컴퓨터를 종료했다가 다시 켠 뒤 로그인은 정상적으로 되지만 프로그램이 전혀 열리지 않거나, 알 수 없는 사용자 관련 알림과 보안 이벤트가 함께 발견되면 악성코드 감염을 먼저 의심하기 쉽다. 그러나 윈도우의 백그라운드 계정, 관리자 권한 로그온, 서비스 실행 기록도 보안 로그에 사용자 활동처럼 표시될 수 있어 이벤트 뷰어만으로 침해 여부를 단정하기는 어렵다. 이런 상황에서는 의심스러운 계정이 실제로 생성됐는지 확인하고, 윈도우 자체 오류와 악성코드 가능성을 분리해서 점검한 뒤 필요하다면 USB를 이용한 클린 설치까지 고려하는 것이 안전하다.
로그인 후 아무것도 열리지 않는 원인은 무엇일까?
윈도우 로그인 화면을 통과하고 바탕화면까지 나타났는데 프로그램이 실행되지 않는 증상은 악성코드 외에도 여러 원인으로 발생할 수 있다. Windows Explorer나 사용자 프로필이 정상적으로 초기화되지 않았거나, 로그인 직후 실행되는 프로그램이 충돌하거나, 그래픽 드라이버와 셸 프로세스가 멈춘 경우에도 비슷한 현상이 나타날 수 있다.
특히 종료 후 다시 켰을 때만 간헐적으로 발생한다면 시작 프로그램이나 드라이버, 빠른 시작 기능과 관련된 문제도 살펴볼 필요가 있다. 반대로 로그인할 때마다 동일한 증상이 발생하고 새로운 계정이나 알 수 없는 프로그램까지 확인된다면 보안 문제의 우선순위를 높이는 것이 합리적이다.
| 관찰되는 증상 | 가능한 원인 | 우선 확인할 내용 |
|---|---|---|
| 바탕화면은 보이지만 앱이 실행되지 않음 | Explorer 또는 사용자 프로필 문제 | 작업 관리자와 Explorer 상태 |
| 재부팅하면 정상으로 돌아옴 | 시작 프로그램 또는 드라이버 충돌 | 시작 프로그램과 장치 드라이버 |
| 새로운 실제 사용자 계정이 존재함 | 잘못된 계정 생성 또는 계정 침해 가능성 | 설정의 사용자 계정 목록 |
| 보안 로그에 Special Logon이 존재함 | 정상적인 관리자·시스템 활동일 수도 있음 | 계정명과 이벤트 전후 상황 |
| 보안 검사에서는 위협이 발견되지 않음 | 시스템 오류 또는 탐지되지 않은 문제 모두 가능 | 추가 검사와 시스템 무결성 확인 |
여러 사용자가 있다는 알림은 해킹을 의미할까?
윈도우에서 여러 사용자가 컴퓨터를 사용하고 있다는 메시지가 표시됐다고 해서 반드시 원격 공격자가 접속했다는 의미는 아니다. 다른 사용자 계정이 로그아웃되지 않은 상태이거나 Fast User Switching을 통해 별도의 세션이 남아 있는 경우에도 종료 과정에서 다른 사용자가 로그인되어 있다는 알림이 나타날 수 있다.
따라서 가장 먼저 확인해야 하는 것은 실제 사용자 계정 목록이다. 설정의 계정 메뉴와 컴퓨터 관리의 로컬 사용자 목록에서 본인이 생성하지 않은 일반 사용자나 관리자 계정이 존재하는지 살펴보는 것이 중요하다.
- 본인이 만든 적 없는 일반 사용자 계정이 있는지 확인한다.
- 관리자 그룹에 알 수 없는 계정이 추가되어 있는지 확인한다.
- Microsoft 계정이나 로컬 계정 가운데 기억나지 않는 계정이 있는지 살펴본다.
- 단순한 시스템 계정과 실제 사람이 로그인할 수 있는 사용자 계정을 구분한다.
윈도우에는 운영체제와 서비스가 사용하는 여러 기본 계정과 보안 주체가 존재한다. 따라서 이름을 모른다는 이유만으로 계정을 삭제하면 정상적인 서비스에 문제가 생길 수 있으므로 실제 사용자 계정인지 먼저 확인해야 한다.
이벤트 뷰어의 Special Logon은 위험 신호일까?
이벤트 뷰어의 Windows 보안 로그에는 로그인, 권한 상승, 인증, 프로세스 실행과 관련된 기록이 매우 많이 남는다. 그중 Special Logon과 같은 표현은 관리자 수준의 특수 권한이 포함된 로그온이 발생했음을 나타내는 경우가 있지만, 윈도우 자체 서비스나 정상적인 관리자 작업에서도 생성될 수 있다.
