WhatsApp나 Telegram 계정이 해킹당했다면? 복구하고 단단히 잠그는 방법

WhatsApp 계정이 해킹당하면 어떻게 해야 하나요?

WhatsApp 고객센터는 내 번호의 SIM 카드를 아직 가지고 있다는 전제에서, 침해된 계정을 복구하는 한 가지 경로를 안내합니다^[1].

1. WhatsApp을 열어 다시 로그인을 누른 뒤 계속을 누릅니다. 요청이 나오면 국가 번호를 포함한 전체 전화번호를 입력합니다^[1].
2. SMS나 전화로 받은 6자리 코드를 입력합니다. 이 코드로 다시 등록하면 내 계정에 로그인된 모든 기기가 자동으로 로그아웃됩니다^[1].
3. 내가 모르는 2단계 인증 PIN을 요구받는다면 침입자가 설정했을 수 있습니다. WhatsApp은 7일을 기다린 뒤 다시 시도하라고 안내합니다. SMS 코드를 입력하는 순간 내 계정을 사용하던 사람은 이미 로그아웃된 상태입니다^[1].
4. 침입자가 채팅과 그룹에서 나를 사칭할 수 있으므로 가족과 친구들에게 알립니다^[1].
5. 다시 접속하면 보안 기능을 켜고 계정에 연결된 기기를 점검합니다^[1].

효과가 없는 방법은 무엇인가요?

비밀번호를 바꾼다고 해서 다른 사람이 내 계정에서 나가지는 않습니다. WhatsApp은 비밀번호와 2단계 인증은 아직 접근할 수 있는 계정을 보호하는 수단이며, 침입자를 내보내는 유일한 방법은 6자리 코드로 다시 등록하는 것이라고 말합니다^[1]. WhatsApp은 또한 복구하려는 침해된 계정을 신고하면 해당 계정이 차단되어 접근 권한을 잃을 수 있으므로, 먼저 복구하라고 권합니다^[1].

침입자가 내 예전 채팅을 읽을 수 있나요?

WhatsApp에 따르면 메시지는 종단 간 암호화되어 내 기기에 저장되므로, 새 기기에서 내 계정을 다시 등록한 사람은 과거 대화를 읽을 수 없습니다^[1]. 다만 계정을 장악하고 있는 동안에는 새 메시지를 받고 내 연락처에 메시지를 보낼 수 있습니다.

WhatsApp과 Telegram 계정은 어떻게 탈취되나요?

사기 대응 기관과 보안 연구자들이 설명하는 아래의 탈취 방법들은 암호화를 깨뜨리지 않습니다. 대신 계정 소유자나 소유자의 이동통신사를 속여 로그인 수단을 넘겨받습니다^[7][8][9].

‘실수로 내 코드를 보냈어’ 사기

영국의 국가 사기 신고 센터인 Action Fraud는 2023년 이 수법을 이렇게 설명했습니다. 범죄자는 먼저 나를 연락처로 둔 WhatsApp 계정을 탈취한 뒤, 친구인 척하며 나에게 메시지를 보냅니다^[7]. 동시에 범죄자가 내 번호로 로그인을 시도하고 있기 때문에 나는 WhatsApp으로부터 여섯 자리 코드가 담긴 문자를 받게 됩니다. 범죄자는 실수로 코드를 나에게 보냈다며 전달해 달라고 부탁합니다^[7]. 코드를 손에 넣으면 범죄자는 로그인해 나를 계정에서 쫓아낸 뒤, 내 연락처를 대상으로 같은 수법을 되풀이합니다^[7]. 당시 Action Fraud에는 이 사기에 관한 신고가 60건 넘게 접수되어 있었습니다^[7].

SIM 스와핑

SIM 스와핑에서는 범죄자들이 이동통신사를 설득하거나 매수해 내 번호를 그들이 가진 SIM 카드로 옮기며, 그 뒤로는 일회용 코드를 포함한 내 전화와 문자가 그들의 기기로 갑니다^[9]. FBI 인터넷 범죄 신고 센터는 2021년 SIM 스와핑 신고 1,611건을 접수했으며, 조정된 피해액은 6,800만 미국 달러가 넘었습니다^[9].

