• 텔레그램 데스크톱 버전에서 사용자 파일 탈취 및 계정 탈취가 가능한 취약점 발견
• 악성 링크나 미디어 파일을 통해 원클릭으로 공격자가 시스템에 접근 가능
• 즉시 최신 버전으로 업데이트하고 의심스러운 파일 실행에 주의 필요
최근 글로벌 개발자 및 보안 커뮤니티인 해커뉴스(HackerNews)에서 텔레그램 데스크톱(Telegram Desktop) 앱과 관련된 치명적인 보안 취약점이 공개되어 큰 충격을 주고 있습니다. 전 세계 수억 명이 사용하는 메신저인 만큼, 사용자들의 각별한 주의와 빠른 조치가 요구됩니다.
텔레그램 데스크톱 취약점의 개요
이번에 발견된 취약점은 텔레그램 데스크톱 클라이언트의 미디어 파일 처리 및 미디어 뷰어 로직의 결함을 악용한 것입니다. 공격자는 이를 통해 사용자의 허가 없이 로컬 파일 시스템에 접근할 수 있었으며, 심한 경우 원클릭만으로 사용자의 계정을 완전히 탈취(Account Takeover)하는 것이 가능했습니다.
공격 작동 방식
보안 연구원들의 분석에 따르면, 공격자는 특수하게 조작된 미디어 파일이나 악성 페이로드를 텔레그램 채팅을 통해 전송합니다. 사용자가 이 파일을 클릭하거나 미리보기 형태로 실행할 때, 앱의 보안 샌드박스 우회 혹은 부적절한 권한 처리로 인해 공격자가 사용자의 중요 파일(세션 데이터, 개인 문서 등)을 탈취할 수 있는 경로가 열리게 됩니다.
주요 영향 및 비교
| 구분 | 취약점 내용 | 대응 방안 |
|---|---|---|
| 대상 플랫폼 | 텔레그램 데스크톱 (Windows, macOS 등) | 최신 버전으로 즉시 업데이트 |
| 공격 위험성 | 로컬 파일 탈취 및 계정 탈취 가능 | 출처가 불분명한 파일 다운로드 금지 |
텔레그램뿐만 아니라 모든 메신저 앱에서 ‘자동 미디어 다운로드’ 기능을 비활성화해 두면, 원치 않는 파일이 백그라운드에서 실행되거나 로드되는 위험을 사전에 차단할 수 있습니다. 설정에서 미디어 자동 다운로드를 끄고 필요할 때만 수동으로 다운로드하세요.
사용자가 취해야 할 긴급 조치
텔레그램 측은 해당 보안 이슈를 인지하고 즉각적인 패치를 배포했습니다. 따라서 사용자들은 다음 사항을 반드시 실천해야 합니다.
- 앱 업데이트: 텔레그램 데스크톱 앱을 최신 버전으로 즉시 업데이트하세요. (설정 -> 도움말 -> 텔레그램 정보에서 확인 가능)
- 알 수 없는 파일 주의: 모르는 사람이나 신뢰할 수 없는 채널에서 받은 파일, 특히 실행 파일이나 의심스러운 확장자를 가진 파일은 절대 열지 마세요.
- 2단계 인증(2FA) 설정: 계정 보안을 강화하기 위해 텔레그램 계정에 2단계 인증을 반드시 활성화해 두세요.
만약 최근에 의심스러운 링크를 클릭했거나 알 수 없는 파일을 열어본 적이 있다면, 즉시 모든 세션(다른 기기에서 로그인된 세션)을 강제 종료하고 비밀번호 및 2단계 인증 설정을 재확인하는 것이 안전합니다.
자주 묻는 질문 (FAQ)
Q1. 모바일 앱(안드로이드, iOS)도 위험한가요?
A1. 이번에 보고된 핵심 취약점은 ‘텔레그램 데스크톱(Telegram Desktop)’ 클라이언트 구조를 기반으로 합니다. 다만 모바일 환경에서도 출처가 불분명한 파일을 여는 것은 항상 보안상 위험하므로 주의가 필요합니다.
Q2. 업데이트는 어떻게 하나요?
A2. 텔레그램 데스크톱 앱 내 설정 메뉴에서 최신 버전 다운로드 및 자동 업데이트를 지원합니다. 공식 홈페이지를 통해 최신 설치 파일을 다운로드하여 덮어쓰기 설치하는 방법도 확실합니다.
Q3. 계정이 탈취당했는지 어떻게 알 수 있나요?
A3. 설정 -> 개인정보 및 보안 -> 활성 세션(Active Sessions)에서 본인이 접속하지 않은 기기가 목록에 있는지 확인하세요. 모르는 기기가 있다면 즉시 ‘세션 종료’를 누르시기 바랍니다.