 무엇을 했는지, 왜 그렇게 했는지, 그리고 그 한계가 어디에 남아 있는지를 설명합니다.

RustDesk는 원격 접속 사기에 대해 어떤 조치를 취했나요?

이는 위험을 줄이기 위한 조치일 뿐, RustDesk가 사기로부터 완전히 안전하다는 주장이 아닙니다.

잠재적 피해자가 마주할 수 있는 경고문

RustDesk 지원 페이지는 명확한 사기 경고문으로 시작합니다. 이 페이지는 알지도 못하고 신뢰하지도 않는 상대방과 통화 중이며 RustDesk 설치를 요청받은 사람에게 즉시 중단하라고 알립니다. RustDesk GitHub 저장소 역시 무단 접속, 제어, 사생활 침해에 대한 오남용 면책 조항을 명시하고 있습니다.

이 경고문은 GitHub Releases를 통해 배포되는 공식 Android 클라이언트 내부에도 포함되어 있습니다. 피제어 대상이 될, 로그인하지 않은 Android 기기에서 **서비스 시작(Start service)**을 탭하면, 화면 캡처 서비스가 시작되기 전에 경고문이 표시됩니다. 이 경고문은 낯설고 신뢰할 수 없는 전화 상대방의 지시를 받은 사용자에게 중단하고 전화를 끊으라고 알립니다. 공식 빌드에서는 사용자가 계속 진행하기 전에 카운트다운이 부과됩니다. 현재 피제어 측 흐름과 영문 경고 문구 모두 오픈소스 저장소에서 확인할 수 있습니다.

이 배치는 중요한 의미를 가집니다. 일반적인 보안 페이지는 제품을 조사하는 사람에게 닿을 수 있지만, 서비스 시작 단계의 경고문은 Android 세션 수신이 가능해지려는 바로 그 순간에 당사자에게 닿습니다. 다만 이것으로도 설득력 있는 상대방을 의심하도록 그 사람에게 강제할 수는 없습니다.

RustDesk가 Google Play에 없는 이유

2023년 9월 3일, RustDesk 공식 X 계정은 다음과 같이 밝혔습니다. “사용자를 노린 추가적인 사기를 막기 위해 RustDesk를 Google Play에서 일시적으로 내렸습니다.” 이 링크와 문구는 답변이 달린 GitHub Discussion #5660에도 그대로 남아 있으며, 현재 RustDesk FAQ에서도 사기 문제로 인해 프로젝트가 스스로 Google Play에서 내려왔다고 명시하고 있습니다.

따라서 RustDesk는 현재 Google Play를 통해 배포되지 않습니다. 이는 Android 클라이언트가 악성코드라거나, 이를 설치하는 모든 사람이 위험에 처한다는 주장이 아니었습니다. 이는 사기 지시에서 흔히 사용되는 경로를 줄이기 위한 배포 방식의 결정이었습니다.

이러한 트레이드오프는 실재합니다. Google Play를 떠나면 정상적인 사용자 입장에서 검색성, 익숙한 설치 방식, 스토어 자동 업데이트가 줄어듭니다. 현재 Android 빌드는 공식 RustDesk GitHub 릴리스와 F-Droid에서 받을 수 있습니다. 다운로드 대상은 반드시 스스로 확인하십시오. 요청하지 않은 지원 전화를 건 상대방이 보낸 다운로드 링크로 APK를 설치하지 마십시오. 저희 Android 및 iOS 가이드에서 현재 모바일 기능과 설치 출처를 확인할 수 있습니다.

퍼블릭 서버가 로그인을 요구하는 이유

RustDesk의 현재 퍼블릭 서버 로그인 가이드에 따르면, 지속적인 사기 및 봇넷 악용으로 인해 컨트롤러(제어) 측 로그인이 필요합니다. 로그인은 무료이며 Google이나 GitHub 같은 지원되는 서드파티 자격 증명 제공자를 사용합니다. 퍼블릭 서버에서는 별도의 사용자 이름과 비밀번호는 제공되지 않습니다. 가이드에 따르면 현재는 컨트롤러 측만 로그인이 필요합니다.

