공용 와이파이로 파일 전송하면 생기는 보안 위협 5가지

공용 와이파이 파일 전송은 같은 AP에 접속한 낯선 사람이 그 데이터를 실시간으로 들여다볼 수 있는 구조 위에 놓여 있다. 카페 와이파이로 계약서 PDF를 이메일에 첨부해 보내거나, 지하철 공공 AP에서 팀원에게 카카오톡으로 파일을 넘기는 행동 — 하루에도 수백만 번 일어나는 일이지만, 그 뒤에 따르는 리스크는 체감하기 어렵다. 2026년 7월 기준 한국인터넷진흥원(KISA) 공식 안내에 따르면, 공공 와이파이 보안 취약점을 악용한 정보 탈취 시도는 꾸준히 신고되고 있으며 피해 유형도 다양해지고 있다.

문제는 파일 전송 행위 자체가 아니다. 어떤 채널로, 어떤 암호화 상태에서 보내느냐가 위험 수위를 결정한다. HTTPS로 연결된 서비스를 통해 종단 간 암호화(E2E)가 적용된 파일을 전송하는 것과, HTTP 공유 링크나 비암호화 구형 FTP로 날것의 데이터를 주고받는 건 전혀 다른 이야기다. 이 글에서는 공격자가 공용 네트워크에서 실제로 쓰는 수법, 전송 방식별 보안 위험도 차이, 그리고 국내 사용자가 현실적으로 택할 수 있는 안전한 대안을 구체적으로 짚는다.

공용 와이파이 파일 전송이 위험한 구조적 이유

일반 가정용 공유기와 카페·공항 AP의 결정적 차이는 클라이언트 격리(client isolation) 설정에 있다. 집에서는 공유기에 붙는 기기가 가족 몇 명뿐이니 별도 격리 없이도 피해 범위가 제한적이다. 반면 공공 AP에는 수십에서 수백 명이 동시에 접속한다. 격리 설정이 꺼져 있으면 같은 AP 내 모든 기기가 하나의 서브넷 안에 공존하고, ARP 스푸핑 같은 기초적 기법만으로도 다른 사람의 트래픽을 자기 쪽으로 끌어들일 수 있다.

암호화 방식도 따져봐야 한다. WPA3를 채택한 최신 AP는 기기별로 독립된 세션 키를 생성해, 같은 패스워드를 쓰는 다른 사용자가 패킷을 복호화하기 어렵게 만든다. 그런데 국내 공공장소에 깔린 AP 상당수는 여전히 WPA2(CCMP)를 쓰거나 아예 패스워드 없이 개방된 상태다. 개방형 AP에서는 전송 데이터가 암호화 자체가 되지 않으므로, 무선 신호 범위 안에 있는 누구든 수신 가능한 상태가 된다. ‘무료 와이파이’를 내세우는 장소일수록 오히려 이 위험이 크다.

한 가지 더 — 사용자가 HTTPS로 접속하더라도 DNS 조회는 기본적으로 평문으로 나간다. 어느 서버로 파일을 올리는지, 어느 클라우드에 접속하는지는 DoH(DNS over HTTPS)나 DoT(DNS over TLS)를 별도로 설정하지 않으면 네트워크 관리자 또는 공격자에게 그대로 노출된다. 파일 내용이 아니라 행동 패턴만으로도 충분한 정보가 새어나갈 수 있다는 뜻이다.

공격자가 공용 와이파이에서 실제로 쓰는 3가지 수법

패킷 스니핑(Packet Sniffing) — Wireshark 같은 공개 도구를 이용해 같은 네트워크를 흐르는 패킷을 수동으로 캡처하는 방식이다. 개방형 AP에서 HTTP로 파일을 전송하면 그 내용이 통째로 잡힌다. 수동 감청이라 공격자가 특별한 행동을 취할 필요 없이 조용히 앉아서 데이터를 수집할 수 있어 탐지가 어렵다. HTTPS를 쓰더라도 TLS 핸드셰이크 메타데이터(접속 서버 도메인, 패킷 타이밍)는 남는다.

중간자 공격(MITM) — ARP 스푸핑으로 게이트웨이인 척 하거나, SSL 스트리핑으로 HTTPS를 강제로 HTTP로 다운그레이드하는 방식이다. 사용자 브라우저 주소창에 http://가 떠 있는데도 그냥 파일 전송 버튼을 누르면, 데이터가 공격자 서버를 경유해 전달된다. 파일 내용은 물론 로그인 세션 쿠키와 인증 토큰도 함께 탈취되어 계정 자체가 넘어갈 수 있다.

