비행기 기내 와이파이, 이름만 믿고 연결해도 될까?

비행기에 탑승한 뒤 휴대전화를 비행기 모드로 바꾸고 WiFi만 다시 켜 본 적 있으신가요?

요즘은 기내 인터넷을 제공하는 항공사가 늘면서 비행 중에도 메시지를 확인하거나 웹사이트를 이용할 수 있습니다. 실제로 대항항공과 아시아나항공도 지원 항공기에서 기내 WiFi 서비스를 제공하고 있으며, 접속할 네트워크와 이용 절차를 공식 홈페이지에서 안내하고 있습니다.

그런데 WiFi 목록에 이런 이름이 동시에 나타난다면 어떨까요?

• Airline_WiFi

• Airline_Free_WiFi

• Free_Inflight_WiFi

• Onboard_WiFi

가장 그럴듯한 것을 누르면 될 것 같지만 여기서 한 가지 알아둘 점이 있습니다.

스마트폰에 표시되는 WiFi 이름 자체가 그 네트워크의 운영자를 증명하는 '공식 인증서'는 아니라는 것입니다.

그래서 이번 글에서는 기내 WiFi가 위험하다는 이야기가 아니라, 진짜와 비슷한 가짜 WiFi가 어떤 방식으로 만들어질 수 있고 여행객은 어떻게 확인하면 되는지를 현실적인 수준에서 살펴보겠습니다.

가짜 WiFi란 무엇일까?

보안 분야에서는 정상적인 무선 네트워크처럼 가장한 가짜 네트워크를 설명할 때 Evil Twin이라는 표현을 사용합니다.

쉽게 비유하면 진짜 카페 바로 옆에 간판과 메뉴판을 거의 똑같이 만들어 놓은 가짜 카페가 생긴 것과 비슷합니다.

이용자는 간판만 보고 진짜 카페라고 생각해 들어갈 수 있겠죠.

WiFi에서는 공격자가 정상 네트워크와 같거나 비슷한 SSID를 가진 무선 네트워크를 만들 수 있습니다.

SSID는 스마트폰의 WiFi 목록에서 우리가 보는 'WiFi 이름'이라고 생각하면 됩니다.

CISA는 Evil Twin을 정상적인 공용 액세스 포인트를 사칭하는 가짜 AP를 만들어 이용자의 연결을 유도하는 공격으로 설명하고 있습니다. NIST 역시 Rogue Access Point, 즉 허가되지 않거나 신뢰할 수 없는 무선 접속 장치가 중간에서 통신을 가로채는 위험을 공용 WiFi의 위협 중 하나로 분류합니다.

Evil Twin과 Rogue AP는 같은 말일까?

완전히 같은 개념은 아닙니다.

Rogue AP는 조직이나 시설에서 허가하지 않은 무선 접속 장치를 폭넓게 의미할 수 있습니다.

Evil Twin은 그중에서도 정상 WiFi와 비슷하게 가장해 사용자를 속이는 방식에 초점이 맞춰진 표현입니다.

WiFi 이름이 같아도 진짜라고 볼 수 없는 이유

SSID는 기본적으로 네트워크가 주변 기기에 보여주는 이름입니다.

문제는 이 이름을 공격자도 비슷하게 만들 수 있다는 것입니다.

예를 들어 공식 네트워크 이름이 있다고 가정했을 때 글자 하나를 추가하거나 'Free', 'VIP', 'Fast' 같은 단어를 붙여 더 매력적으로 보이게 만들 수도 있습니다.

따라서

'항공사 이름이 들어 있으니 공식 WiFi겠지'

라고 판단하는 것은 안전한 확인 방법이 아닙니다.

실제로 항공사들은 자체 안내에서 정확한 접속 방법을 제시합니다.

예를 들어 대항항공은 현재 공식 기내 WiFi 안내에서 비행기 모드를 켠 뒤 WiFi를 활성화하고 'Korean Air In-Flight' 네트워크를 선택한 다음 공식 포털 주소로 접속하도록 안내하고 있습니다.

아시아나항공 역시 항공기와 서비스 종류에 따라 접속 안내를 제공합니다. 2026년 9월 시작된 일부 Starlink 기내 WiFi 서비스의 경우 공식 안내에 별도의 네트워크명이 제시되어 있습니다. 기존 A350 서비스 안내와 접속 방식이 다른 경우도 있기 때문에 예전에 알고 있던 SSID만 기억하기보다 탑승한 항공편의 최신 안내를 확인하는 것이 좋습니다.

실제 기내에서도 이런 일이 있었을까?

기술적으로만 가능한 이야기는 아닙니다.

2024년 호주 연방경찰 AFP는 공항과 국내선 항공편 등에서 정상 서비스를 모방한 'Evil Twin' 무료 WiFi를 만든 혐의로 한 남성을 기소했다고 밝혔습니다.