이는 신원 확인 단계를 추가하고, RustDesk가 데모 및 테스트 목적으로 운영하는 인프라에 대한 일부 익명 접속을 없앱니다. 이는 개인(프라이빗) RustDesk 서버에는 적용되지 않으며, 다른 인프라를 사용하거나 새 계정을 만드는 사기범을 막을 수는 없습니다.

이로 인해 혼란도 발생했습니다. 새 로그인 오류에 관한 Reddit 논의에서 일부 정상적인 사용자들은 로그인 단계를 이해하고 완료하기 전까지 집이나 가족의 기기에 접속할 수 없었다고 밝혔습니다. 서드파티 계정 연동에 반대하는 의견도 있었습니다. 이러한 의견들이 이 제한 조치가 사기범에게 효과가 있는지 없는지를 입증하는 증거는 아니지만, 운영상의 비용을 분명히 보여줍니다. 마찰을 유발하는 악용 방지 조치라면 그 비용을 솔직하게 인정해야 합니다.

피제어 RustDesk 기기는 어떻게 보호해야 하나요?

플랫폼 차원의 제한은 하나의 방어 계층에 불과합니다. 피제어 기기의 소유자나 관리자는 누가 접속할 수 있는지, 그리고 탈취된 자격 증명으로 무엇을 할 수 있는지도 함께 줄여야 합니다.

1. 강력하고 고유한 영구 비밀번호 설정

무인 접속의 경우, 피제어 기기의 RustDesk 보안 설정에서 강력하고 고유한 영구 비밀번호를 설정하십시오. 운영체제 로그인 비밀번호, 이메일 비밀번호, 다른 서비스에서 사용 중인 비밀번호를 재사용하지 마십시오. 비밀번호가 노출되었을 가능성이 있다면 즉시 변경하십시오.

사용자가 자리에 있는 상태에서 지원하는 경우에는, 가능하다면 임시 일회용 비밀번호나 명시적인 클릭 승인 방식을 우선적으로 사용하십시오. 강력한 영구 비밀번호는 추측 공격, 크리덴셜 스터핑(credential stuffing), 비밀번호 재사용 위험을 줄여줍니다. 다만 피해자가 그 비밀번호를 전화 상대방에게 직접 불러 준다면 아무런 도움이 되지 않습니다.

2. 피제어 기기에서 2단계 인증(2FA) 활성화

RustDesk는 피제어 기기로 들어오는 연결에 대해 TOTP 기반 2단계 인증(2FA)을 제공합니다. 연결을 수락할 기기에서 보안 설정을 열고 2FA를 활성화한 뒤, 인증 앱으로 QR 코드를 스캔하고 6자리 코드로 설정을 확인하십시오.

활성화하면 일반 연결 비밀번호를 입력하는 것만으로는 충분하지 않습니다. 피제어 기기가 세션을 승인하기 전에 컨트롤러 측에서도 현재의 6자리 TOTP 코드를 함께 제공해야 합니다. 이 기능은 원래 무인 접속용 2FA로 도입되었으며, TOTP 구현 코드는 공개되어 있습니다.

RustDesk는 원하는 경우 특정 컨트롤러 기기를 신뢰하도록 설정해 이후의 2FA 요청을 건너뛸 수 있습니다. 가장 엄격한 보안을 원한다면 이 우회 기능을 비활성화된 상태로 두십시오. 사용하는 경우에는 신뢰할 수 있는 기기 목록을 주기적으로 검토하고, 분실했거나 교체했거나 공유했거나 더 이상 승인되지 않은 기기는 목록에서 제거하십시오.

2FA는 추측당했거나 재사용되었거나 노출된 비밀번호로부터 보호해 줍니다. 다만 사용자가 사기범에게 비밀번호와 현재 인증 코드를 모두 직접 알려주는 경우까지는 막을 수 없습니다.

3. IP 허용 목록으로 수신 연결 제한

RustDesk 인터페이스에서는 이 기능을 IP Whitelisting이라고 부릅니다. 쉽게 설명하면 IP 허용 목록으로, 피제어 기기는 비밀번호 및 2FA 인증 단계에 앞서 설정된 목록에 없는 출발지 주소의 연결을 거부합니다.

설정 위치는 다음과 같습니다.

