인터넷에서 받은 EXE·MSI·ZIP·PDF 파일이 안전한지 확신하기 어려울 때는 VirusTotal을 보조 검사 도구로 활용할 수 있다. VirusTotal은 업로드된 파일을 여러 보안업체의 탐지 엔진과 분석 도구로 검사하고 결과를 한 화면에 보여준다.

하지만 검사 결과가 0이라고 해서 무조건 안전한 것은 아니며, 한두 개 엔진이 탐지했다고 반드시 악성파일인 것도 아니다. 특히 일반 VirusTotal에 올린 파일은 보안업체나 연구자와 공유될 수 있으므로 개인정보나 회사 기밀이 포함된 파일은 업로드하면 안 된다.

1. 바이러스토탈의 다중 백신 검사는 어떻게 작동할까?

VirusTotal은 그 자체가 컴퓨터에 설치되는 백신 프로그램은 아니다. 사용자가 파일을 제출하면 여러 보안업체의 백신 엔진, 평판 데이터, 정적 분석 및 동적 분석 도구를 이용해 결과를 종합해서 보여주는 온라인 검사 서비스다. 같은 파일도 백신업체마다 악성코드 데이터베이스, 탐지 규칙, 인공지능 분석 방식이 다르기 때문에 판정이 서로 달라질 수 있다. 한 업체가 놓친 위협을 다른 업체가 찾아낼 가능성이 있다는 것이 다중 검사 방식의 장점이다.

다만 VirusTotal은 컴퓨터 전체를 실시간으로 보호하거나 감염된 시스템을 치료하지 않는다. 업로드한 개별 파일이나 입력한 URL의 위험성을 판단하는 보조 수단이다. 검사 결과에는 각 엔진이 Malicious, Suspicious, Undetected 등으로 분류한 내용이 표시된다. 여기서 Undetected는 해당 엔진이 위협을 발견하지 못했다는 뜻이지, 파일이 완전히 안전하다는 인증은 아니다. VirusTotal 작동 방식

2. 검사 전에 개인정보와 기밀자료부터 확인하기

파일을 올리기 전에 가장 먼저 확인해야 하는 것은 악성 여부가 아니라 파일에 민감한 정보가 들어 있는지다. 일반 VirusTotal에 제출된 파일은 보안업체, 보안 연구자 및 관련 서비스 이용자에게 분석 목적으로 제공될 수 있다. 따라서 주민등록증 사본, 계약서, 세금계산서, 고객 명단, 의료자료, 공동인증서, 회사 내부 문서처럼 개인정보나 기밀이 포함된 파일은 업로드하면 안 된다. 파일 이름만 바꿔도 내부 내용은 그대로 남기 때문에 개인정보 보호가 되지 않는다.

민감한 파일은 온라인 서비스에 올리지 말고 컴퓨터에 설치된 보안 프로그램이나 조직의 보안 담당자를 통해 검사해야 한다. 유료 서비스인 Private Scanning도 있지만 일반 공개 검사와 구조가 다르며, 공식 설명에 따르면 비공개 분석에는 일반 백신업체의 탐지 판정이 포함되지 않는다. 따라서 무료 공개 검사와 동일한 결과를 비공개로 얻는 기능이라고 오해해서는 안 된다. 중요한 원칙은 외부에 공개돼도 문제가 없는 파일만 일반 VirusTotal에 제출하는 것이다. VirusTotal 비공개 검사 안내

3. 파일을 업로드해 여러 백신으로 검사하는 방법

브라우저 주소창에 virustotal.com을 직접 입력해 공식 사이트에 접속한다. 검색광고나 유사 주소를 통해 들어가면 가짜 사이트일 가능성이 있으므로 도메인을 정확하게 확인한다. 첫 화면에서 FILE 탭을 선택하고 Choose file을 눌러 검사할 파일을 지정한다. 중요한 파일을 실수로 선택하지 않도록 파일명과 저장 위치를 다시 확인한 뒤 업로드 동의 화면을 거쳐 검사를 시작한다. EXE뿐 아니라 APK, PDF, 이미지, 자바스크립트 등 다양한 형식이 분석 대상이 될 수 있다.

