정적 웹 환경일 때 없었던 위협, 동적으로 변하며 우후죽순
오래된 소프트웨어를 사용하는 웹사이트도 많아...웹 안전 좀먹는 존재

[보안뉴스 문가용 기자] 브라우저를 위험하게 하는 건 무엇일까? 악성 웹사이트? 보안 업체 멘로 시큐리티(Menlo Security)의 새로운 보고서에 의하면 오늘날의 웹을 가장 위협하는 건 동적 콘텐츠와 서드파티 콘텐츠라고 한다.


[이미지 = iclickart]

“많은 사람들이 웹이 얼마나 위험한지 이야기합니다. 그러나 왜 위험한지는 잘 이해하지 못하고 있어요. 웹이 처음 생겨났을 땐 광고 네트워크가 그리 복잡하지도 않았어요. 웹은 원래 정적인 공간이었죠. 그런데 지난 10년 동안 우리는 자바스크립트랑 플래시라는 걸 만들어 사용해왔습니다. 물론 정적인 게 재미없다고 느낄 수도 있지만, 더 안전하긴 했습니다.” 멘로 시큐리티의 CTO인 코우식 구루스와미(Kowsik Guruswamy)의 설명이다.

작년 멘로 시큐리티는 현재 웹에 도사리고 있는 위험 요소들을 파악하기 위해 조사를 시작했다. 그리고 알렉사 선정 탑 10만 사이트의 42%에서 위험한 콘텐츠가 제공되고 있거나 침해에 취약하다는 것을 발견했다.

그리고 그 연구를 계속해서 이어왔는데, 그 결과물이 오늘 발표된 ‘2018년 상반기 웹 현황(State of the Web First Half 2018)이다. 멘로 측은 전 세계 6개국에서 50개 최상위 사이트를 집중적으로 연구했다. 오늘날 웹 환경에서 가장 위험한 요소가 무엇인지 정확히 파악하기 위해서였다. 그리고 콘텐츠 배포 네트워크(CDN)이나 광고 네트워크 등 제3자가 보내주는 동적 콘텐츠를 거의 아무런 거름장치 없이 웹사이트들이 게재하고 있다는 것을 파악했다.

“사용자가 웹의 링크를 클릭해 웹사이트를 열 때, 사실은 사용자가 의도하고 있는 그 페이지 하나만 여는 게 아닙니다. 최소 25개 웹사이트를 한 번에 열고 있는 것이죠. 그런데 만역 이중 하나라도 위험하다면 어떻게 될까요? 사이버 공격의 피해자가 되는 겁니다. 공격자들은 이렇게 배경에서 열리는 사이트들을 공격하는 걸 즐겨합니다.”

또한 오늘날 웹사이트들은 대부분 동적 콘텐츠를 선호한다. 멘로 시큐리티가 연구한 국가들의 경우 웹사이트 하나에서 실행되는 스크립트의 평균 개수가 41~42였다. 그중 하나가 미국이었는데, 몇몇 유명 사이트들에서는 160개 스크립트가 돌아가고 있었다고 한다. 그리고 사용자가 보지 못하는 배경에서는 40개의 사이트가 열렸다. 물론 스크립트 대부분 개발자들이 사용자의 경험 향상을 위해 정상적으로 개발한 것들이다.

“하지만 기억해야 할 것은, 사이트가 배경에서 더 많이 열리고 스크립트가 더 많이 실행될수록 공격자들이 침투할 경로 자체가 늘어난다는 것입니다. 공격자들은 동적 콘텐츠에 적용되는 스크립트를 굉장히 좋아해요. 아이프레임 우회 공격이나 멀버타이징 공격에 적합하기 때문입니다.”

프랑스의 경우 최고 사이트들 중 46%에서 액티브 코드가 발견됐는데, 그 출처가 위험한 배경 사이트들이었다. 영국의 경우 이런 사이트가 32%였다. 미국은 18%로 조금 낮았다. 그러나 멘로는 “비율만 보면 낮아보일 수 있지만, 그 속에 대부분 사람들이 안전하다고 믿는 사이트들이 대거 포함되어 있어 안심할 수 없다”고 말한다.

이것 외에도 꽤나 많은 전 세계 최고 사이트들의 운영자들이 취약한 소프트웨어를 사용한다는 점도 드러났다. 이는 문제를 악화시키는 것으로, 미국의 사이트에서 이런 문제가 발견된 건 8%, 영국은 10%, 프랑스는 20%였다. 이들은 대부분 오래된 플랫폼을 운영하고 있었다.

“오래된 코드를 사용하는 웹사이트들은 인터넷의 안전을 좀먹는 존재들입니다. 멀웨어의 위협에서 일반 웹 사용자들이 항상 시달려야 하는 것도 이러한 사이트들 때문입니다.”

3줄 요약
1. 웹사이트들, 10년 전에 비해 굉장히 동적으로 변함.
2. 하지만 동적으로 변하는 데에는 대가가 있었음. 바로 스크립트와 배경에서 열리는 수많은 사이트들(이른바 서드파티).
3. 이 스트립트와 배경 사이트들 통해서 악성 코드 주입되는 사례 많음.
[국제부 문가용 기자(globoan@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>