보안 기업 Calif의 연구팀이 WeChat(위챗)에서 전화 한 통만으로 상대방의 계정을 완전히 탈취할 수 있는 '웜(worm, 스스로 전파되는 악성코드)' 공격 기법을 발견했습니다. 피해자는 전화를 받지 않아도, 심지어 화면을 건드리지 않아도 공격이 성공하는 '제로클릭(zero-click)' 방식이라 사용자 스스로 막을 방법이 없습니다. 공격자는 탈취한 계정으로 메시지 열람·전송, 통화, 결제 등 모든 기능을 사용할 수 있으며, 장악된 계정이 다시 지인에게 전화를 걸어 연쇄적으로 전파됩니다. 텐센트(Tencent)는 8월 21일 Android 8.0.77, iOS 8.0.76 버전을 출시해 취약점을 완화했고, 8월 28일에는 서버 측 차단까지 적용했습니다. 현재는 서버 차단이 적용되어 있어 미패치 기기도 어느 정도 보호되지만, 최신 버전으로 업데이트하는 것이 가장 안전합니다.
Calif 연구팀이 WeChat의 통화 처리 과정에서 제로클릭 취약점을 발견하고, 이를 이용해 연락처에 등록된 계정을 차례로 자동 탈취하는 웜을 개발·시연했다. iOS와 Android 모두 영향을 받았으며, 실제 공격 피해 사례는 현재까지 보고되지 않았다.
공격자는 피해자의 WeChat 계정에 대한 완전한 제어권을 획득해 메시지 열람·발송, 통화, 결제, 미니 앱 사용 등이 가능하다. 월간 활성 사용자 14억 3,900만 명에 달하는 플랫폼 전체로 웜이 자동 전파될 수 있다는 점에서 잠재적 피해 규모가 매우 크다.
WeChat의 수신 통화 처리 로직에 인증 전 코드 실행(RCE)을 허용하는 결함이 존재했다. 연락처 신뢰 체계를 역이용해, 기존 연락처에서 걸려온 전화만으로 사용자 개입 없이 공격이 성립된다.
Tencent는 2026년 8월 21일 Android 8.0.77 및 iOS 8.0.76을 릴리스해 취약점을 완화했고, 8월 28일 서버 측에서도 익스플로잇을 차단했다. CVE 식별자와 공식 보안 권고문은 아직 발표되지 않았다. Calif는 기술 세부 사항을 향후 컨퍼런스에서 공개할 예정이다.
WeChat을 업무·결제용으로 사용하는 조직은 즉시 최신 버전(Android 8.0.77 / iOS 8.0.76)으로 업데이트해야 한다. HarmonyOS·Windows·Mac·Linux 클라이언트의 취약점 적용 여부는 미확인이므로, 해당 플랫폼 사용자에 대한 추가 확인이 필요하다. 피해 여부를 사용자가 직접 확인할 수 있는 방법은 없으므로 정책적 업데이트 강제가 권장된다.
본문
Swati Khandelwal 2026년 9월 8일 · 취약점 / 모바일 보안
보안 기업 Calif의 연구팀이 WeChat 수신 통화를 통해 계정을 탈취하는 웜을 개발했으며, 세 대의 테스트 폰에서 연쇄 전파를 시연했다.
전화를 받는 사람은 전화를 받거나 화면을 터치할 필요가 없다. 단, 발신자는 피해자의 WeChat 연락처에 등록되어 있어야 한다. Calif는 7월에 Tencent에 해당 결함을 신고했으며, 현재 Tencent가 모든 사용자를 대상으로 익스플로잇(exploit, 취약점 악용 코드)을 차단했다고 밝혔다.
이 결함을 이용한 실제 공격은 보고된 바 없으며, Calif도 그러한 사례가 있었다고 주장하지 않는다. 대상의 행동이 전혀 필요 없는 제로클릭(zero-click) 공격은 새로운 개념이 아니다. 작년에 WhatsApp도 표적 공격에 사용되었을 가능성이 있는 유사 결함을 패치한 바 있다.
전화를 받더라도 공격은 멈추지 않는다. Calif에 따르면 전화를 받은 사람에게는 아무 소리도 들리지 않으며, 익스플로잇은 그대로 작동한다. 전화를 거절하면 해당 시도는 무산되지만, 공격자는 예를 들어 피해자가 잠든 사이에 다시 전화를 걸 수 있다.