악성 QR 코드와 연결된 기기

두 앱 모두 컴퓨터와 다른 기기에서 계정을 사용할 수 있게 해 줍니다. 2024년 11월 Microsoft는 자사가 Star Blizzard라고 부르는 러시아 국가 연계 그룹이 표적에게 WhatsApp 그룹 초대 이메일을 보내는 것을 관측했습니다. 연결 페이지의 QR 코드는 실제로는 피해자의 계정을 공격자가 통제하는 기기에 연결해, 공격자가 WhatsApp Web을 통해 메시지를 읽고 내보낼 수 있게 했습니다^[8]. Microsoft는 이 공격이 제한적이었으며 2024년 11월 말에 끝난 것으로 보인다고 밝혔습니다^[8].

그 밖의 경로

WhatsApp은 아무도 음성사서함에 접근하지 못하도록 추측하기 어려운 음성사서함 비밀번호를 설정하고, 요청하지 않았는데 등록 코드가 담긴 이메일이 왔다면 그 안의 링크를 누르지 말라고 권합니다. 이는 누군가 내 번호를 등록하려 한다는 뜻일 수 있습니다^[2]. Telegram은 어떤 봇이든 낯선 사람처럼 대하고, 봇에게 비밀번호나 Telegram 코드를 절대 알려 주지 말라고 경고합니다^[6].

해킹당한 Telegram 계정은 어떻게 복구하나요?

Telegram은 현재 전화번호가 사용자를 식별하는 유일한 수단이라고 말합니다. 번호를 가진 사람이 계정을 가지며, 번호나 내 기기 중 하나에 설치된 Telegram에 접근할 수 없다면 도와줄 수 없다는 것입니다^[6]. 휴대폰을 도난당했을 때를 위한 Telegram의 조언은 어떤 탈취 상황에서도 가장 좋은 지침입니다^[6].

1. 다른 기기에 아직 로그인되어 있다면: 설정, 개인정보 및 보안으로 이동해 2단계 인증을 켭니다. 그러면 전화번호만으로는 더 이상 로그인할 수 없습니다^[6].
2. 설정, 기기(또는 개인정보 및 보안, 활성 세션)로 이동해 알아볼 수 없는 세션을 종료합니다. 내 비밀번호가 없으면 그 기기는 다시 로그인할 수 없습니다^[6].
3. 어떤 기기에서도 접근할 수 없다면: 이동통신사에 연락해 기존 SIM을 차단하고 내 번호로 새 SIM을 발급받은 뒤, 로그인해 알 수 없는 세션을 종료합니다^[6].

누군가 Telegram에서 나를 사칭하고 있다면, FAQ는 @NoToScam에 연락하라고 안내합니다^[6]. Telegram 자체의 로그인 코드는 ‘Telegram’이라는 이름의 인증된 서비스 채팅으로 전송되며, 다른 서비스나 앱을 포함해 누구와도 절대 공유해서는 안 됩니다^[6].

Telegram에서는 무엇이 위험에 노출되나요?

Telegram은 어느 기기에서나 접근할 수 있도록 클라우드 채팅을 보관하며, 이 채팅은 로그인한 모든 기기에 즉시 동기화됩니다^[6]. 클라우드 채팅은 서버-클라이언트 암호화를 사용하는 반면, 비밀 채팅은 종단 간 암호화를 더하고 Telegram 클라우드에 포함되지 않으며 처음 만든 기기에서만 볼 수 있습니다^[6]. 따라서 실제로 침입자가 연 세션에서는 클라우드 채팅은 보이지만 비밀 채팅은 보이지 않습니다. 알 수 없는 세션을 빨리 종료하는 것이 중요한 이유입니다.

어떤 설정이 WhatsApp과 Telegram 계정을 보호하나요?

두 앱 모두 도난당한 코드나 전화번호만으로는 로그인할 수 없도록 보호 계층을 제공합니다. WhatsApp은 이런 기능이 아직 접근할 수 있는 계정에서만 효과가 있으며, 잃어버린 접근 권한을 되찾아 주거나 이미 들어와 있는 사람을 내보내지는 못한다고 강조합니다^[2].