보안 이벤트 하나만 보고 시스템이 침해됐다고 판단하는 것은 어렵다. 이벤트 번호, 계정명, 로그온 유형, 실행된 프로세스와 같은 주변 정보를 함께 확인해야 의미를 판단할 수 있다.
예를 들어 SYSTEM이나 정상적으로 사용하는 관리자 계정에서 생성된 특수 로그온 기록은 운영체제 동작 과정에서 발생할 수 있다. 반대로 존재를 전혀 알지 못하는 사용자 계정으로 반복적인 로그인 성공 기록이 나타나거나, 사용하지 않는 시간대에 원격 로그온과 새로운 관리자 계정 생성이 함께 기록된다면 보다 면밀한 조사가 필요하다.
Credentials Enumerated와 같이 자격 증명과 관련된 이벤트 역시 그 표현만으로 비밀번호가 탈취됐다고 해석해서는 안 된다. 윈도우의 정상적인 인증 과정과 계정 관리 작업에서도 관련 기록이 남을 수 있기 때문이다.
악성코드 감염 가능성을 확인할 때 무엇을 봐야 할까?
빠른 검사와 Microsoft Defender 오프라인 검사에서 아무것도 발견되지 않았다면 긍정적인 신호이지만, 그것만으로 모든 종류의 침해 가능성이 완전히 사라졌다고 단정할 수는 없다. 반대로 보안 로그에 생소한 항목이 있다는 이유만으로 감염됐다고 결론을 내리는 것도 적절하지 않다.
특히 출처가 명확하지 않은 게임 실행 파일, 크랙이나 수정된 설치 프로그램, 비공식 스트리밍 프로그램 등을 실행한 이력이 있다면 일반적인 PC보다 보안 위험을 더 신중하게 평가할 필요가 있다. 실제 위험도는 어떤 파일을 실행했는지와 해당 파일이 시스템 권한을 얻었는지에 따라 크게 달라진다.
- 설치한 기억이 없는 프로그램이 최근 설치 목록에 존재하는지 확인한다.
- 작업 관리자의 시작 앱에 알 수 없는 프로그램이 등록되어 있는지 살펴본다.
- 브라우저에 본인이 설치하지 않은 확장 프로그램이 있는지 확인한다.
- Windows 보안의 바이러스 및 위협 방지 기록을 확인한다.
- Windows Defender 방화벽이나 보안 설정이 임의로 비활성화되어 있지 않은지 살펴본다.
- 알 수 없는 관리자 계정이나 원격 접속 설정이 추가되어 있는지 확인한다.
Microsoft Defender 검사를 반복하면서 동시에 의심스러운 프로그램을 계속 실행하는 것보다는, 의심되는 프로그램 사용을 중단하고 중요한 데이터부터 보호하는 편이 더 안전하다.
프로젝터와 주변기기가 이런 증상을 만들 수 있을까?
긴 HDMI 케이블로 연결한 프로젝터나 레이싱 휠과 같은 USB 장치가 직접적으로 새로운 윈도우 사용자 계정을 만드는 경우는 일반적인 동작으로 보기 어렵다. 그러나 그래픽 출력 장치나 USB 드라이버 문제는 부팅과 로그인 과정에서 지연, 화면 멈춤, Explorer 반응 이상처럼 보이는 문제에 영향을 줄 가능성이 있다.
LM Studio와 같은 로컬 AI 프로그램 역시 서버를 실행하지 않았다는 사실만으로 시스템 문제와 직접적인 관련이 있다고 판단하기는 어렵다. 정상적인 공식 배포본을 사용했다면 단순히 설치하거나 모델을 실행한 것 자체가 사용자 계정을 새로 만든다는 일반적인 동작은 아니다.
원인 분리를 위해서는 프로젝터와 불필요한 USB 장치를 모두 분리한 상태에서 몇 차례 종료와 부팅을 반복해 같은 증상이 재현되는지 확인할 수 있다. 주변기기를 제거하면 문제가 사라진다면 보안 문제보다 드라이버나 장치 충돌 가능성을 먼저 조사할 근거가 된다.
윈도우 초기화와 USB 클린 설치 중 무엇을 선택해야 할까?
시스템 침해가 실제로 의심되는 상황에서 윈도우를 다시 설치하기로 결정했다면 '내 파일 유지' 초기화보다 Microsoft의 설치 미디어를 이용한 클린 설치가 더 확실한 선택으로 볼 수 있다. 내 파일 유지 방식은 개인 데이터를 남기면서 윈도우 구성 요소를 다시 설치하는 데 편리하지만, 시스템을 완전히 새로 구성하려는 목적과는 차이가 있다.
