제로클릭 공격 입문: 사용자가 누르지 않아도 성립하는 공격

한 문장으로 이해하기

제로클릭(zero-click, 클릭이 필요 없다는 뜻) 공격은 악용에 사용자 상호작용이 필요하지 않은 공격이다. 여기서 사용자 상호작용은 링크를 누르거나 파일을 여는 것처럼 사람이 직접 하는 행동을 뜻한다. 이 강좌를 마치면 세 가지를 할 수 있다. 제로클릭의 정의를 사용자 상호작용 유무로 설명하고, 공개된 픽셀 모뎀 취약점 사례에서 확인 가능한 성립 조건과 결과를 순서대로 말하고, 이 개념의 적용 범위와 한계를 구분하는 것이다. 사전지식은 두 가지면 충분하다. 스마트폰에 보안 업데이트가 주기적으로 배포된다는 사실, 그리고 소프트웨어에는 결함이 있을 수 있다는 사실이다.

왜 필요한가

‘수상한 링크를 누르지 말라’는 조언은 사용자의 행동이 공격의 출발점이라는 전제를 깔고 있다. 제로클릭이라는 이름이 필요한 이유는 그 전제가 항상 성립하지는 않기 때문이다. 사용자의 행동 없이도 성립하는 경우를 설명하려면 별도의 개념이 있어야 한다.

실제 사례가 있다. 구글은 픽셀(Pixel) 기기의 셀룰러 모뎀 취약점 CVE-2026-58704를 다루면서, 이 결함의 악용에는 사용자 상호작용이 필요하지 않다고 밝혔다. 여기서 CVE는 공개적으로 알려진 취약점에 붙이는 고유 번호를 뜻한다. 이 취약점은 피해자가 링크를 누르거나 파일을 열지 않아도 악용될 수 있어 제로클릭 공격에 이용될 수 있다.

어떻게 이루어지는가

공개된 자료가 확인해 주는 범위에서, 이 취약점의 성립 구조는 다음과 같다.

1. 공격자는 대상 기기에 인접한 네트워크 접근을 갖는다.
2. 공격자는 대상 기기에서 기본 권한을 가진 상태에 있다.
3. 추가로 사용자 상호작용은 필요하지 않다.
4. 셀룰러 모뎀 코드의 논리 오류로 권한 검사가 우회될 수 있다.
5. 그 결과 권한 상승(privilege escalation, 원래 가질 수 없던 권한을 얻는 것)으로 이어질 수 있다.

1번의 ‘인접 네트워크 접근’과 2번의 ‘기본 권한’은 공격자 쪽에 요구되는 전제 조건을 가리키는 말이다. 이 조건이 실제 공격에서 어떤 방식으로 확보됐는지는 공개된 자료에 제시되지 않았으므로, 구체적인 공격 절차로 읽지 않아야 한다. 여기서 핵심은 3번이다. 사용자의 클릭이 조건 목록에 들어 있지 않다는 점이 제로클릭을 다른 공격과 구분한다.

하나의 예시로 따라가기

앞의 픽셀 모뎀 사례를 위 조건 목록에 그대로 얹어 보자. 해당 취약점은 픽셀의 셀룰러 모뎀 구성요소에 영향을 준다. 이 부분의 코드에 논리 오류가 있었다는 것이 4번에 해당한다. 그리고 그 오류를 악용하는 데 사용자의 클릭이 필요하지 않았다는 것이 3번에 해당한다.

구글은 이 취약점에 제한적이고 표적화된 악용 정황이 있다고 밝혔다. 배후 행위자는 특정하지 않았다. 미국 사이버보안·인프라보안국(CISA)은 2026년 9월 16일 이 취약점을 알려진 악용 취약점 목록에 추가하고, 연방 민간 행정기관에 2026년 9월 19일까지 조치하도록 요구했다. 즉 이 사례는 교과서 속 가정이 아니라, 구글이 제한적이고 표적화된 악용 정황을 공개한 사안이다.

대응도 같은 자료에서 확인된다. 공개 자료에 따르면 2026-09-05 이상의 픽셀 보안 패치 수준에서 이 결함이 해결됐다. 보안 패치 수준은 기기에 적용된 보안 수정의 기준 버전을 뜻한다.

언제 쓰고 언제 쓰지 않는가

제로클릭은 모든 해킹을 가리키는 말이 아니다. 사용자 상호작용이 필요하지 않은지가 핵심 기준이다. 사용자가 링크를 누르거나 파일을 열어야 성립하는 공격이라면 제로클릭이라 부르지 않는다.

또 제로클릭이라고 해서 조건 없이 아무 기기나 뚫린다는 뜻은 아니다. CVE-2026-58704에는 인접 네트워크 접근과 기기의 기본 권한이라는 조건이 붙었다. 그리고 해당 패치 수준에서 이 결함이 해결됐으므로, 업데이트하지 않은 기기와 업데이트한 기기의 상태는 다르다. 다만 특정 결함 하나가 해결됐다는 사실이 모든 제로클릭 공격을 막는다는 뜻은 아니다.

‘제한적이고 표적화된 악용 정황’이라는 표현도 조심히 읽어야 한다. 이는 구글이 확인한 정황을 그렇게 표현했다는 뜻이며, 피해 규모나 대상 범위를 알려 주는 숫자는 아니다.

핵심 정리와 확인문제

제로클릭 공격의 정의는 하나다. 악용에 사용자 상호작용이 필요하지 않다는 것이다. 그래서 ‘조심하면 안전하다’는 조언만으로는 설명되지 않는다. 이 픽셀 결함에는 해당 보안 패치 수준을 적용하는 조치가 제시됐다.

1. 제로클릭 공격을 다른 공격과 구분하는 핵심 기준은 무엇인가?
2. 픽셀 모뎀 사례가 제로클릭 개념에 해당한다고 말할 수 있는 근거는 무엇인가?
3. ‘제로클릭이면 아무 기기나 조건 없이 공격할 수 있다’는 설명은 왜 틀렸는가?

1번 정답: 악용에 사용자 상호작용이 필요한지 여부다. 사용자가 링크를 누르거나 파일을 열어야 한다면 제로클릭이 아니다.

2번 정답: 이 취약점이 피해자의 클릭이나 파일 열기 없이 악용될 수 있다고 공개됐기 때문이다. 즉 악용에 사용자 상호작용이 필요하지 않았다.

3번 정답: 제로클릭에도 공격자 쪽 전제 조건이 붙기 때문이다. CVE-2026-58704의 경우 인접 네트워크 접근이라는 조건과 대상 기기에서 기본 권한을 가진 상태라는 조건이 함께 제시됐다. 또 2026-09-05 이상의 픽셀 보안 패치 수준에서 이 결함이 해결됐으므로, 기기 상태에 따라 조건도 달라진다.

참고자료

• 제로클릭 공격 입문 참고자료
• 제로클릭 공격 입문 참고자료
• 제로클릭 공격 입문 참고자료