같은 파일이 과거에 검사된 적이 있다면 기존 보고서가 곧바로 표시될 수 있다. 이때 화면에 표시된 파일의 SHA-256 값과 내 파일의 해시값이 같은지 확인해야 한다. 이름이 같아도 내용이 다른 파일은 전혀 다른 검사 대상이기 때문이다. 보고서 날짜가 오래됐다면 Reanalyze 기능으로 최신 엔진의 재분석을 요청할 수 있다. 파일이 너무 크거나 업로드가 실패한다면 압축을 반복하기보다 로컬 백신 검사와 해시 검색을 먼저 활용하는 것이 좋다. VirusTotal 지원 파일 형식

4. 파일을 올리지 않고 SHA-256 해시로 검색하는 방법

이미 VirusTotal 데이터베이스에 등록된 파일이라면 실제 파일을 다시 업로드하지 않고 해시값만으로 보고서를 검색할 수 있다. Windows PowerShell을 실행한 다음 아래 명령에서 파일 경로를 실제 위치로 바꿔 입력한다.

Get-FileHash -LiteralPath "C:\Users\사용자이름\Downloads\설치파일.exe" -Algorithm SHA256

출력된 긴 SHA-256 문자열을 복사해 VirusTotal의 SEARCH 입력란에 붙여넣는다. 동일한 해시의 보고서가 존재한다면 이전 분석 결과가 나타난다. SHA-256은 파일 내용이 조금만 바뀌어도 값이 달라지므로 특정 파일을 구별하는 디지털 지문처럼 사용할 수 있다.

이 방법은 파일 자체를 새로 전송하지 않는다는 장점이 있지만, 검색 결과가 없다고 안전하다는 뜻은 아니다. 아직 누구도 제출하지 않은 새 파일이거나, 정상 프로그램을 조금 변형한 새로운 악성파일일 수 있다. 또한 공격자는 파일 이름과 아이콘뿐 아니라 버전 정보도 위조할 수 있으므로 해시 검색 결과와 다운로드 출처, 디지털 서명을 함께 확인해야 한다. VirusTotal은 MD5·SHA-1·SHA-256 해시 검색을 지원한다. VirusTotal 해시 검색 안내

5. 1/70과 같은 탐지 비율을 정확히 해석하는 법

보고서 상단의 1/70과 같은 표시는 약 70개 검사 엔진 가운데 1개가 해당 파일을 악성 또는 의심 대상으로 판단했다는 의미다. 이것을 악성일 확률이 70분의 1이라는 뜻으로 해석하면 안 된다. 각 엔진은 서로 완전히 독립적이거나 동일한 정확도를 가진 것이 아니며, 동일 계열의 탐지 기술이나 데이터가 반영될 수도 있다. 따라서 숫자는 확률이 아니라 탐지한 엔진 수와 검사에 참여한 엔진 수의 비율이다.

한두 개 엔진만 Generic, Heuristic, Riskware 등으로 탐지하고 유명 엔진 대부분이 탐지하지 않았다면 오탐 가능성을 고려할 수 있다. 반대로 여러 엔진이 Trojan, Stealer, Ransomware처럼 유사한 유형으로 탐지한다면 실행을 중단해야 한다. 탐지 수가 적더라도 배포자 서명이 없고 출처가 불분명하며 파일이 최근 처음 발견됐다면 위험을 낮게 평가해서는 안 된다. 또한 Unable to process와 Timeout은 안전 판정이 아니라 해당 엔진이 정상적으로 검사를 완료하지 못했다는 의미다. VirusTotal 보고서 해설

6. 세부정보·행동·관계 탭에서 확인할 사항

전문적인 판단을 위해서는 상단 숫자만 보지 말고 Details, Behavior, Relations, Community 영역도 살펴봐야 한다. Details에서는 SHA-256, 파일 종류, 크기, 서명 정보, 생성 시점 등을 확인할 수 있다. 다만 프로그램 내부의 제작 날짜는 조작될 수 있으므로 날짜만으로 신뢰성을 판단하면 안 된다. Behavior 결과가 제공된다면 실행 과정에서 생성한 프로세스와 파일, 레지스트리 변경, 외부 서버 통신 등의 행동을 확인할 수 있다.