• 2단계 인증. WhatsApp에서는 설정, 계정, 2단계 인증으로 이동해 기능을 켜고 강력한 비밀번호를 만든 뒤, 원한다면 이메일 주소를 추가합니다^[3]. WhatsApp은 2단계 인증에 쓰이는 6자리 PIN을 비밀번호로 업그레이드하고 있다고 밝힙니다^[3]. Telegram에서는 설정, 개인정보 및 보안에 2단계 인증이 있으며, 이를 켜면 로그인할 때 SMS 코드와 비밀번호가 모두 필요합니다^[6].
• 복구용 이메일. WhatsApp은 등록할 때 이메일을 추가해 두면 SMS나 전화 없이도 계정을 복구할 수 있다고 말합니다^[2]. Telegram은 비밀번호를 잊었을 때를 위한 복구용 이메일을 설정할 수 있게 하며, 그 이메일 계정도 강력한 비밀번호와 2단계 인증으로 보호하라고 권합니다^[6].
• 패스키. 패스키는 기기의 화면 잠금, 지문 또는 얼굴 인식에 묶인 로그인 방식입니다. 패스키를 설정하면 WhatsApp은 계정을 기기의 보안 시스템에 연결합니다^[4]. Telegram은 패스키가 SMS 코드보다 안전하며 iCloud 키체인이나 Google 비밀번호 관리자 같은 비밀번호 관리자에 백업할 수 있다고 말합니다^[6].
• 앱 잠금과 채팅 잠금. WhatsApp은 앱 잠금과 채팅 잠금을 제공하며^[2], Telegram은 앱을 잠그는 암호 설정을 권합니다^[6].
• 고위험 사용자용 옵션. WhatsApp의 엄격한 계정 설정은 가장 엄격한 개인정보 보호 및 보안 통제를 적용하며, 자신이 표적이 될 수 있다고 생각하는 사람들을 위한 기능입니다^[2]. Telegram은 개인 보안을 걱정하는 사람들에게 공식 앱이나 검증 가능한 오픈 소스 앱에서 비밀 채팅을 사용하라고 권합니다^[6].

연결된 기기와 활성 세션은 어떻게 확인하나요?

알아볼 수 없는 연결된 기기나 세션은 계정 탈취의 흔한 징후이며, 앞에서 설명한 QR 코드 공격도 전적으로 이런 연결을 통해 이루어집니다^[8].

• WhatsApp: 메뉴를 열고 연결된 기기를 눌러 모든 기기를 확인한 뒤, 기기를 눌러 로그아웃하면 제거됩니다^[2]. WhatsApp은 연결된 기기를 정기적으로 확인하는 것이 중요하며, 휴대폰에서 모든 WhatsApp Web 세션을 로그아웃할 수 있다고 말합니다^[5].
• WhatsApp Web: QR 코드를 스캔하기 전에 ‘이 브라우저에서 로그인 상태 유지’의 체크를 해제하면, 탭이나 브라우저를 닫을 때 세션이 종료됩니다^[5].
• Telegram: 설정, 기기(또는 개인정보 및 보안, 활성 세션)에 종료할 수 있는 세션 목록이 나옵니다^[6]. 패스키는 설정, 개인정보 및 보안, 패스키에서 생성 날짜와 마지막 사용 시점과 함께 확인할 수 있습니다^[6].

WhatsApp이나 Telegram QR 코드는 직접 연 공식 앱이나 웹사이트에서만 스캔하십시오. ‘그룹 참여’ 방법이라며 이메일이나 메시지로 보내온 QR 코드는 링크와 똑같이 의심해야 합니다. 이런 이메일에 대한 Microsoft의 조언은 이전에 사용한 적 있는 확실한 주소로 보낸 사람이라는 사람에게 직접 연락해 보라는 것입니다^[8].

WhatsApp은 누가 언제, 어디서 내 계정에 접근했는지는 알려 줄 수 없다고 덧붙입니다^[5].

패스키와 2단계 인증을 권하는 이유는 무엇인가요?

SMS로 전송된 코드는 누군가 내 번호로 오는 문자를 받을 수 있다는 것만 증명합니다. 범죄자가 나를 속여 코드를 전달받거나 내 번호를 자신의 SIM으로 옮기면, 그 코드는 범죄자에게도 통합니다^[7][9]. 두 번째 비밀 값이나 기기에 묶인 패스키가 이를 막아 줍니다.

