줌바밍이란? 발생 원인과 7가지 예방법

이 글은 독립적인 정보 제공을 위한 가이드입니다. Zoom Communications, Inc.와는 관련이 없습니다.

이런 상황을 떠올려 보세요. 분기별 전사 회의가 시작된 지 5분. 대표가 매출 실적을 발표하고 있는데, 갑자기 모르는 사람이 화면에 나타나 시끄러운 음악을 틀고 채팅에 부적절한 이미지를 올립니다. 순식간에 200명의 직원이 절대 봐서는 안 될 콘텐츠를 보고 있는 상황이 됩니다.

이런 일이 2020년과 2021년에 수천 건 발생했어요. FBI가 공식 경고를 발표했고, 학교들은 온라인 수업을 중단했으며, 법원은 가해자를 기소하기 시작했습니다. 그리고 새로운 단어가 등장했어요: 줌바밍(Zoombombing).

팬데믹 초기의 최악의 물결은 지나갔지만, 줌바밍이 사라진 것은 아닙니다. FBI 인터넷범죄신고센터 보고에 따르면, 기본 보안 설정을 생략한 조직에서는 회의 방해가 여전히 발생하고 있어요.

이 가이드에서는 줌바밍이 무엇인지, 공격자가 어떻게 침입하는지, 7가지 구체적인 예방법, 그리고 실제로 발생했을 때 어떻게 대응해야 하는지 알려드릴게요. 10명 규모의 스탠드업 미팅이든 500명 규모의 웨비나든, 이 방법들은 모두 적용 가능합니다.

줌바밍은 어떻게 발생하나요?

줌바밍에는 고급 해킹 기술이 필요하지 않아요. 대부분의 경우, 공격자는 네 가지 경로 중 하나로 침입합니다.

회의 링크 공유. 누군가가 소셜 미디어, 공개 Slack 채널, 웹사이트에 회의 링크를 올리면, 비밀번호나 대기실이 없는 경우 누구나 클릭해서 참가할 수 있어요. 팬데믹 때 교육자들이 학교 웹사이트에 수업 링크를 자주 공유한 것이 쉬운 타겟이 된 이유였습니다.

회의 ID 추측. Zoom의 기본 회의 ID는 9~11자리 숫자였어요. 2020년 보스턴 대학교 연구진은 자동화된 스크립트가 숫자 조합을 시도해 유효한 회의 ID를 맞출 수 있다는 것을 입증했습니다. Zoom은 이후 기본 비밀번호를 추가했지만, 비밀번호를 비활성화한 회의는 여전히 취약해요.

참가자의 외부 공유. 참가자가 의도적으로든, 캘린더 초대를 전달하면서든 회의 링크나 접속 정보를 외부인에게 공유하는 경우입니다. 기술만으로는 막기 가장 어려운 경로예요.

개인 회의 ID 재사용. 모든 Zoom 계정에는 영구적인 개인 회의 ID(PMI)가 있어요. 매번 같은 PMI를 사용하고 한 번이라도 공유했다면, 저장해둔 사람은 이후 회의에 무단으로 재접속할 수 있습니다.

이러한 침입 경로를 이해하는 것이 중요한 이유는, 아래의 각 예방 단계가 이 중 하나 이상을 차단하기 때문이에요.

왜 줌바밍을 하는 걸까요?

동기는 다양하지만, 크게 세 가지로 나뉩니다.

트롤링과 관심 끌기. 줌바밍 가해자의 가장 큰 비율을 차지하는 것은 반응을 즐기는 인터넷 트롤이에요. 2020년에는 포럼이나 Discord 서버 전체가 "줌 급습"을 조직해 회의 링크를 공유하고 방해 행위를 조율했습니다. 목적은 다른 사람의 희생을 통한 오락이었어요.

괴롭힘과 혐오 표현. 일부 공격은 표적을 정해 이루어져요. 2020년 Anti-Defamation League은 특정 커뮤니티를 대상으로 인종차별적, 반유대적, 동성애 혐오적 콘텐츠를 포함한 줌바밍이 급증했다고 보고했습니다. 온라인 예배, 지지 모임, 문화 행사가 주요 타겟이었어요.

