공공 와이파이를 쓰지 말라는 조언, HTTPS 시대에도 맞을까?

인터넷에는 오래된 보안 조언을 다시 묻는 질문이 꾸준히 올라옵니다. 그중 하나가 이렇습니다.

“공공 와이파이를 쓰지 말라는데, 요즘 웹사이트는 대부분 HTTPS 아닌가요?”Reddit r/explainlikeimfive의 실제 질문

댓글의 답은 한쪽으로 모이지 않았습니다.

서로 반대처럼 보이지만 세 반응에는 맞는 부분이 조금씩 있습니다. 문제는 서로 다른 위험을 한 문장에 섞어 말한다는 데 있습니다.

예전 경고가 틀린 말은 아니었습니다

공공 와이파이를 피하라는 조언은 웹사이트 대부분이 암호화되지 않던 시절에 생겼습니다. 당시에는 같은 네트워크를 지나는 아이디와 비밀번호가 엽서의 글씨처럼 드러날 수 있었습니다. 지금은 주요 서비스 대부분이 내용을 암호화하지만, 오래된 조언만 남아 현재의 위험까지 한꺼번에 설명하고 있습니다.

미국 FTC도 웹 암호화가 널리 쓰이면서 공공 와이파이가 대체로 안전해졌다고 설명합니다. 단, 가짜 웹사이트 자체도 HTTPS를 사용할 수 있다고 덧붙입니다. 자물쇠가 보인다고 사이트 운영자까지 좋은 사람이라는 뜻은 아닙니다.

비행기에서 발견된 가짜 항공사 와이파이

2024년 4월, 호주 국내선에서 한 승무원이 수상한 무료 와이파이를 발견했습니다. 이름과 접속 화면은 항공사의 서비스처럼 보였습니다. 하지만 항공사가 만든 네트워크가 아니었습니다.

실제 판결 사례

익숙한 이름 뒤에 가짜 로그인 화면이 열렸습니다

2025-11-28 선고

1진짜처럼 보이는 이름공항·항공사의 무료 와이파이를 흉내 냈습니다.

→

2가짜 로그인 화면이메일·SNS 로그인 정보를 입력하게 했습니다.

→

3계정 정보 수집압수 장비에서 로그인 정보와 가짜 페이지 기록이 발견됐습니다.

공격자가 하지 않은 일정상적인 HTTPS 암호를 정면으로 깨뜨린 것이 아닙니다.

공격자가 노린 일익숙한 이름을 믿은 사람이 가짜 화면에 직접 입력하도록 만들었습니다.

형량을 읽을 때 주의: 징역 7년 4개월은 가짜 와이파이뿐 아니라 여러 계정의 무단 접근과 사적인 사진·영상 절취 등 다른 범행까지 합친 형량입니다. 보도된 모든 계정 침해가 가짜 와이파이에서 시작됐다고 단정할 수도 없습니다.

이 사건은 댓글 논쟁의 핵심을 보여줍니다. HTTPS가 쓸모없는 것이 아니라 공격자가 HTTPS와 싸우지 않는 길을 택한 것입니다.

같은 비밀번호를 보내 보니 차이는 선명했습니다

작은 가상 카페망에서 가짜 이메일 mina@example.test와 비밀번호 Coffee-Only-4827을 두 번 보냈습니다. 한 번은 보호 없이, 한 번은 최신 웹 암호화 연결로 보내고 중간 지점에 무엇이 남는지 비교했습니다.

보호 없는 쪽에서는 경로·이메일·비밀번호가 글자로 보였고, HTTPS 쪽에서는 내용이 가려졌습니다. 이것이 “이제는 대체로 괜찮다”는 댓글이 맞는 이유입니다.

HTTPS는 내 기기와 웹사이트 사이의 내용을 봉투처럼 가립니다. 다만 봉투 겉면처럼 연결 시각, 데이터의 대략적인 양, 연결한 사이트 이름 같은 바깥 정보는 일부 남을 수 있습니다.

여기서 두 번째 판정: HTTPS는 선택한 주소까지 가는 길을 보호합니다. 철자가 다른 가짜 주소를 내가 선택했다면, 비밀번호는 잘 봉인된 채 공격자에게 배달됩니다.

와이파이 접속 화면은 어디까지 물어도 정상일까

무료 와이파이에 연결하면 이용약관 화면이나 간단한 인증 절차가 나올 수 있습니다. 모든 입력란이 가짜인 것은 아닙니다. 중요한 것은 카페 인터넷을 쓰는 데 왜 그 정보가 필요한지입니다.

이메일 주소만 묻는 것과 이메일 계정의 비밀번호를 요구하는 것은 완전히 다릅니다. 일반 카페 와이파이를 연결하는 데 개인 계정의 비밀번호가 필요할 이유는 없습니다.

브라우저가 보여주는 신호는 여전히 유효합니다

자물쇠 모양을 외우기보다 경고와 사이트 이름을 보세요. 최신 Chrome은 자물쇠 대신 조절 막대처럼 생긴 사이트 정보 아이콘을 사용하기도 합니다.

그렇다면 VPN은 꼭 필요할까

댓글에서 가장 자주 갈리는 다음 질문입니다. VPN은 내 인터넷을 특정 회사의 서버로 한 번 우회시켜 카페 쪽에 보이는 정보를 줄이는 서비스입니다. 하지만 가짜 로그인 화면에 비밀번호를 직접 입력하는 실수까지 막아주지는 않습니다.

세 번째 판정: 평소 웹사이트와 앱을 잠깐 쓰기 위해 유료 VPN부터 살 필요는 없습니다. 회사 업무는 회사 지침을 따르고, 송금·결제 화면이 수상하면 VPN을 찾기보다 Wi-Fi를 끄고 모바일 데이터에서 공식 앱을 다시 여는 편이 단순합니다.

