컴퓨터용 텔레그램 메신저에서 링크 한 번 클릭으로 계정을 빼앗기는 보안 취약점
1. 이게 뭔가요?
컴퓨터용 텔레그램 메신저 프로그램인 텔레그램 데스크톱의 7.2.8 버전 이하에서 발견된 보안 취약점에 대한 내용입니다. CVE-2026-107181이라는 고유 번호가 붙은 이 결함은, 공격자가 준비한 특수한 인터넷 링크를 사용자가 누르기만 해도 컴퓨터 내부의 중요한 파일들이 무단으로 읽혀 외부로 유출될 수 있는 위험을 안고 있었습니다.
2. 왜 화제인가요?
이 취약점이 심각한 이유는 일반 사용자가 프로그램 설정에서 별도의 잠금 비밀번호를 지정해 두지 않은 경우, 계정 로그인 인증 정보가 담긴 핵심 파일들이 공격자에게 통째로 넘어가 계정 전체를 빼앗기는 상황으로 이어질 수 있기 때문입니다. 프로그램은 로그인 정보를 암호화해 보관하지만, 비밀번호가 없으면 암호를 푸는 데 필요한 정보가 컴퓨터 안에 고스란히 남아 있어 공격자가 손쉽게 복원할 수 있습니다.
3. 핵심 내용
컴퓨터 운영체제는 텔레그램 데스크톱 같은 프로그램이 특정 웹 주소 형식인 tg를 인식하고 실행할 수 있게 합니다. 텔레그램은 이미 실행 중인 상태에서 사용자가 새로운 링크를 누르면, 운영체제는 프로그램을 하나 더 실행하고 내부 통신 통로를 통해 새 링크를 기존 프로그램에 넘긴 뒤 자신은 종료됩니다. 이 통로는 텍스트 형태로만 데이터를 전달할 수 있어서, 주소 안의 내용을 구분하는 기호인 세미콜론이 그대로 들어가면 원래는 하나여야 할 명령어가 여러 개로 쪼개지게 됩니다. 이러한 현상으로 공격자가 의도한 명령어를 몰래 주입하는 인젝션 취약점이 발생하며, 이것이 첫 번째 결함입니다. 텔레그램 코드 내부에는 개발진이 새로운 프로그램 버전을 공식 배포할 때 사용하던 도구인 interpret이라는 내부 주소 체계가 존재합니다. 이 기능은 업데이트 스크립트가 실행될 때 설정 파일 경로를 함께 넘겨주어 자동으로 채널에 파일을 올리도록 명령합니다. 결정적인 보안 취약점은 이 interpret 기능이 사용자의 동의나 요청 주체 확인 절차를 전혀 거치지 않고, 컴퓨터 하드디스크에 있는 아무 파일이나 읽어서 대화방으로 전송하는 막강한 권한을 실행한다는 점이며, 이것이 두 번째 결함입니다. 텔레그램 데스크톱은 기본 설정 상태에서 그룹 채팅방으로 들어온 8메가바이트 이하의 파일을 자동으로 내려받습니다. 공격자는 피해자의 컴퓨터 저장 장치에 지시 사항이 담긴 텍스트 파일을 미리 놓아두고, 이 파일에 훔치고 싶은 파일의 위치와 자신의 채널 주소를 적어두어 사용자가 링크를 한 번 누르는 것만으로도 파일이 외부로 빠져나가게 만들 수 있습니다. 공격자는 비밀 그룹 대화방을 만들고 피해자를 초대합니다. 텔레그램의 기본 설정에 따르면 초대받은 사람이 따로 승인하지 않아도 곧바로 그룹에 추가될 수 있습니다. 공격자는 그룹 대화방에 안내 텍스트 파일을 올리며, 피해자가 이 그룹에 들어오는 순간 자동 다운로드 기능이 작동하여 파일이 컴퓨터에 저장됩니다. 공격자가 보낸 평범한 인터넷 주소 링크를 피해자가 누르면 웹브라우저는 안내에 따라 이동하며, 전달된 명령어는 텔레그램을 조작하는 주소 형식과 미리 다운로드해 둔 안내 텍스트 파일을 여는 명령어들이 세미콜론으로 이어져 구성됩니다. 텔레그램은 내부 통신을 통해 이 명령들을 받아 처리하며, 세미콜론이 제대로 처리되지 않아 공격자가 숨겨둔 추가 명령어가 실행됩니다. 파일 읽기 명령어가 실행되고, 중요 파일들이 공격자의 그룹으로 곧바로 업로드되며 사용자에게 확인 창은 전혀 나타나지 않습니다. 공격자는 훔쳐 온 파일들을 조합하여 피해자의 계정 데이터를 똑같이 복원한 뒤, 계정에 그대로 로그인하여 가로챕니다. 개발사는 2026년 9월 16일에 적용된 프로그램 수정 코드를 통해 이 문제를 해결했습니다. 7.2.9 버전의 변경 기록에도 같은 날짜로 기록되어 있으며, 새 버전은 그 다음 날 아침에 공개되었습니다. 이 수정 코드는 위험한 파일 열기 주소 체계와 관련 지원 기능을 완전히 삭제하고, 프로그램 내부 통신에서 데이터를 구분하는 기호인 세미콜론이 공격에 악용되지 않도록 특수한 형식으로 암호화하여 처리하도록 바꿨습니다. 또한 추가적인 보안 조치로, 같은 통신 연결에서 파일 열기 명령어가 들어올 때는 컴퓨터 제어 명령어를 건너뛰도록 하고, 외부 인터넷 주소가 한 번이라도 나타나면 컴퓨터 내부의 파일 경로는 더 이상 다루지 않도록 차단하는 조치를 더했습니다.
4. 나에게 어떤 영향이 있나요?
일반 사용자 입장에서는 텔레그램 프로그램이 최신 버전으로 업데이트되어 있지 않거나 설정을 변경하지 않았다면, 출처가 불분명한 링크를 무심코 눌렀을 때 계정 정보가 유출될 위험이 있었습니다. 예방하기 위해서는 텔레그램 데스크톱을 7.2.9 버전 이후로 최신 버전으로 유지하고, 설정에서 각 파일을 저장할 위치 묻기 기능을 켜서 파일을 자동으로 내려받지 않도록 하며, 모르는 사람이 자신을 그룹에 아무나 초대하지 못하도록 연락처에 있는 사람들로만 제한해야 합니다. 또한 컴퓨터에서 텔레그램을 잠그는 지역 비밀번호를 설정하면 이미 도둑맞은 로그인 세션을 악용할 수 없도록 막을 수 있습니다.