기업 스파이와 정보 탈취. 덜 흔하지만 피해가 가장 큰 유형이에요. 초대받지 않은 참석자가 조용히 회의에 참가해 카메라를 끄고 기밀 논의를 도청합니다. 침입자가 발각되지 않으려 하기 때문에 감지하기가 더 어려워요.

세 번째 유형이 바로 "우리 내부 팀 회의를 누가 방해하겠어"라고 생각하는 회의에서도 보안이 중요한 이유예요. 제품 로드맵, 재무 실적, 인사 결정을 논의하는 회사에게 무음 도청은 현실적인 위험입니다.

오늘 바로 확인해야 할 Zoom 보안 설정

위의 7단계 외에도, Zoom은 2020년 줌바밍 사태 이후 여러 보안 기능을 추가했어요. 계정 보안 점검 체크리스트를 참고하세요.

• "참가자 활동 일시 중지" 버튼. 2020년 말에 추가된 이 비상 버튼은 영상, 오디오, 화면 공유, 녹화, 소회의실을 한 번에 중단해요. 회의 도구 모음의 보안 방패 아이콘에서 찾을 수 있습니다. 방해가 시작되는 즉시 사용하세요.
• "위험 회의 알림" 기능. Zoom이 공개 소셜 미디어 게시물에서 회의 링크를 검색해요. 여러분의 링크가 발견되면 설정 변경이나 새 링크 생성을 권고하는 이메일 경고를 받게 됩니다.
• 인증된 사용자만 참가 허용. 설정 > 보안에서 "인증된 사용자만 참가 가능"을 활성화하세요. 참가 전 Zoom 계정 로그인이 필요합니다. 회사 회의의 경우, 조직의 이메일 도메인을 가진 사용자로 추가 제한할 수 있어요.
• 종단 간 암호화(E2EE). 최대 200명 회의에서 사용 가능해요. 활성화하면 Zoom 서버도 회의 내용에 접근할 수 없습니다. 설정 > 보안 > "종단 간 암호화 사용 허용"에서 켜세요.
• 워터마크. Zoom이 공유 콘텐츠에 각 참가자의 이메일 주소를 오버레이하고 회의 오디오에 오디오 워터마크를 삽입할 수 있어요. 누군가 녹화를 유출하면 출처를 추적할 수 있습니다.

이 항목들을 한 번만 설정하면 회의 보안이 크게 강화돼요. 대부분 1분 이내에 활성화할 수 있습니다.

줌바밍이 발생했을 때 대처 방법

사전 조치를 취해도 방해는 발생할 수 있어요. 누군가 링크를 전달했거나, 보안 설정이 약한 회의를 인수받았을 수도 있습니다. 단계별 대응 계획을 안내할게요.

1. 즉시 "참가자 활동 일시 중지"를 누르세요. 모든 것이 한 번에 멈춰요. 방해자는 화면 공유, 음소거 해제, 채팅 메시지 전송이 불가능해집니다. 방해가 계속되지 않는 상태에서 대처할 시간을 확보할 수 있어요.

2. 침입자를 식별하고 제거하세요. 참가자 패널을 열고, 모르는 이름이나 "iPhone", "User" 같은 일반적인 이름을 찾으세요. 제거하고 재참가 차단 옵션을 체크합니다.

3. 회의를 잠그세요. 방해자가 제거되면 회의를 잠궈서 다른 사람이 들어올 수 없게 하세요.

4. 상황을 인정하세요. 참가자들에게 말하세요: "방금 무단 방해가 있었습니다. 해당 인물은 제거되었고 회의는 잠금 처리되었습니다." 없었던 일처럼 넘기지 마세요. 부적절한 콘텐츠가 노출되었다면, 그 사실을 인정하고 회의 후 팀원들의 상태를 확인하세요.

5. 모든 것을 기록하세요. 회의 채팅 기록을 저장하고, 방해자의 표시 이름과 보이는 프로필 정보를 메모하고, 녹화 중이었다면 녹화본을 저장하세요. 이 증거는 신고 시 매우 중요해요.