FBI는 생체 인증, 물리적 보안 토큰, 독립형 인증 앱 같은 강력한 다중 인증을 권장하며, 비밀번호나 PIN을 묻는 전화에 이동통신 계정 정보를 절대 알려 주지 말라고 조언합니다^[9]. Telegram은 SMS 코드가 도착하지 않는 경우가 잦고 가로채일 수도 있다고 말합니다^[6].

2026년 10월 영국의 Report Fraud 서비스는 이메일 및 소셜 미디어 계정 해킹으로 도난당한 금액이 그 전해 120만 파운드에서 2025/26년 630만 파운드로 늘었으며, 이런 유형의 계정 탈취 신고가 34% 증가했다고 발표한 뒤 패스키로 전환하라고 촉구하는 캠페인을 시작했습니다^[10]. Report Fraud는 범죄자들이 해킹한 계정을 이용하는 가장 흔한 방법 중 하나가 가족과 친구를 사칭하는 것이라고 말했습니다^[10].

이란의 사용자는 무엇을 알아야 하나요?

이란에서 두 앱에 대한 접근은 정부의 차단에 따라 좌우되어 왔습니다. 프리덤하우스에 따르면 Telegram은 2018년 4월 영구적으로 필터링되었고, WhatsApp과 Instagram은 2022년 ‘여성, 생명, 자유’ 시위 와중에 차단되었습니다^[11]. 2024년 12월 이란 관영 IRNA 통신은 WhatsApp과 Google Play에 대한 제한을 해제하기로 표결이 이루어졌다고 보도했습니다^[12].

프리덤하우스는 또한 Bale, Rubika, Soroush 같은 인기 앱의 이란판이 정부로부터 상당한 재정 지원을 받고 있으며, 이슬람 혁명수비대와 연계된 해킹 그룹이 온라인에서 언론인과 인권 활동가를 사칭해 비판자들을 피싱 작전으로 유인했다고 지적합니다^[11]. SIM 카드를 구입하려면 여권이나 신분증으로 실명 등록을 해야 합니다^[11].

플랫폼들의 자체 지침에서 나오는 실천 사항은 다음과 같습니다. Telegram이 민감한 대화에는 공식 앱이나 검증 가능한 오픈 소스 앱을 권하므로 앱은 공식 경로로만 설치하고^[6], 누가 요청하든 로그인 코드는 절대 공유하지 말며^[2][6], 전화번호를 장악한 것만으로는 계정을 가져갈 수 없도록 2단계 인증을 켜 두십시오^[6].

복구로도 해결되지 않는 것은 무엇인가요?

복구하면 통제권은 되찾지만, 미리 알아 둘 만한 한계가 있습니다.

• 같은 전화번호의 SIM 카드가 없으면 WhatsApp 계정을 복구할 수 없습니다^[1].
• WhatsApp은 다른 사람의 계정을 비활성화하거나, 나를 대신해 연락처를 차단하거나 차단 해제하거나, 누가 내 계정에 접근했는지 알려 줄 수 없습니다^[1].
• 새 SIM으로 바꾸면서 기존 WhatsApp 계정을 유지하려면 번호 변경 기능을 사용해야 하며, 그렇지 않으면 접근 권한을 영구히 잃을 수 있습니다^[1]. Telegram도 계정이 내가 통제하는 번호에 연결되어 있지 않으면 접근 권한을 영원히 잃을 위험이 있다고 경고합니다^[6].
• 복구한다고 해서 침입자가 이미 보낸 메시지가 취소되지는 않습니다. 침입자가 채팅과 그룹에서 나를 사칭할 수 있으므로, WhatsApp은 가족과 친구들에게 알리라고 권합니다^[1].

내 이름으로 돈을 빼앗기거나 돈을 요구하는 일이 있었다면, 거주 지역의 경찰이나 국가 사기 신고 기관에 신고하십시오. 영국에서는 Action Fraud가 그 기관이며, Action Fraud는 이상한 부탁을 받으면 친구나 친척에게 전화해 확인하라고도 권합니다^[7].