발신자는 피해자의 WeChat 연락처 목록에 있어야 한다. Calif는 이것이 큰 장벽이 아니라고 밝혔다. 연락처 계정이 한 번 탈취되면, WeChat이 연락처에 부여하는 추가 신뢰가 사용자가 아닌 공격자를 위해 작동하기 때문이다.
이러한 연쇄 전파가 바로 시연에서 보여 준 핵심이다. 한 대의 Android 폰이 iPhone에 전화를 걸어 통화 중 수신음이 울리는 동안 WeChat을 장악했다. 이어서 탈취된 iPhone이 두 번째 Android 폰에 전화를 걸어 동일한 방식으로 제어권을 빼앗았다.
Calif의 게시물은 직접 테스트한 경로가 아닌, 공격자가 활용할 수 있는 가능한 경로들을 설명한다. 연구팀에 따르면, 익스플로잇이 실행되면 공격자는 WeChat 계정에 대한 완전한 제어권을 확보해 메시지 열람·발송, 통화, 계정 소유자처럼 행동하는 것이 가능하다. 다만 이 자체만으로 기기 전체에 대한 제어권이 넘어가지는 않는다.
많은 사용자에게 이 계정은 단순한 채팅 앱이 아니다. WeChat의 App Store 설명에는 앱 내 결제, 공식 계정, 미니 프로그램이 포함되어 있다. Tencent는 2026년 6월 30일 기준 2분기 실적에서 WeChat과 Weixin의 월간 활성 사용자를 합산 14억 3,900만 명으로 밝혔다.
Tencent의 자체 릴리스 로그에 따르면, 8월 21일에 Android용 버전 8.0.77과 iOS용 버전 8.0.76이 출시되었다. Calif는 해당 릴리스가 버그를 완화했으며, 8월 28일에 Tencent 서버에서도 익스플로잇이 차단된 것을 확인했다고 밝혔다.
연구팀은 Tencent가 "모든 사용자를 대상으로 익스플로잇을 완화했다"고 전했다. Tencent는 해당 결함에 대한 공식 보안 권고문을 발표하지 않았으며, iOS 버전의 릴리스 노트와 App Store 설명에는 해당 업데이트를 단순 버그 수정으로만 기재했다.
Calif에 따르면 차단은 Tencent 서버에서 이루어지므로, 사용자가 별도로 무언가를 설치할 필요는 없다. 그럼에도 최신 버전을 유지하는 것이 더 안전한 선택이며, 9월 8일 기준 App Store에는 8월 21일 출시된 8.0.76이 최신 버전으로 표시되어 있다.
Calif와 Tencent 모두 어느 버전의 WeChat이 영향을 받았는지 공개하지 않았기 때문에, 사용자는 7월이나 8월에 자신이 사용한 버전이 취약 버전이었는지 확인할 수 없다.
Tencent는 HarmonyOS, Windows, Mac, Linux용 WeChat 클라이언트도 각자의 릴리스 일정에 따라 제공하고 있으나, 해당 결함이 이들 플랫폼에도 영향을 미쳤는지는 어느 쪽도 밝히지 않았다.
Calif는 기술적 세부 사항을 공개하지 않고 있으며 전체 분석을 컨퍼런스에서 발표할 계획이다. 방어자가 탐지에 활용할 수 있는 정보는 공개되지 않았고, 사용자가 공격 전화를 받았는지 확인할 방법도 없다.
9월 8일 기준으로 해당 결함에 대한 CVE 식별자는 존재하지 않으며, Tencent 보안 대응 사이트에도 관련 권고문이 없다(사이트의 최근 공지는 2022년 4월이다). The Hacker News는 Tencent와 Calif에 논평을 요청했다.
Calif는 AI를 활용해 약 이틀 만에 버그를 발견하고 기기에서 코드를 실행할 수 있는 첫 번째 익스플로잇을 작성했다고 밝혔다. 웜 개발에는 추가로 약 1주일이 소요되었다고 했다.
그러나 자체 타임라인에는 더 긴 기간이 기록되어 있다. 엔지니어링 팀이 7월 23일에 버그를 파악했고, 첫 번째 Android 익스플로잇은 7월 30일에 완성되었으며, 웜 시연은 8월 11일에 이루어졌다. 짧은 기간이 실제 작업 시간만을 기산한 것인지는 게시물에서 밝히지 않았다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