6. 사건을 신고하세요. Zoom Trust & Safety 팀에 보고서를 제출하세요. 위협, 혐오 발언, 불법 콘텐츠가 포함되었다면 경찰과 FBI IC3에도 신고하세요.

7. 분석하고 설정을 업데이트하세요. 회의 후 침입자가 어떻게 들어왔는지 파악하세요. 링크가 공개적으로 공유되었나요? 대기실이 비활성화되어 있었나요? 답을 바탕으로 향후 회의의 해당 취약점을 보완하세요.

실제 사례를 생각해 보세요. 비영리 단체가 온라인 모금 행사를 진행하다 기조연설 5분 만에 줌바밍을 당합니다. 호스트가 당황하지만, 이 같은 가이드를 읽어본 공동 호스트가 즉시 참가자 활동을 일시 중지하고, 침입자를 제거하고, 회의를 잠급니다. 90초 후 기조연설이 재개돼요. 사전 준비가 90초의 해프닝과 20분간의 혼란 사이의 차이를 만듭니다.

줌바밍은 불법인가요?

네, 줌바밍은 형사 범죄에 해당할 수 있어요. 구체적인 혐의는 공격자의 행위와 위치에 따라 다르지만, 실질적인 법적 결과가 따릅니다.

미국 연방 혐의. FBI와 법무부는 특정 줌바밍 사건을 연방 범죄로 분류했어요. 컴퓨터 사기 및 남용법(CFAA)에 따르면, 무단으로 컴퓨터 시스템에 접근하면 최대 5년의 징역형을 받을 수 있습니다. 위협이나 혐오 발언이 포함되면 연방 괴롭힘 및 시민권 법률에 따른 추가 혐의가 적용돼요.

주 단위 기소. 미국 여러 주에서 기존 법률을 활용해 줌바밍 가해자를 기소했어요. 2020년 캘리포니아에서는 한 남성이 "온라인 수업 방해와 관련된 사이버 범죄" 혐의로 기소되었습니다. 텍사스, 뉴욕, 미시간에서도 유사한 사건이 진행되었어요. 일반적인 혐의에는 무단 컴퓨터 접근, 괴롭힘, 질서 문란이 포함됩니다.

국제적 법 집행. 영국의 Communications Act 2003은 "심하게 불쾌한" 전자 통신을 다루고 있어요. 캐나다 형법은 컴퓨터 시스템의 무단 사용을 규정합니다. 호주의 Criminal Code Act에는 제한된 데이터에 대한 무단 접근 관련 조항이 포함되어 있어요.

민사 책임. 형사 혐의 외에도, 줌바밍 가해자는 민사 소송에 직면할 수 있어요. 줌바밍으로 측정 가능한 피해(행사 취소, 참가자의 정신적 고통, 사업 손실)가 발생하면, 피해자는 손해배상을 청구할 수 있습니다.

핵심 법적 쟁점은 해당 회의가 "공개적으로 열려 있었는지"예요. 비밀번호 없이 공개 웹사이트에 회의 링크를 게시한 경우, 클릭한 사람이 무단 접근을 했다고 주장하기 어려워요. 이것이 항상 비밀번호와 대기실을 사용해야 하는 또 다른 이유입니다. 이 설정들이 무단 침입의 명확한 경계를 만들어 줘요.

결론적으로, 줌바밍은 단순한 "장난"이 아닙니다. 형사 기소, 벌금, 징역형으로 이어질 수 있어요.

2026년에도 줌바밍이 발생하고 있나요?

2020~2021년의 폭발적인 물결은 줄어들었지만, 줌바밍은 멈추지 않았어요. 세 가지 요인이 이를 지속시키고 있습니다.

기본 설정이 모든 것을 막아주지 못해요. Zoom은 2020년 4월에 비밀번호와 대기실을 기본으로 활성화했습니다. 이로써 회의 ID를 추측하던 일반 공격자는 차단되었어요. 하지만 관리자들이 편의를 위해 이 기본 설정을 끄는 경우가 있습니다. 참석자의 쉬운 접근을 보안보다 우선시하는 조직은 여전히 취약해요.