수상한 무료 VPN을 급하게 설치하는 것은 피하세요. 일부 서비스는 이용자의 기기와 회선을 다른 사람의 통신 경로로 사용하기도 합니다.

노트북은 웹 통신과 별개로 한 가지를 더 봐야 합니다. 운영체제를 최신 상태로 유지하고, 공용 네트워크에서 파일 공유가 켜져 있지 않은지 확인하세요. 이것은 HTTPS가 해결하는 문제와 다른 기기 보안입니다.

피해 후 행동

이미 입력했다면, 지금 계정부터 잠그세요

와이파이를 끄는 것만으로는 이미 넘어간 로그인 정보를 되돌릴 수 없습니다.

1. 연결을 끊고 네트워크를 지웁니다모바일 데이터로 바꾼 뒤 수상한 네트워크의 자동 연결을 해제합니다.
2. 공식 경로에서 비밀번호를 바꿉니다가짜 화면의 링크가 아니라 공식 앱이나 직접 입력한 주소를 이용합니다.
3. 같은 비밀번호를 쓴 계정도 바꿉니다다른 계정의 복구 열쇠가 되는 이메일 계정을 먼저 확인합니다.
4. 모든 기기에서 로그아웃합니다최근 로그인과 복구 정보를 확인하고 2단계 인증이나 패스키를 켭니다.
5. 금융정보를 입력했다면 바로 연락합니다카드번호·계좌정보·인증번호를 넘겼다면 해당 금융회사에 즉시 알립니다.

계정 도용·개인정보 침해는 KISA 118에서 상담받을 수 있습니다. 실제 피해 신고는 경찰청 사이버범죄 신고시스템을 이용합니다.

공공 와이파이가 무조건 위험한 시대는 지났습니다. 다만 익숙한 와이파이 이름 뒤에 열린 화면까지 진짜라는 보장은 없습니다. 경고, 사이트 이름, 요구하는 정보를 함께 보고 하나라도 수상하면 모바일 데이터에서 다시 시작하세요.

참고 자료

• ELI5: 왜 공공 와이파이를 쓰지 말라고 하나요? — Reddit r/explainlikeimfive, 2024. 독자들이 실제로 묻는 질문과 ‘HTTPS면 괜찮다·가짜 와이파이는 위험하다·VPN이 필요하다’로 반응이 갈리는 지점을 파악하는 데만 사용했습니다. 사실 판정은 아래의 공공기관·브라우저·기술 표준 자료로 확인했습니다. 2026-08-13 확인.
• Are Public Wi-Fi Networks Safe? What You Need To Know — 미국 연방거래위원회(FTC), 2023-02. 공공 와이파이와 웹 암호화, 가짜 암호화 사이트의 차이를 확인했습니다. 2026-08-13 확인.
• Check if a site's connection is secure — Google Chrome 고객센터. 연결 상태 표시와 위험 경고, 사이트 이름 확인 안내를 확인했습니다. 2026-08-13 확인.
• Safari로 탐색하는 동안 ‘보안 안 됨’ 경고가 표시되는 경우 — Apple 지원. 해당 경고가 표시된 페이지에는 비밀번호나 카드 번호를 입력하지 말라는 안내를 확인했습니다. 2026-08-13 확인.
• WA man jailed for stealing intimate material and using ‘evil twin’ WiFi networks — Australian Federal Police, 2025-11-28. 가짜 와이파이 수사 경로, 압수 기기에서 확인된 로그인 정보와 가짜 페이지 기록, 전체 형량의 범위를 확인했습니다. 2026-08-13 확인.
• Perth hacker jailed after setting up fake Qantas Wi-Fi — ABC News, 2025-11-28. 법정에서 확인된 사건 진행, 피해자 진술의 요지와 징역 7년 4개월 선고를 교차 확인했습니다. 2026-08-13 확인.
• The Transport Layer Security (TLS) Protocol Version 1.3 — IETF RFC 8446, 2018-08. TLS의 인증·기밀성·무결성 목표와 메타데이터 한계를 확인했습니다. 2026-08-13 확인.
• Best Practices for Using Public WiFi — 미국 CISA. 민감한 작업에는 신뢰할 수 있는 네트워크나 모바일 연결을 쓰라는 권고를 확인했습니다. 2026-08-13 확인.
• 알기쉬운 공중 무선랜 보안 안내서 — KISA 보호나라&KrCERT/CC, 2012-04-13. 공중 무선랜의 기본 위험 유형을 확인했습니다. 오래된 자료이므로 현재 웹 암호화 판단은 FTC·Chrome·TLS 문서를 우선했습니다. 2026-08-13 확인.
• KISA 개인정보침해 신고센터 — 유출 계정의 비밀번호 변경, 2단계 인증, 일괄 로그아웃과 로그인 알림 설정 권고 및 118 상담 창구를 확인했습니다. 2026-08-13 확인.
• How To Recover Your Hacked Email or Social Media Account — 미국 FTC. 비밀번호 변경, 전체 기기 로그아웃, 2단계 인증과 복구 정보 확인 순서를 확인했습니다. 2026-08-13 확인.
• Evading Residential Proxy Networks — 미국 FBI, 2026. 일부 무료 VPN의 숨은 프록시 사용 위험과 공식 앱스토어·신뢰할 수 있는 운영자 확인 권고를 확인했습니다. 2026-08-13 확인.
• 경찰청 사이버범죄 신고시스템 — 계정 도용이나 금전 피해가 발생했을 때 이용할 국내 신고 창구를 확인했습니다. 2026-08-13 확인.