공공와이파이가 위험하다는 말, 2026년에는 절반만 맞습니다

카페나 공항에서 무료 와이파이에 연결할 때 한 번쯤 멈칫하게 됩니다. "여기서 은행 앱 켜도 되나" 하는 생각 때문입니다. 이 불안의 근거는 대개 십 년쯤 전에 널리 퍼진 설명입니다. 같은 와이파이에 붙은 누군가가 내 통신을 들여다보고 아이디와 비밀번호를 훔쳐 간다는 이야기입니다.

그 설명은 당시에는 맞았습니다. 문제는 그 사이에 웹이 통째로 바뀌었다는 것입니다. 2026년 기준으로 다시 확인해보니, 통념은 절반만 맞았습니다. 도청 위험은 실제로 크게 줄었습니다. 대신 위험이 사라진 게 아니라 다른 곳으로 옮겨갔습니다.

도청이 어려워진 이유는 숫자로 남아 있습니다

핵심은 HTTPS입니다. 주소창의 https://는 내 기기와 서버 사이의 통신을 암호화합니다. 암호화가 걸려 있으면 같은 와이파이에 붙은 사람이 통신을 가로채도 내용은 읽을 수 없습니다.

구글이 2025년 크롬 보안 블로그에서 공개한 수치를 보면, 공개 사이트 기준 HTTPS 적용률은 윈도우 98%, 리눅스 약 97%, 안드로이드와 맥은 99%를 넘습니다. 2015년에 30~45% 수준이었던 것을 감안하면 웹의 기본값이 통째로 바뀐 셈입니다.

그래서 구글은 크롬의 동작 자체를 바꾸기로 했습니다. Always Use Secure Connections라는 설정이 있는데, 이걸 켜두면 크롬이 모든 접속을 HTTPS로 먼저 시도하고 암호화되지 않은 공개 사이트로 넘어가기 전에 확인을 묻습니다. 이 설정이 2026년 4월 크롬 147에서 향상된 보호 모드 사용자(약 10억 명)에게 먼저 적용되고, 2026년 10월 크롬 154에서 전체 기본값이 됩니다.

그런데 크롬은 왜 굳이 기본값을 바꿀까요

여기가 이 글에서 제일 중요한 부분입니다. 98%가 이미 암호화돼 있다면 나머지 2%는 그냥 둬도 되는 것 아닌가 싶습니다.

구글이 든 이유는 간단합니다. 공격자에게는 단 한 번의 비암호화 접속이면 충분하다는 것입니다. 하루에 수백 번 접속하는 중에 한 번만 HTTP로 새면, 그 한 번에 중간자 공격이 들어옵니다. 98%는 안심할 근거가 아니라 나머지 2%가 어디서 튀어나올지 모른다는 뜻에 가깝습니다.

크롬이 실제로 얼마나 자주 경고를 띄우는지도 측정해서 공개했습니다. 크롬 141에서 진행한 실험 기준으로 중앙값 사용자는 일주일에 한 번도 경고를 보지 않고, 95백분위 사용자도 주 3회 미만이었습니다. 대부분의 사람에게는 거의 티가 안 난다는 뜻입니다.

한 가지 알아둘 점은 이 변화가 공개 사이트에만 적용된다는 것입니다. 192.168.0.1 같은 로컬 IP 주소나 사내 인트라넷, 단일 라벨 호스트명은 제외됩니다. 이런 주소는 공인 인증서를 발급받기가 구조적으로 어렵기 때문입니다. 그래서 집 공유기 관리자 페이지에 들어갈 때 여전히 경고가 뜨는데, 이건 고장이 아닙니다.

위험은 사라진 게 아니라 옮겨갔습니다

암호화가 통신 내용을 지켜주면, 공격자는 다른 길을 찾습니다. 통신을 엿듣는 대신 와이파이 자체가 되는 쪽입니다. 이걸 에빌 트윈(evil twin), 우리말로 가짜 와이파이라고 부릅니다.

원리는 허무할 정도로 단순합니다. 진짜 와이파이와 똑같은 이름의 접속점을 근처에 하나 더 띄웁니다. 사람들은 목록에서 익숙한 이름을 보고 누릅니다. 연결되면 로그인 화면 비슷한 페이지가 뜨고, 거기에 아이디와 비밀번호를 넣습니다. 그 페이지는 공격자가 만든 것입니다.

이게 이론이 아니라는 걸 보여주는 사건이 있습니다. 호주에서 한 남성이 퍼스, 멜버른, 애들레이드 공항과 국내선 기내에서 가짜 와이파이를 운영했습니다. 2024년 4월 항공사 직원의 신고로 수사가 시작됐고, 퍼스 공항으로 돌아오던 그의 수하물에서 휴대용 무선 접속 장치와 노트북, 휴대폰이 나왔습니다. 2025년 11월 28일 퍼스 지방법원은 징역 7년 4개월을 선고했습니다. 가석방 자격은 5년 복역 후에 생깁니다.

주목할 부분은 장비입니다. 가방에 들어가는 무선 접속 장치 하나면 됩니다. 특별한 해킹 실력도, 비싼 장비도 필요 없습니다. 그래서 이 방식은 도청보다 훨씬 널리 퍼질 수 있습니다.