새로운 플랫폼, 같은 문제. 줌바밍이라는 이름은 Zoom에서 유래했지만, 같은 공격이 Google Meet, Microsoft Teams, Webex, 그리고 공유 가능한 회의 링크를 사용하는 거의 모든 플랫폼에서 발생해요. 스탠포드 대학교의 원격 학습 연구에 따르면, 회의 방해는 Zoom뿐 아니라 모든 주요 플랫폼에서 발생했습니다.

하이브리드 이벤트로 노출 증가. 기업이 대면과 원격 참석자를 모두 포함하는 하이브리드 이벤트를 더 많이 개최하면서, 회의 링크가 더 넓게 배포되고 있어요. 50명에게 보낸 링크가 500명에게 전달될 수 있습니다. 전달할 때마다 잠재적 유출이에요.

위험도는 2020년보다 낮아졌지만, 제로가 아닙니다. 공개 가상 이벤트, 온라인 수업, 커뮤니티 모임을 운영하는 모든 조직은 줌바밍 예방을 팬데믹 시대의 유물이 아닌 기본 관행으로 다뤄야 해요.

Zoom 회의를 안전하게 설정하는 방법이나 Zoom 사용법에 대한 일반 가이드를 찾고 계시다면, 해당 가이드에서 보안을 고려한 전체 설정 과정을 확인할 수 있어요.

회의 링크를 넘어서: 공간형 플랫폼이 문제를 다르게 해결하는 방법

기존 화상회의 도구에는 구조적 약점이 있어요: 바로 회의 링크입니다. 하나의 URL이 전체 회의실에 대한 완전한 접근 권한을 부여해요. 이 URL이 유출되면 누구나 들어올 수 있습니다.

공간형 회의 플랫폼은 다른 접근 방식을 취해요. 하나의 회의실 대신, 사람들이 아바타로 이동하는 가상 공간을 제공합니다. 대화는 근접성을 통해 이루어져요. 가까이 있는 사람의 소리가 들리고, 멀리 있는 사람은 들리지 않습니다.

이 아키텍처는 보안 모델을 세 가지 방식으로 바꿔요:

1. 하나의 링크로 모든 대화에 접근할 수 없어요. 초대받지 않은 사람이 공간에 들어오더라도, 물리적으로 옆에 서 있는 대화만 들을 수 있습니다. 방 건너편의 다른 그룹은 기본적으로 프라이버시가 보장돼요.

2. 시각적 존재 감지. 100명이 참여한 Zoom 통화에서는 모르는 사람이 쉽게 섞여요. 공간형 룸에서는 그룹 근처에 서 있는 낯선 아바타가 즉시 눈에 띕니다. 자리를 옮겨 다른 곳에서 대화를 이어갈 수 있어요.

3. 공간 내 프라이빗 룸. Flat.social 같은 공간형 플랫폼에는 벽이 소리를 차단하는 밀폐된 공간이 포함되어 있어요. 안으로 들어가면 바깥에서는 아무것도 들리지 않습니다. 비밀번호가 필요 없어요. 프라이버시가 공간의 구조에 내장되어 있으니까요.

이것이 기존 화상회의를 완전히 대체하는 것은 아니에요. Zoom과 Teams는 여전히 구조화된 발표와 공식 전사 회의에 적합합니다. 하지만 팀 활동, 네트워킹 이벤트, 자유로운 협업에는 공간형 플랫폼이 보안 취약점의 근원인 공유 가능한 회의 링크를 제거해요.

줌바밍이 조직에서 우려 사항이었다면, 문제를 다른 각도에서 접근하는 기존 화상통화의 대안을 살펴볼 가치가 있어요.

Zoom은 Zoom Communications, Inc.의 상표입니다. Google Meet는 Google LLC의 상표입니다. Microsoft Teams는 Microsoft Corporation의 상표입니다. Webex는 Cisco Systems, Inc.의 상표입니다. 이 글은 이들 회사와 관련이 없으며, 후원이나 보증을 받지 않습니다.