Apple이 위험한 eMudhra 인증서를 자동 차단…사용자가 할 일은

웹사이트 주소 앞의 자물쇠 표시는 통신이 암호화됐다는 뜻이지만, 그 안전성은 ‘인증서 발급기관’이라는 신뢰 체계에 의존합니다. 2026년 10월 Apple은 eMudhra가 발급한 일부 TLS 인증서가 손상됐다는 사실에 대응해, 10월 19일부터 해당 인증서를 운영체제의 신뢰 목록에서 차단했다고 밝혔습니다. Safari, Mail, 그리고 Apple의 네트워크·보안 체계를 사용하는 앱에는 대부분 자동으로 적용됩니다.

TLS 인증서는 왜 필요한가

은행이나 쇼핑몰 같은 웹사이트에 접속하면 브라우저는 서버가 주장하는 주소와 실제 인증서가 맞는지 확인합니다. 정상 인증서는 다른 사람이 통신 중간에 끼어들어 비밀번호나 카드 정보를 훔치는 일을 어렵게 합니다. 인증서 발급기관은 이 신분증을 발급하고 관리하는 역할을 합니다.

만약 발급기관의 시스템이 침해되거나 잘못된 인증서가 만들어지면, 공격자가 정상 사이트인 것처럼 보이는 연결을 만들 가능성이 생깁니다. 그래서 Apple, Google, Microsoft, Mozilla 같은 플랫폼 업체는 문제가 된 인증서를 신속히 신뢰 목록에서 빼는 조치를 취합니다.

Apple의 이번 조치는 어떻게 적용되나

Apple은 문제가 된 eMudhra 인증서들을 Safari와 Mail, 그리고 Apple의 네트워킹·보안 프레임워크를 사용하는 앱에서 더 이상 신뢰하지 않도록 차단했습니다. 보도에 따르면 일반 사용자는 별도의 파일을 내려받거나 설정을 바꿀 필요가 없습니다. 차단은 Apple이 관리하는 신뢰 체계를 통해 자동으로 반영됩니다.

현재까지 해당 인증서가 실제 악성 공격에 사용됐다는 증거는 보고되지 않았습니다. 그러나 “악용 증거가 없다”는 말은 조치를 무시해도 된다는 뜻이 아닙니다. 인증서 체계는 문제가 생긴 뒤 빠르게 신뢰를 거두는 것이 피해를 예방하는 기본 절차입니다.

일반 사용자가 해야 할 일

첫째, iPhone, iPad, Mac의 운영체제를 최신 상태로 유지하세요. 자동 보안 목록은 별도 업데이트 없이 반영될 수 있지만, 최신 운영체제는 다른 취약점 수정도 함께 제공합니다. 둘째, Safari가 “연결이 비공개가 아닙니다” 같은 경고를 보이면 고급 메뉴에서 억지로 계속 접속하지 마세요. 주소 철자를 확인하고 사이트 운영자에게 문의하거나 나중에 다시 시도하세요.

셋째, 인터넷에서 찾은 명령어를 복사해 인증서 파일을 직접 수정하지 마세요. 일반 사용자가 시스템 신뢰 저장소를 임의로 바꾸면 오히려 가짜 사이트를 믿게 만들거나 정상 앱을 고장 낼 수 있습니다. “Apple 차단을 풀어 준다”는 프로필, 앱, 인증서 설치 안내도 피해야 합니다.

Mac의 명령줄 도구에는 예외가 있다

보도에 따르면 curl, git처럼 macOS 명령줄에서 별도의 인증서 묶음을 사용하는 도구는 이번 자동 차단이 즉시 똑같이 적용되지 않을 수 있습니다. Apple은 앞으로 macOS 업데이트에서 이 부분을 처리할 예정입니다. 이는 개발자나 서버 관리자가 주로 확인할 사항이며, Safari와 일반 앱만 사용하는 분은 수동 조치를 할 필요가 없습니다.

개발자라면 회사 보안팀과 함께 사용 중인 CA 목록, CI 서버, 패키지 내려받기 경로를 점검하고 Apple의 후속 macOS 업데이트를 적용해야 합니다. 검증되지 않은 블로그 명령으로 /etc/ssl/cert.pem 같은 파일을 직접 바꾸기보다, 조직의 관리 절차와 공식 문서를 따르는 것이 안전합니다.

인증서 경고와 피싱 화면 구분하기

진짜 브라우저 인증서 경고는 보통 웹페이지 내용이 열리기 전에 Safari 자체 화면으로 표시됩니다. 반대로 “인증서가 만료됐으니 전화하라”, “보안 프로그램을 설치하라”는 팝업은 사기 광고일 가능성이 큽니다. Apple은 웹페이지 팝업으로 원격제어 앱 설치나 상품권 결제를 요구하지 않습니다.

팝업이 닫히지 않으면 전화번호에 연락하지 말고 탭을 닫은 뒤 Safari 방문 기록과 웹사이트 데이터를 정리하세요. 이미 계정 정보를 입력했다면 해당 서비스의 공식 앱이나 주소로 직접 들어가 비밀번호를 바꾸고 2단계 인증을 켜야 합니다.

이번 사건에서 배울 점

자물쇠 아이콘은 “이 사이트 내용이 모두 사실이다”라는 보증이 아닙니다. 통신 상대가 인증서에 적힌 도메인을 사용하고 있고 연결이 암호화됐다는 의미에 가깝습니다. 사기 사이트도 자신이 소유한 비슷한 철자의 도메인에 정상 인증서를 받을 수 있습니다. 따라서 주소 철자, 발신자, 결제 요구 방식까지 함께 확인해야 합니다.

관련 글로 Chrome의 의심 사이트 보호 기능, 제로클릭 공격과 업데이트, Apple 앱 심사 보안 변화도 참고하세요.

출처

• MacRumors, Apple Blocks Compromised eMudhra Certificates (2026-10-25)
• Apple Platform Security 공식 안내

컴친 한줄 정리: Apple 기기의 일반 사용자는 eMudhra 차단을 위해 수동 설정을 건드릴 필요가 없으며, 업데이트를 유지하고 인증서 경고를 우회하지 않는 것이 핵심입니다.