수사는 한 항공사가 국내선 비행 중 발견한 수상한 WiFi를 신고하면서 시작됐습니다. 경찰은 이용자가 가짜 네트워크에 접속하면 이메일이나 소셜미디어 계정으로 로그인하도록 요구하는 가짜 페이지가 나타났고, 입력된 정보가 저장됐다고 주장했습니다. 이 내용은 당시 수사기관의 혐의 발표이므로 법원의 최종 판단과는 구분해 볼 필요가 있습니다.

이 사례가 있다고 해서 '기내 가짜 WiFi가 흔하다'고 말할 근거는 충분하지 않습니다.

다만 휴대용 장비로 가짜 무선 네트워크를 만들 수 있고 실제 항공 환경에서도 수사 사례가 있었다는 정도로 이해하는 것이 적절합니다.

가짜 WiFi에 연결하면 바로 개인정보가 털릴까?

그렇지는 않습니다.

가짜 WiFi에 접속했다는 사실만으로 스마트폰 안의 사진, 비밀번호, 금융정보가 자동으로 모두 넘어간다고 설명하는 것은 지나친 과장입니다.

위험은 이후 행동에 따라 커질 수 있습니다.

예를 들어 이런 순서입니다.

1. 공식 WiFi처럼 보이는 네트워크에 연결합니다.

2. 인터넷을 사용하려고 브라우저를 엽니다.

3. 정상 로그인 화면처럼 보이는 페이지가 나타납니다.

4. 이메일이나 SNS 계정 로그인을 요구합니다.

5. 이용자가 직접 ID와 비밀번호를 입력합니다.

6. 페이지 자체가 공격자 소유였다면 해당 정보가 탈취될 수 있습니다.

또한 암호화되지 않은 HTTP 통신이나 보안이 취약한 서비스라면 네트워크를 지나는 데이터가 노출될 위험도 커집니다.

DNS 조작이나 가짜 페이지로의 이동, 악성파일이나 가짜 업데이트 설치 유도 같은 방식도 가능한 공격 시나리오입니다.

HTTPS가 있는데도 왜 조심해야 할까?

여기서 HTTPS를 이해하면 불필요한 공포를 줄일 수 있습니다.

HTTPS는 여러분의 기기와 해당 웹사이트 사이의 통신 내용을 암호화합니다.

FTC도 오늘날 대부분의 웹사이트가 암호화를 사용하기 때문에 과거보다 공용 WiFi에서 통신 내용을 단순히 엿보는 위험이 크게 줄었다고 설명합니다. 주소창의 HTTPS와 자물쇠 표시를 확인하는 것도 도움이 됩니다.

예를 들어 정상적인 은행 사이트와 HTTPS로 연결돼 있다면 중간에 WiFi를 운영하는 사람이 로그인 내용을 그대로 읽는 것은 일반적인 평문 HTTP보다 훨씬 어렵습니다.

하지만 HTTPS가 '사이트가 정직하다'는 사실까지 보장하지는 않습니다.

공격자가 직접 만든 피싱 사이트 역시 HTTPS를 사용할 수 있습니다.

따라서 자물쇠 표시가 있다고 안심하고 가짜 사이트에 비밀번호를 직접 입력하면 HTTPS가 그 실수를 대신 막아주지는 못합니다. FTC도 사기꾼이 암호화된 가짜 사이트를 만들 수 있다고 설명합니다.

기억하기 쉬운 한 문장

HTTPS는 통신 경로를 보호하지만, 내가 접속한 상대가 진짜인지까지 대신 판단해 주는 기능은 아닙니다.

공항 WiFi와 기내 WiFi의 위험은 같은가?

기본적인 가짜 AP 공격 원리는 비슷할 수 있지만 환경은 다릅니다.

CISA는 특히 공항 같은 공개 장소의 개방형 WiFi에서 금융거래나 개인정보를 다루는 활동을 피할 것을 권고하고 있습니다.

기내 WiFi가 진짜인지 확인하는 가장 좋은 방법

가장 중요한 것은 WiFi 이름을 추측하지 않는 것입니다.

• 좌석 앞 안내문이나 기내 엔터테인먼트 화면을 확인합니다.

• 항공사 공식 홈페이지의 해당 항공편·기종 WiFi 안내를 확인합니다.

• 항공사 앱에 안내가 있다면 확인합니다.

• 확실하지 않으면 승무원에게 공식 WiFi 이름과 접속 방법을 물어봅니다.

• 연결 후 표시되는 포털 주소가 항공사가 안내한 방식과 일치하는지 살펴봅니다.

• 비슷한 WiFi 이름이 여러 개 나타난다면 임의로 선택하지 않습니다.

항공사별로 네트워크 이름, 접속 주소, 무료·유료 방식이 다르고 서비스도 변경될 수 있습니다.

여행 전에 캡처해 둔 오래된 블로그보다 해당 항공사의 최신 안내가 우선입니다.

이런 WiFi라면 한 번 더 확인하세요

다음 항목이 보인다고 무조건 공격이라는 뜻은 아닙니다.