• 데스크톱 피제어 기기: 설정(Settings) → 보안(Security) → 보안(Security) → Use IP Whitelisting
• 모바일 피제어 기기: 설정(Settings) → 화면 공유(Share screen) → Use IP Whitelisting

이 설정은 개별 IPv4 또는 IPv6 주소와 CIDR 범위를 모두 지원합니다. CIDR은 네트워크 주소와 프리픽스 길이를 결합한 표기법입니다. 프리픽스는 앞쪽 몇 비트가 고정되어 있는지를 나타내며, 프리픽스 값이 클수록 허용 범위는 더 좁아집니다.

• 203.0.113.10 또는 203.0.113.10/32: IPv4 주소 1개.
• 203.0.113.0/24: 203.0.113.0부터 203.0.113.255까지 IPv4 주소 256개.
• 2001:db8::10/128: IPv6 주소 1개.
• 2001:db8:1234::/64: IPv6 서브넷 1개.

이 값들은 문서에서만 사용하는 예시 범위이므로 그대로 복사해 사용하지 마십시오. 실제 컨트롤러의 주소나 네트워크 대역을 입력하십시오. 여러 항목을 입력할 때는 쉼표, 세미콜론, 공백, 줄바꿈으로 구분할 수 있습니다. RustDesk는 이 설정을 고급 클라이언트 설정 레퍼런스에서 문서화하고 있으며, 피제어 측 적용 로직은 소스 코드에서 확인할 수 있습니다.

실용적인 범위 중 가장 좁은 범위를 사용하십시오. 고정된 사무실 아웃바운드(egress) 주소나 알려진 VPN 대역은 좋은 후보입니다. 반면 유동적인 가정용 주소나 이동 중인 컨트롤러는 적합하지 않습니다. NAT, VPN, 직접 연결, 릴레이 등 사용 중인 네트워크 구성에서 RustDesk가 실제로 어떤 출발지 주소를 인식하는지 확인하고, 현재 작업 중인 세션을 종료하기 전에 다른 세션에서 새 규칙을 테스트하십시오. 잘못된 주소나 CIDR을 설정하면 정상적인 지원 담당자마저 접속할 수 없게 될 수 있습니다.

허용 목록은 연결이 시작될 수 있는 위치를 좁혀줄 뿐입니다. 비밀번호나 2FA를 대체하지 않으며, 이미 허용된 네트워크에서 활동 중인 악의적인 컨트롤러를 막을 수는 없습니다.

이러한 조치로 할 수 없는 것

경고문, 스토어 철수, 로그인 요건, 강력한 비밀번호, 2FA, IP 허용 목록은 각각 공격자의 기회를 일부씩 줄여줍니다. 그러나 그 무엇도 사회공학적 기법이라는 핵심 위험을 없애지는 못합니다. 사람은 여전히 설득당해 접속을 승인하거나 모든 인증 요소를 알려줄 수 있습니다.

셀프 호스팅 역시 악용을 완전히 불가능하게 만들지는 못합니다. 셀프 호스팅은 조직이 자체 RustDesk 서버와 정책을 통제할 수 있게 해 주지만, 사기범 역시 개인 인프라를 운영하거나 변조된 클라이언트를 배포할 수 있습니다. RustDesk 퍼블릭 서버의 제한 조치가 모든 셀프 호스팅 배포 환경에 자동으로 적용되는 보호 장치라고 오해해서는 안 됩니다.

낯선 전화 상대방이 RustDesk를 설치하라거나, 서비스를 시작하라거나, 비밀번호를 알려달라거나, 2FA 코드를 공개하라거나, 은행 사이트를 열라고 요구한다면 즉시 멈추십시오. 특정 업체에 치우치지 않은 저희 가이드 원격 데스크톱 사기를 알아채고 예방하고 복구하는 방법에서 경고 신호와 이미 접속 권한을 넘겨준 경우 취해야 할 조치를 설명합니다.

이 문제에 대한 책임은 하나의 설정값이나 선의를 담은 선언문으로 끝나지 않습니다. 이는 사용자에게 지속적으로 경고하고, 악용을 막기 위해 필요한 곳에서는 기꺼이 마찰을 감수하고, 기술적 통제 수단을 제공하고, 그 한계를 명확히 문서화하며, 공격자의 수법이 변화함에 따라 대응 방식도 계속 바꿔 나가는 지속적인 작업입니다.