이블 트윈 AP(Evil Twin) — 공격자가 정상 AP와 동일한 SSID(예: “Starbucks WiFi”, “KTX Free WiFi”)를 가진 가짜 AP를 개설하는 수법이다. 스마트폰은 신호 세기가 더 강한 AP를 자동으로 선택하는 경향이 있어, 사용자가 눈치채지 못한 채 공격자의 AP에 붙는다. 이 AP를 통해 오가는 모든 트래픽을 공격자가 완전히 제어하며, 여기서 파일을 전송하면 내용이 고스란히 기록된다. 공항 게이트 앞 대기 구역처럼 사람이 몰리고 무선 신호가 혼잡한 장소가 이 수법의 온상이 된다.

전송 방식별 보안 위험도 비교

파일을 보내는 방법은 여러 가지다. 그러나 공용 와이파이 환경에서는 방식에 따라 위험 수준이 크게 달라진다. 아래 표는 2026년 7월 기준, 공용 네트워크 환경에서 주요 전송 방식의 보안 수준을 비교한 것이다 (각 서비스 공식 문서 기반, 세부 정책은 공식 페이지 확인 권장).

전송 방식	전송 암호화	공용 와이파이 위험도	메타데이터 노출	주의 사항
이메일 첨부 (Gmail HTTPS)	전송 구간 TLS	중간	수신자·발신자 노출	서버 측 저장은 E2E 아님
카카오톡 파일 전송	전송 구간 TLS	중간	접속 서버 도메인 노출	E2E 미적용, 서버 측 접근 가능 구조
네이버 MYBOX (HTTPS)	전송 구간 TLS	중간	파일명·크기 일부 노출	30GB 무료 제공, E2E는 미적용
HTTP 공유 링크 (비암호화)	없음	매우 높음	파일 내용 전체 노출	즉시 사용 중단 권장
VPN + HTTPS 클라우드	VPN 터널 + TLS	낮음	VPN 서버 IP만 보임	VPN 제공사 신뢰도 검증 필수
종단 간 암호화 서비스	E2E 암호화	매우 낮음	최소화	서버에서도 복호화 불가 구조

표에서 보이듯 카카오톡, 네이버 MYBOX 같은 국내 주요 서비스는 전송 구간 TLS를 제공하지만, E2E(종단 간 암호화)는 별개다. TLS는 통신 경로를 보호하지만 서버 측에서 파일을 복호화해 저장하는 방식이라, 서버 자체가 침해되거나 내부에서 접근이 발생하면 파일 내용이 노출될 수 있다. 공용 와이파이 환경에서는 여기에 더해 MITM으로 TLS 다운그레이드 공격을 당할 가능성도 겹친다. 이 두 가지 위험이 합쳐지는 구조라는 점을 염두에 두어야 한다.

공용 와이파이 파일 전송 시 실제로 유출되는 정보의 종류

파일 내용만 유출된다고 생각하면 오산이다. 공용 네트워크 환경에서 파일 전송 시 노출될 수 있는 정보는 층위가 다양하다.

• 파일 내용 자체: 비암호화 전송 시 텍스트, 이미지, 문서 원본이 패킷 단위로 재조합 가능하다
• 접속 서버 도메인: HTTPS를 쓰더라도 TLS 핸드셰이크의 SNI(Server Name Indication)에서 도메인이 평문으로 노출된다
• 파일 크기와 전송 타이밍: 암호화된 패킷에서도 크기·간격 패턴으로 파일 유형을 추정하는 트래픽 분석 기법이 실재한다
• 로그인 쿠키·인증 토큰: SSL 스트리핑 공격 성공 시 세션 쿠키가 탈취돼 계정 자체가 공격자에게 넘어갈 수 있다
• 기기 MAC 주소와 행동 패턴: AP 수준에서 접속 기록이 남고, 이블 트윈 환경에서는 이 정보가 공격자에게 고스란히 쌓인다

원룸에 사는 직장인이 재택근무 중 근처 편의점 와이파이에서 회사 내부 문서를 클라우드로 올리는 상황을 떠올려보자. 표면적으로 HTTPS가 걸려 안전해 보이지만, 편의점 AP가 클라이언트 격리 없이 개방형이라면 같은 AP에 붙은 공격자가 ARP 스푸핑으로 게이트웨이 역할을 가로채 SNI 정보와 전송 패턴을 수집할 수 있다. 문서 내용 자체는 보호되더라도, 어느 계정이 어떤 서버에 어느 시간대에 어떤 크기의 파일을 올렸다는 사실은 남는다. 이 정보만으로도 이후 사회공학 공격의 빌미가 충분히 만들어진다.

안전한 파일 전송을 위한 현실적 대안 4가지

공용 와이파이를 아예 피하는 것이 가장 확실한 방법이지만, 그게 불가능한 상황이라면 다음 네 가지 조합을 검토할 수 있다. 핵심은 어떤 단일 방법도 완벽하지 않다는 점 — 여러 레이어를 쌓는 방식이 현실적이다.