USB 클린 설치에서는 필요한 데이터를 별도로 백업한 뒤 기존 윈도우 파티션을 정리하고 운영체제를 새로 설치할 수 있다. 확실한 침해가 확인됐거나 어떤 프로그램을 신뢰할 수 있는지 판단하기 어려운 상태라면 중요 문서만 선별적으로 백업하고 실행 파일과 기존 프로그램은 새로 내려받는 방식이 더 보수적인 대응이다.
| 방법 | 장점 | 적합한 상황 |
|---|---|---|
| 내 파일 유지 초기화 | 개인 파일을 유지하기 쉬움 | 일반적인 윈도우 손상이나 설정 오류 |
| 모든 항목 제거 초기화 | 기존 환경을 보다 폭넓게 정리할 수 있음 | 원인이 불분명하고 새 환경이 필요한 경우 |
| USB 클린 설치 | 운영체제를 새로 구성하기 가장 명확함 | 침해 가능성을 강하게 의심하거나 완전한 재설치를 원하는 경우 |
클린 설치를 선택하더라도 감염 가능성이 있는 실행 파일을 그대로 복원하면 위험 요소를 다시 가져올 수 있다. 문서와 사진처럼 필요한 개인 데이터와 프로그램 설치 파일을 구분해서 백업하는 것이 중요하다.
재설치 전에 반드시 확인해야 할 것은?
윈도우를 삭제하기 전에 중요한 데이터를 먼저 확인해야 한다. 사진, 문서, 게임 세이브 데이터, 브라우저 북마크처럼 다시 구하기 어려운 자료는 외장 저장장치 등에 별도로 보관하는 것이 좋다.
보안 침해 가능성이 비교적 높다고 판단되는 상황에서는 다른 신뢰할 수 있는 기기를 이용해 주요 온라인 계정의 비밀번호를 변경하는 것도 고려할 수 있다. 특히 이메일 계정은 다른 서비스의 비밀번호 재설정에 이용되는 경우가 많기 때문에 우선적으로 보호할 가치가 있다.
- 중요 문서와 사진을 선별해서 백업한다.
- 필요한 프로그램과 라이선스 정보를 기록한다.
- Microsoft 계정 등 필요한 로그인 정보를 확인한다.
- 공식 웹사이트에서 필요한 드라이버를 다시 받을 수 있는지 확인한다.
- 의심스러운 실행 파일과 설치 프로그램은 백업 대상에서 제외한다.
- 침해 가능성이 높다면 다른 안전한 기기에서 주요 계정 비밀번호를 변경한다.
재설치 후에는 윈도우 업데이트와 보안 업데이트를 먼저 완료하고, 프로그램은 가능하면 개발사나 공식 배포처에서 새로 내려받는 것이 좋다. 기존 시스템에 있던 프로그램 폴더를 통째로 복사해 되돌리는 방식은 클린 설치의 의미를 줄일 수 있다.
증상별 판단 기준 정리
로그인 후 프로그램이 열리지 않는 현상과 여러 사용자 관련 알림이 동시에 나타났다는 사실만으로 PC가 해킹됐다고 확정할 수는 없다. Windows Explorer, 사용자 프로필, 그래픽 드라이버, 시작 프로그램과 같은 일반적인 시스템 문제도 먼저 확인해야 한다.
또한 이벤트 뷰어에 Special Logon이나 자격 증명 관련 이벤트가 많다는 사실 자체는 침해의 결정적인 증거가 아니다. 실제로 생성된 알 수 없는 계정, 사용하지 않은 시간의 로그인 성공 기록, 알 수 없는 관리자 권한 변경, 보안 기능 비활성화와 같은 여러 징후가 함께 나타나는지가 더 중요하다.
검사를 해도 원인이 명확하지 않고 비공식 출처의 실행 파일 사용 이력 때문에 시스템을 신뢰하기 어렵다면 중요한 데이터만 백업한 뒤 USB 클린 설치를 선택하는 것은 합리적인 대응이 될 수 있다. 반대로 의심스러운 계정이나 보안 이상이 발견되지 않고 주변기기를 분리했을 때 증상이 사라진다면 드라이버나 윈도우 자체 문제를 먼저 해결하는 방향도 고려할 수 있다.
Tags
윈도우 로그인 오류, 윈도우 보안, PC 해킹 확인, Special Logon, 이벤트 뷰어, 악성코드 검사, 윈도우 클린 설치, 사용자 계정 보안, Windows Defender