다만 추가 확인이 필요한 신호로 생각하면 좋습니다.

• □ 항공사 안내에서 찾을 수 없는 WiFi 이름

• □ 공식망과 비슷하면서 'FREE', 'VIP', 'FAST' 등이 추가된 네트워크

• □ 연결하자마자 이메일이나 SNS 비밀번호를 요구하는 페이지

• □ 서비스 이용과 관계없는 과도한 개인정보를 요구하는 페이지

• □ 갑자기 카드정보 입력을 요구하는 페이지

• □ 앱, 보안 프로그램, 업데이트 파일 설치를 요구하는 페이지

• □ 브라우저가 인증서 또는 보안 경고를 표시하는 페이지

• □ 정상 사이트와 비슷하지만 철자가 조금 다른 주소

이미 수상한 WiFi에 연결했다면?

잠깐 연결했다고 해서 곧바로 모든 개인정보가 유출됐다고 생각할 필요는 없습니다.

무엇을 했는지에 따라 대응하면 됩니다.

1. 해당 WiFi 연결을 끊습니다.

2. 저장된 네트워크에서 삭제하고 자동 연결도 해제합니다.

3. 그 WiFi에서 비밀번호을 입력했다면 공식 앱이나 직접 입력한 공식 주소에서 비밀번호를 변경합니다.

4. 같은 비밀번호를 다른 서비스에서도 사용했다면 해당 계정도 변경합니다.

5. 지원되는 서비스에는 2단계 인증 또는 MFA를 설정합니다.

6. 카드나 계좌정보를 입력했다면 금융기관의 거래내역과 알림을 확인합니다.

7. 수상한 앱이나 파일을 설치했다면 삭제하고 운영체제 및 보안 기능을 이용해 점검합니다.

FTC도 비밀번호 재사용을 피하고 2단계 인증을 활용하며 운영체제와 브라우저를 최신 상태로 유지할 것을 권고합니다.

기내 WiFi 안전 이용 체크리스트

여행 전에 아래 내용만 기억해도 대부분의 실수를 줄일 수 있습니다.

• 공식 SSID와 접속 방법 확인

• WiFi 자동 연결 기능 끄기

• 운영체제와 브라우저 최신 업데이트

• 비슷한 이름의 WiFi를 발견하면 승무원에게 확인

• 주소창의 HTTPS와 실제 도메인 확인

• 수상한 로그인 페이지에서 개인정보 입력하지 않기

• 갑작스러운 앱·프로그램·업데이트 설치 요구 거절

• 이메일과 주요 계정에 2단계 인증 사용

• 금융거래는 가능하면 신뢰할 수 있는 통신 환경에서 진행

• 여행 후 필요 없는 공용 WiFi 저장정보 삭제

FTC도 스마트폰이 공용 WiFi에 자동으로 연결되지 않도록 설정하는 방법을 보안수칙 가운데 하나로 안내하고 있습니다.

VPN을 사용하면 완전히 안전할까?

VPN은 분명 도움이 될 수 있습니다.

VPN을 사용하면 일반적으로 내 기기와 VPN 서버 사이의 통신을 암호화할 수 있기 때문에 신뢰하기 어려운 공용 네트워크에서 통신을 보호하는 추가 수단이 될 수 있습니다. FTC도 공용 WiFi 환경에서 VPN이 데이터를 보호하는 데 도움이 될 수 있다고 안내합니다.

하지만 VPN은 만능 방패가 아닙니다.

VPN을 켜 둔 상태라도

• 피싱 사이트에 직접 비밀번호를 입력하거나

• 악성 앱을 설치하거나

• 가짜 업데이트 파일을 실행하거나

• 공격자에게 개인정보를 직접 제출하면

문제가 생길 수 있습니다.

또한 VPN을 이용한다는 것은 VPN 사업자를 신뢰한다는 의미도 있기 때문에 출처가 불분명한 VPN을 무조건 설치하는 것도 좋은 방법은 아닙니다.

핵심은 VPN 하나가 아니라 '공식 WiFi 확인 + HTTPS 확인 + 피싱 주의 + 2단계 인증'을 함께 적용하는 것입니다.

결국 가장 중요한 것은 'WiFi 이름을 믿지 않는 습관'

기내 WiFi 자체가 위험한 것은 아닙니다.

오늘날 웹사이트와 앱에는 HTTPS를 비롯한 여러 암호화 기술이 널리 적용돼 있어 과거의 공용 WiFi 환경과도 차이가 있습니다.

그렇다고 화면에 보이는 네트워크 이름을 무조건 믿을 필요도 없습니다.

비행기에서 WiFi를 이용할 때 가장 현실적인 보안수칙은 어렵지 않습니다.

'항공사가 안내한 정확한 네트워크인지 먼저 확인하고 접속한다.'

이 한 가지 습관만으로도 Evil Twin과 가짜 로그인 페이지에 속을 가능성을 상당 부분 줄일 수 있습니다.