Relations에는 파일을 배포한 URL, 통신한 도메인이나 IP, 다른 파일과의 연관관계가 표시될 수 있지만 일부 상세 기능은 유료 계정에만 제공된다. Community 의견은 실제 사용자와 보안 연구자의 설명을 참고할 수 있다는 장점이 있으나, 커뮤니티 투표 역시 공식 안전 인증은 아니다. 특히 “안전하다”는 짧은 댓글보다 파일의 공식 배포처, 디지털 서명, 탐지 이름의 일관성, 최초·최근 분석 날짜를 함께 비교해야 한다. 새로 등장한 악성코드는 초기 검사에서 탐지되지 않다가 나중에 탐지 결과가 증가할 수도 있다.

7. 검사 후 최종 실행 여부를 판단하는 기준

VirusTotal에서 탐지가 없더라도 바로 실행하지 말고 세 가지를 추가로 확인해야 한다. 첫째, 파일을 개발사의 정확한 공식 도메인에서 받았는지 확인한다. 둘째, EXE 파일의 속성 → 디지털 서명에서 서명자가 실제 개발사와 일치하고 서명이 유효한지 살펴본다. 셋째, 공식 사이트에서 SHA-256 값을 제공한다면 내 파일의 해시와 비교한다. 이 조건이 모두 일치하면서 VirusTotal에서도 특이사항이 없을 때 위험이 비교적 낮다고 판단할 수 있다.

여러 엔진이 악성으로 탐지하거나 파일이 비밀번호·백신 해제·관리자 권한을 과도하게 요구한다면 실행하지 말고 삭제하는 것이 원칙이다. 탐지가 한 개뿐이라도 파일 출처가 자료실, 이메일 첨부파일, 단축 주소 또는 광고성 다운로드 페이지라면 주의해야 한다. 판단하기 어려운 파일은 본체에서 시험 실행하지 말고 네트워크와 공유 기능을 차단한 Windows Sandbox 또는 전문 분석 환경을 이용한다. 금융·업무용 PC에서는 의심스러운 프로그램 자체를 시험하지 않는 것이 가장 안전하다.

장점과 단점 분석

구분	내용
장점	하나의 파일을 여러 보안업체의 엔진으로 동시에 검사할 수 있다.
장점	백신별 탐지 이름과 판정 차이를 비교할 수 있다.
장점	SHA-256으로 검색하면 파일을 새로 올리지 않고 기존 보고서를 확인할 수 있다.
장점	파일 정보, 평판, 실행 행동과 관련 도메인 등 추가 자료를 제공한다.
장점	별도의 다수 백신을 컴퓨터에 설치할 필요가 없다.
단점	일반 서비스에 올린 파일이 보안업체나 연구자에게 공유될 수 있다.
단점	탐지 결과가 0이어도 새로운 악성코드나 미탐 가능성이 존재한다.
단점	정상 파일을 악성으로 판단하는 오탐이 발생할 수 있다.
단점	탐지 비율을 악성 확률처럼 단순 해석하기 쉽다.
단점	일부 행동 분석과 관계 정보는 파일이나 계정에 따라 제한될 수 있다.
단점	컴퓨터를 실시간으로 보호하거나 감염된 악성코드를 치료하지는 않는다.

내 의견

내가 생각하기에 VirusTotal은 다운로드 파일을 점검할 때 매우 유용하지만, 결과 화면의 숫자만 보고 안전과 위험을 결정해서는 안 된다. 여러 백신이 동시에 검사한다는 점은 강력한 장점이지만, 백신 프로그램도 오탐과 미탐에서 완전히 자유롭지 않기 때문이다.

특히 가장 주의해야 할 부분은 개인정보다. 계약서나 신분증처럼 민감한 파일을 검사하려고 일반 VirusTotal에 업로드하면 악성코드 검사보다 더 큰 정보유출 문제가 생길 수 있다. 이런 자료는 외부 서비스에 올리지 않고 로컬 백신이나 전문 보안 담당자를 이용해야 한다.

나는 공식 다운로드 주소 확인 → 디지털 서명 점검 → SHA-256 검색 → VirusTotal 결과 분석 순서로 확인하는 것이 좋다고 생각한다. 파일을 직접 올리기 전에 해시 검색부터 하면 불필요한 업로드도 줄일 수 있다. VirusTotal은 파일의 안전을 보증하는 최종 판정기관이 아니라, 여러 보안 신호를 한곳에서 비교하도록 도와주는 전문적인 보조 도구로 사용하는 것이 가장 올바르다.