VPN은 이쪽에는 잘 듣지 않습니다

공공와이파이 대책으로 가장 흔히 권해지는 게 VPN입니다. 그런데 VPN이 막아주는 건 정확히 도청입니다. 내 기기에서 나가는 트래픽을 한 번 더 감싸서 중간에 있는 사람이 못 읽게 하는 것입니다.

가짜 와이파이는 이 방어선을 우회합니다. 순서를 따져보면 명확합니다.

가짜 와이파이에 연결합니다
로그인 페이지가 뜹니다
아이디와 비밀번호를 입력합니다
그다음에 VPN 앱을 켭니다

비밀번호는 3단계에서 이미 넘어갔습니다. VPN을 켠 4단계는 늦었습니다. 게다가 자동 연결이 켜져 있으면 1단계가 나도 모르게 일어납니다. 예전에 한 번 접속했던 공용 와이파이와 같은 이름을 띄워두면 폰이 알아서 붙습니다.

VPN이 쓸모없다는 말이 아닙니다. 다만 VPN은 도청 대응책이지 신원 사칭 대응책이 아닙니다. 통념이 위험을 하나로 뭉뚱그리다 보니 대응책도 하나로 뭉뚱그려진 것입니다.

한국에서 지금 바로 할 수 있는 것

국내 공공와이파이에는 대부분의 사람이 모르는 선택지가 하나 있습니다. 목록에 Public WiFi Free 옆에 Public WiFi Secure 가 같이 떠 있는 경우입니다. 이름 그대로 보안이 적용된 쪽입니다.

Secure는 PEAP 방식으로 무선 구간을 암호화합니다. HTTPS가 웹사이트 단위로 거는 암호화라면, 이건 와이파이 구간 자체에 거는 암호화입니다. 접속할 때 아이디와 비밀번호를 물어보는데, 둘 다 wifi 입니다. 공식 안내 페이지에 그렇게 적혀 있습니다. 처음 보면 오타인가 싶은데 맞습니다.

대부분의 사람이 Free를 누르는 이유는 단순합니다. 목록에서 위에 뜨거나, Secure가 뭘 요구하는지 몰라서입니다. 아이디와 비밀번호를 안다면 Secure를 누르지 않을 이유가 없습니다. 다만 지역별로 순차 적용 중이라 아직 안 보이는 곳도 있고, 모든 데이터를 암호화하는 만큼 속도가 조금 떨어질 수 있습니다.

한 가지 덧붙이면, 공식 안내 페이지도 Secure가 만능이 아니라고 분명히 적고 있습니다. 무선 구간을 암호화해도 피싱이나 파밍처럼 다른 경로로는 개인정보가 나갈 수 있다는 것입니다. 위에서 본 가짜 와이파이가 정확히 그 경로입니다.

노트북이라면 프로필 하나를 확인하세요

윈도우는 연결된 네트워크를 '개인'과 '공용' 두 가지로 나눠 관리합니다. 개인으로 잡히면 같은 네트워크의 다른 기기가 내 PC를 발견할 수 있고, 공용이면 그 탐색이 차단됩니다. 문제는 이 값이 잘못 잡혀 있어도 화면에 아무 표시가 없다는 것입니다.

PowerShell에 한 줄이면 확인됩니다.

Get-NetConnectionProfile | Select-Object Name, InterfaceAlias, NetworkCategory

NetworkCategory가 나옵니다. 집이나 회사 회선이면 Private, 카페나 공항이면 Public으로 잡혀 있어야 정상입니다. 카페 와이파이가 Private으로 잡혀 있다면 설정에서 바꿔주는 게 좋습니다. 언젠가 "이 네트워크에서 PC를 검색할 수 있도록 허용할까요?"라는 창에 무심코 예를 눌렀을 가능성이 큽니다.

정리하면 기준이 달라집니다

"공공와이파이는 위험하다"에서 "공공와이파이에서는 이것만 조심한다"로 바뀝니다.

검색, 지도, 영상 시청처럼 로그인이 필요 없는 일은 그냥 하면 됩니다. HTTPS가 이미 덮고 있습니다. 조심할 지점은 와이파이에 처음 붙는 순간입니다. 목록에 비슷한 이름이 여러 개 뜨면 직원에게 정확한 이름을 물어보고, 접속 직후 뜨는 로그인 페이지에는 아이디와 비밀번호를 넣지 않는 것이 안전합니다. 정상적인 공공와이파이는 개인 계정을 요구하지 않습니다.

그리고 쓰고 나면 목록에서 지워두는 편이 낫습니다. 자동 연결로 남아 있으면 다음번에 같은 이름의 가짜에 스스로 붙습니다. 이건 어느 대책보다 효과가 확실한데, 아무도 안 합니다.

지금 폰의 와이파이 목록을 열어보면 예전에 한 번 쓰고 잊은 카페 이름이 몇 개나 남아 있을까요? 그중 하나와 같은 이름을 띄우는 데 필요한 건, 호주 사건에서 확인된 것처럼 가방에 들어가는 장치 하나입니다.