"검색창 맨 위에 떴는데 가짜?"…'클로드' AI 사칭 피싱 주의보

구글 검색 광고 악용해 공식 홈페이지 밀어내고 최상단 노출

'클릭픽스' 기법으로 사용자 실수 유도해 악성코드 유포

안랩 "검색 순위 맹신 금물, 반드시 도메인 주소 확인해야"

[서울=뉴시스] 클로드 다운로드 페이지 위장 피싱 사이트. (사진=안랩 제공) 2026.04.22. [email protected] *재판매 및 DB 금지

[서울=뉴시스] 신효령 기자 = 세계적 인기를 끌고 있는 생성형 AI 서비스 '클로드'를 사칭해 개인정보를 탈취하는 피싱 사이트가 기승을 부리고 있는 것으로 나타났다.

안랩은 클로드 공식 홈페이지를 정교하게 모방해 악성코드를 유포하는 사례를 발견했다고 22일 밝혔다.

이번 공격은 특히 사용자들이 신뢰하는 구글 검색 결과 상단을 점령하는 방식을 사용해 피해 규모가 커질 우려가 있다.

공격자들은 구글 검색 광고 서비스를 이용해 '클로드 앱(claude app)', '클로드 데스크톱(claude desktop)' 등의 키워드 검색 시 피싱 사이트가 최상단에 노출되도록 조작했다.

대다수 사용자가 검색 결과 상단에 위치한 사이트를 공식 홈페이지로 신뢰한다는 점을 노린 교묘한 수법이다. 해당 사이트에 접속하면 '클로드를 데스크톱에서 이용해 보세요'라는 문구와 함께 운영체제별 다운로드 버튼이 나타나 사용자를 안심시킨다.

[서울=뉴시스] 클로드 설치 방법 안내를 가장해 악성 명령 실행을 유도하는 화면. (사진=안랩 제공) 2026.04.22. [email protected] *재판매 및 DB 금지

사용자가 다운로드 버튼을 클릭하면 실제 설치 파일 대신 '설치 안내' 팝업창이 뜬다. 안내문은 특정 명령어를 복사해 PC 시스템(터미널 등)에 붙여넣어야 설치가 시작된다고 속인다.

사용자가 이 지시를 따르는 순간 PC에는 정보 탈취형 악성코드가 심어진다. 이 악성코드는 PC 내 파일은 물론 브라우저에 저장된 비밀번호, 암호화폐 지갑 정보 등을 탈취해 공격자의 서버로 전송한다. 안랩은 이를 사용자가 직접 악성 명령을 실행하게 만드는 '클릭픽스(ClickFix)' 기법이라고 설명했다.

안랩은 피해 예방을 위해 ▲공식 경로(URL 확인)를 통한 다운로드 ▲PC 및 브라우저 최신 보안 패치 적용 ▲백신(V3 등) 실시간 감시 활성화 ▲출처 불분명한 명령어 실행 금지 등 기본 보안 수칙을 준수해야 한다고 당부했다.

김동현 안랩 매니저는 "검색 결과 상단 노출 여부와 상관없이 도메인 주소를 반드시 확인해야 한다"며 "특히 웹사이트에서 시스템 명령어를 복사해 붙여넣으라고 요구하는 경우 100% 피싱을 의심해야 한다"고 강조했다.

[서울=뉴시스] 검색 결과 최상단에 노출된 클로드 사칭 피싱 사이트. (사진=안랩 제공) 2026.04.22. [email protected] *재판매 및 DB 금지

◎공감언론 뉴시스 [email protected]