1. 모바일 데이터(LTE/5G) 전환 — 가장 간단하고 효과적인 선택이다. 카페나 공공장소에서 민감한 파일을 전송해야 한다면 와이파이를 끄고 LTE/5G로 전환하는 것만으로도 공용 네트워크 위협 대부분을 차단한다. 월 데이터 무제한 요금제를 쓴다면 이것이 가장 현실적인 기본 수칙이다. 속도가 아쉽더라도 보안 측면에서는 비교가 되지 않는다.

2. 신뢰할 수 있는 VPN 사용 — VPN은 기기와 VPN 서버 사이 트래픽을 암호화해 로컬 네트워크 도청 시도를 무력화한다. 다만 제공사 선택이 관건이다. 무료 VPN은 트래픽 로그를 광고·데이터 브로커에 판매하거나 앱 자체에 악성 코드가 포함된 사례가 여럿 보고됐다. 유료 서비스 중 노로그(no-log) 정책을 독립 감사로 검증받은 제공사를 선택하는 것이 원칙이다. WireGuard 프로토콜 기반 VPN이 OpenVPN보다 핸드셰이크 속도가 빠르고 코드 규모가 작아 공격 면이 좁다는 점에서 최근 선호도가 높다.

3. E2E 암호화 파일 서비스 이용 — 서버 측에서도 복호화할 수 없는 구조의 서비스를 택하면 전송 구간뿐 아니라 저장 계층까지 보호된다. 반면 네이버 MYBOX, KT 클라우드, SK 마이박스 같은 국내 대형 서비스는 전송 구간 TLS는 제공하지만 E2E는 적용하지 않는 구조다. 보안이 중요한 파일에 한해 E2E를 명시적으로 지원하는 서비스를 병행하는 방식이 현실적이다. 다만 이런 서비스는 공유 기능이 제한적이거나 협업 도구와의 연동이 약한 경우가 많으니, 사용 편의성과 보안 간 트레이드오프를 인식하고 쓰는 편이 낫다.

4. 파일 암호화 후 전송 — 클라이언트 측에서 파일을 먼저 암호화한 뒤 전송하면 전송 채널과 무관하게 내용을 보호할 수 있다. 7-Zip의 AES-256 암호화 기능으로 압축 파일에 강력한 패스워드를 걸거나, VeraCrypt 컨테이너에 담아 보내는 방식이 대표적이다. 패스워드는 파일과 다른 채널(전화 통화나 별도 메신저)로 따로 공유해야 의미가 있다. 랜섬웨어 피해 사례를 보면 이 암호화 레이어 하나가 실제 피해 범위를 크게 줄이는 경우가 적지 않다.

추가로, HTTPS 강제 연결(크롬·파이어폭스 기본 탑재)과 브라우저의 “항상 안전한 연결 사용” 옵션을 활성화해두는 것이 SSL 스트리핑 공격에 대한 기본 방어선 역할을 한다. 파일공유 보안 카테고리에서 각 방법에 대한 세부 가이드를 별도로 확인할 수 있다.

한국 개인정보보호법과 공용 네트워크 보안 책임

공용 와이파이를 통한 정보 유출은 개인 피해로 끝나지 않는다. 사업자 관점에서 개인정보보호법에 따르면 개인정보를 처리하는 자는 기술적·관리적 보호 조치를 이행할 의무가 있다. 공공 와이파이를 운영하는 카페 프랜차이즈, 공항, 쇼핑몰 등이 적절한 보안 설정 없이 AP를 개방 운영하다가 이용자의 개인정보가 유출되면 법적 책임 소지가 생긴다. 정보통신망법에 따르면 타인의 통신을 정당한 권한 없이 감청하는 행위 자체도 형사 처벌 대상이 된다.

개인 사용자 입장에서도 짚어둘 점이 있다. 회사 기밀 파일이나 고객 개인정보가 담긴 문서를 공용 네트워크에서 전송했다가 유출 사고가 나면, 회사 내부 보안 정책 위반은 물론 과실 책임이 개인에게 귀속될 수 있다. 특히 의료 정보, 금융 정보처럼 민감 정보 범주에 해당하는 파일은 공용 네트워크 전송을 처음부터 금지하는 내규를 갖춘 조직이 많다. 이를 무시하고 전송했다가 사고가 나면 단순 과실이 아닌 고의적 보안 위반으로 판단될 여지도 생긴다.

KISA는 공공 와이파이 보안 강화 지침을 별도로 발행하고 공공기관·지자체 등 관련 사업자를 대상으로 보안 설정 점검을 권고하고 있다. 개인 사용자도 한국인터넷진흥원(KISA) 공식 사이트의 사이버 보안 가이드에서 최신 지침을 확인할 수 있다.

