페이스북 '좋아요 좀비'에서 탈출하는 5단계 방법

[비즈한국] “얼마 전부터 기자님이 좋아하는 게시물이라고 이렇게 저한테 뜨는데…. 직접 누르신 게 아니라면 한 번 확인해 보세요.”

어느 날 한 페이스북 지인으로부터 온 메시지다. 지인이 보내준 캡처 화면은 맹세컨대 단 한 번도 본 적이 없는 자극적인 게시물이었다. 하지만 분명 내가 좋아한다는 표시가 되어 있었다. 아무리 봐도 내가 좋아할 리 없을만한 내용이었다.

‘아, 해킹을 당했구나….’

말로만 듣던 ‘좋아요 좀비’가 된 것이다. 당장 짚이는 것이 하나 있었다. 얼마 전 페이스북 방문자를 추적해준다는 애플리케이션(앱)에 호기심을 가지고 로그인을 한 기억이 떠올랐다. 이때 비밀번호를 입력한 것이 화근이었다. 일단 비밀번호를 바꾸기에 앞서 얼마나 해킹에 활용됐는지를 확인하는 것이 먼저였다.

# 1단계 : 프로필 하단 ‘활동 로그 보기’를 눌러서 확인

페이스북에는 자동 기록된 모든 활동을 확인할 수 있는 ‘활동 로그 기능’이 있다. 여기에는 댓글, 좋아요, 친구맺기, 새 게시물 작성 등의 활동이 시간 순서대로 일목요연하게 정리돼 있다.

첫 번째 확인할 부분은 ‘좋아요’와 ‘댓글’ 부분. 특히 좋아요가 중요하다. 내가 좋아요를 누른 게시물이 나와 페이스북 친구(페친) 관계에 있는 사람에게 내 이름과 함께 자동으로 추천되기 때문이다. 해커들이 노린 것도 바로 이 지점이다. 트래픽을 끌어 모아 광고로 수익을 올리거나, 또 다른 해킹 범죄에 악용하기 위함이다.

우측 하단의 활동 로그 보기는 굳이 해킹당하지 않았더라도 가끔씩 확인해보는 것이 보안상 이롭다.

# 2단계 : 좋아요 전부 원위치

충격적이었다. 자극적이고 저속한 내용의 게시물에 좋아요를 눌렀다는 기록이 수십여 건 발견됐다. 일단 ‘활동 로그’에서 직접 누르지 않은 모든 좋아요를 다시 눌러서 취소했다.

확인 결과 기자의 페이스북 계정은 무려 두 달 전부터 이러한 좋아요 장사에 동원되고 있었다. 오래된 게시물이라고 해도 계속 페이스북에 공유나 추천이 될 경우, 이는 다른 페친의 타임라인에 뜰 가능성이 생긴다. 만약 이상한 내용의 게시물이 페친에게 소개될 경우 본인의 인격이나 취향을 의심받을 수도 있다.

# 3단계 : ‘모든 앱’ 전면 검토

그 다음은 설정에 들어가 ‘앱’을 선택해 어떤 앱에 어떤 권한을 부여했는지 전부 확인해야 한다. 최근 대부분 앱이나 서비스는 복잡한 회원가입 대신 페이스북 로그인을 지원한다. 이때 권한 부여에 동의하게 되는데, 이를 통해 앱에서 자동으로 나 대신 게시물을 올리거나 좋아요를 누를 수 있게 되는 것이다. 이를 액세스 토큰이라고 하는데, 비밀번호만 바꾼다고 해서 문제가 해결되지 않는다. 액세스 토큰을 차단해야 비로소 좋아요 장사에 동원되는 것을 확실히 막을 수 있다.

‘설정→앱’을 확인해 보면 그간 페이스북 로그인을 사용한 모든 앱을 확인할 수 있다.

아니나 다를까 처음 보는 의심스러운 앱 몇 개가 발견됐다. 전체 공개 권한이 부여돼 있었으며, 알림이 꺼져 있었다. 즉, 좋아요 장사에 동원된 것이 가장 의심되는 앱이었다. 이참에 더 이상 안 쓰는 앱까지 포함해 전부 삭제 정리했다.

# 4단계 : 비밀번호 변경

당연히 비밀번호도 교체해야 한다. 이미 비밀번호가 노출된 이상 다시 해킹을 당할 가능성은 대단히 높다. 다른 사이트에서도 사용하지 않는 비밀번호를 만들어 교체했다. 10자리 이상 영문과 숫자와 특수기호를 섞어서 복잡하게 만들었다.

# 5단계 : 모든 세션 로그아웃

마지막 조치는 모든 기기에서 로그아웃 하는 것이다. 페이스북은 자신의 PC나 스마트폰에서 일단 로그인할 경우 그 다음부터는 비밀번호를 물어보지 않는 자동 로그인을 지원한다. 물론 비밀번호를 바꿀 경우 다른 기기에서 최초 접속 시 바뀐 비밀번호를 묻는다. 하지만 보다 확실히 하기 위해 모든 세션 로그아웃을 한번 해주는 것이 좋다. 확인해보니 한 번도 가본 적 없는 브라질에서 최근 한 달간 세 번이나 접속한 것으로 표시됐다.

‘설정→보안 및 로그인’에 들어가면 접속한 기기의 대략적인 모델명과 위치를 확인할 수 있다. 다만 가끔 GPS오류로 인해 해킹이 아닌 위치 오류가 발생할 수도 있다는 점은 감안해야 한다.

‘설정→보안 및 로그인’을 선택한 다음 ‘로그인한 위치’에서 더 보기를 눌러 우측 하단에 모든 세션 로그아웃을 누르면 된다. 여기에 ‘추가 보안 설정’에서 ‘확인되지 않은 로그인에 대해 알림 받기’ 기능에 휴대전화 번호와 이메일 주소를 추가했다.

모든 조치를 취한 이후 시간이 꽤 흘렀다. 현재 타임라인을 확인해 보면 엉뚱한 게시물에 좋아요를 누른 흔적이 발견되지 않는다. 하지만 방치된 두 달여 기간 동안 페이스북 공간에서 기자의 이미지가 얼마나 망가졌을지는 추측할 수조차 없다. 나름대로 IT 전문기자라고 자부해온 자존심에도 금이 갔다. 보안은 확신할수록 더욱 허술해지는 법이다.

봉성창 기자 bong@bizhankook.com