자주 묻는 질문

HTTPS로 접속하면 공용 와이파이에서도 안전한가요?

HTTPS는 전송 구간을 암호화해 패킷 스니핑으로 파일 내용을 직접 읽기 어렵게 만든다. 그러나 완전히 안전하다고 보기는 어렵다. SSL 스트리핑으로 HTTPS를 HTTP로 강제 다운그레이드하거나, MITM 상황에서 가짜 인증서를 심는 방식으로 우회가 가능하기 때문이다. 브라우저 주소창에 자물쇠 아이콘이 표시되는지 반드시 확인하고, “인증서 오류” 등의 경고 메시지가 뜰 경우 절대 무시하지 말아야 한다. 경고를 무시하고 진행하는 순간 보호막이 사라진다.

카카오톡으로 파일을 보내는 것도 위험한가요?

카카오톡은 전송 구간 TLS 암호화를 적용해 단순 패킷 스니핑에서는 내용이 즉각 노출되지 않는다. 그러나 이블 트윈 AP 상황이나 기기 자체가 침해된 경우에는 보호 범위가 좁아진다. E2E 암호화를 기본으로 적용하지 않는 구조라, 서버 측에서 파일에 접근하는 가능성을 원천적으로 배제하기 어렵다는 점도 한계다. 계약서, 신분증 사본, 금융 관련 문서처럼 민감도가 높은 파일은 카카오톡 외에 보안 레이어를 별도로 추가하거나 전송 채널 자체를 바꾸는 것이 바람직하다.

무료 VPN을 쓰면 공용 와이파이가 안전해지나요?

무료 VPN은 오히려 역효과를 낼 수 있다. 운영 비용을 충당하기 위해 사용자 트래픽 로그를 광고사·데이터 브로커에 판매하는 무료 VPN이 다수 확인됐으며, 앱 자체에 애드웨어나 악성 코드가 포함된 사례도 보고됐다. 공용 와이파이에서 VPN이 필요하다면 노로그 정책을 독립 감사로 검증받은 유료 서비스를 선택하는 쪽이 낫다. VPN을 켜더라도 기기 자체의 보안 취약점이나 앱 레벨의 침해는 별개 문제임을 잊지 말아야 한다.

편의점·카페 와이파이와 지하철 공공 와이파이 중 어느 쪽이 더 위험한가요?

보안 수준은 운영 주체의 설정에 달려 있어 일률적으로 비교하기 어렵다. 지자체·통신사가 운영하는 공공 와이파이(지하철, 버스정류장 등)는 보안 관리 지침이 비교적 체계적으로 갖춰진 편이다. 반면 개인 사업자나 소규모 프랜차이즈가 운영하는 AP는 초기 설치 이후 보안 설정 점검이 제대로 이루어지지 않는 경우가 많다. 어떤 네트워크든 민감한 파일 전송은 피하고, 꼭 필요하다면 모바일 데이터로 전환하는 습관이 가장 확실한 방어다.

공용 와이파이에서 웹하드나 P2P 클라이언트를 쓰면 어떤 문제가 생기나요?

웹하드 서비스는 전용 클라이언트를 통해 파일을 주고받는 구조다. 공용 네트워크에서는 클라이언트가 서버와 주고받는 패킷이 노출될 수 있으며, 일부 구형 클라이언트는 TLS 적용이 미흡하거나 전송 구간 암호화가 없는 경우도 있다. DRM(디지털 저작권 관리)이 걸린 파일을 전용 플레이어로 스트리밍하는 경우에도 인증 토큰이 네트워크로 오가므로 공용 와이파이 환경에서는 주의가 필요하다. P2P 방식은 더 위험한데, 다운로드·업로드 중 IP 주소가 네트워크에 직접 노출되고 저작권 모니터링에 포착될 가능성도 별도로 따라붙는다. 웹하드 이용 시에는 공식 HTTPS 웹 인터페이스를 사용하거나 전송 전에 모바일 데이터로 전환하는 것을 권장한다. 웹하드 가이드에서 국내 서비스별 보안 수준 비교를 별도로 확인할 수 있다.

지금 연결된 공용 와이파이가 클라이언트 격리를 제대로 설정했는지 사용자가 직접 확인할 방법은 없다. 그러니 다음번에 카페 와이파이에서 파일을 보내야 하는 상황이 오면, 먼저 스마트폰 상단 와이파이 아이콘을 끄고 LTE/5G로 바꾸는 루틴 하나부터 몸에 익히자. 보안은 거창한 도구보다 사소한 습관에서 차이가 난다. 암호화 수준별 국내외 서비스 비교가 필요하다면 클라우드 비교를, 파일 전송 채널 전반의 보안 점검 방법은 파일공유 보안 카테고리에서 찾을 수 있다.