유료 콘텐츠를 유료로 즐기기 싫은 사람들의 필요를 충족시켜 주는 사이트들이 있다. 그런데 그런 사이트들에 들어갔다 나오는 순간 나의 컴퓨터나 네트워크는 온갖 위험한 것들을 뒤집어 쓰게 될 가능성이 높다.

[보안뉴스 문가용 기자] ‘세상에 공짜는 없다’는 말은 진리 중 진리이며 영원불변한 사실이다. 사이버 공간에서 이 말은 그 어느 때보다 빛난다. 인터넷에서 무료로 영화나 TV 드라마, 각종 게임이나 소프트웨어를 찾으려다가 누군가의 기꺼운 무료 나눔을 맞닥트렸을 때, 기뻐할 게 아니라 의심부터 해야 한다. 애초에 그런 것들을 무료로 보려는 심보 자체부터 잘못 끼워진 단추이긴 하지만 말이다.


[이미지 = utoimage]

소비자 중심의 디지털 기술 단체인 디지털시티즌얼라이언스(Digital Citizens Alliance)와 무단 복제 차단 및 브랜드 보호 전문 회사인 화이트불릿(White Bullet), 보안 업체 221B가 합동으로 조사한 결과 해적판 콘텐츠를 사용자들에게 무료로 제공하는 사이트들 중 적잖은 곳이 멀웨어를 통해 수익을 충당하고 있다는 것이 밝혀졌다. 역시 ‘공짜는 없다.’

이런 사이트들은 자신들의 어딘가 수상하고 미심쩍으며 불법적이라는 특성을 역으로 이용하는 전략을 자주 구사한다. 방문자들에게 백신이나 멀웨어 예방 소프트웨어를 설치하라는 경고 메시지를 띄우는 식으로 악성 광고를 클릭하도록 유도하는 것이다. 이 때 이 악성 광고는 광고처럼 생기지 않고 팝업이나 팝언더 형태로 제공된다. 클릭하는 사용자는 백신은커녕 랜섬웨어나 스파이웨어, 뱅킹 트로이목마 등을 자신의 시스템에 설치하게 된다. 그리고 이 멀웨어들은 훗날 있을 여러 가지 공격에 활용된다.

일반 개인들만 위험한 게 아냐
여기까지만 본다면 일반 소비자 개개인들만 조심하면 별 문제가 없을 것처럼 느껴진다. 하지만 지금이 어느 시대인가. 원격 근무의 시대다. 많은 사람들이 집에서 근무하기 때문에 직장인이며 동시에 자연인(즉 개별 소비자)인 상태를 유지한다. 일반 소비자의 문제처럼 보이는 것이 기업과 기관의 문제로도 발전할 수 있게 된다. 게다가 집에서 사용하는 장비들은 사무실에서 사용하는 것들보다 덜 안전한 게 보통이다.

디지털시티즌얼라이언스의 총괄인 톰 갈빈(Tom Galvin)은 “해적판 사이트의 백신 광고들 대부분 멀웨어 침투의 통로”라고 경고한다. 그러면서 “일과 삶의 경계가 지금처럼 흐려진 상황 자체를 기업들이 경계해야 할 것”이라고 촉구한다. “놀 땐 개인 장비와 개인 망에서 놀고, 일할 땐 집에 있더라도 안전한 망에서 기업 장비를 가지고 일하도록 해야 합니다. 직원들이 집에서 개인 장비로 일하게 함으로써 장비 구매 비용을 아낄 수 있겠지만, 그러다가 더 큰 손해를 볼 수 있습니다.”

세 단체가 합동으로 조사했을 때 이러한 악성 광고를 통해 해적판 콘텐츠 웹사이트 운영자가 벌어들이는 수익은 최소 연간 1억 2100만 달러인 것으로 집계됐다. 이 수익이 전부 해당 사이트 방문자들로부터 나오는 것은 아니지만, 그런 출처를 가진 돈의 비중이 적은 것도 아니라는 게 갈빈의 설명이다.

해적판 사이트와 멀웨어의 예정된 만남
가장 충격적인 발견은 광고 중개자들의 행태였다. 이들은 광고주와, 광고가 올라갈 사이트를 연결해주는 역할을 담당하고 있는데, 해적판 사이트에 교묘한 형태(예 : 팝업 혹은 팝언더)로 광고가 올라가는 것을 개의치 않을 뿐만 아니라 적극적으로 실행하고 있기도 한 것으로 이번 조사를 통해 드러났다. 광고가 악용되는 것을 알고 있는 경우가 대부분이었다. 광고를 어디론가 노출시키기만 할 수 있다면 상관이 없다는 게 그들의 일관적인 태도였다고 한다.

중개인들이 이렇게까지 적극적으로 광고를 붙여준다면, 사이트 운영자들이 굳이 멀웨어를 퍼트리지 않아도 수익을 올릴 수 있지 않을까? 실제 해적판 콘텐츠 사이트 운영자들이 만드는 수익 중 일부가 합법적인 광고를 통해 들어왔었다. 하지만 그 비율은 빠르게 줄어들고 있다. 최근 광고주들이 이러한 사이트에는 광고를 주지 말자는 데 동의하고 있고, 실제로 그런 생각들이 광고주들 사이에서 퍼지고 있기 때문이다. 어느 정도 이름 있는 브랜드라면 이런 광고를 절대 하지 못하게 한다.

해적판 사이트가 정당한 광고 수익을 얻지 못하도록 하는 데 앞장서고 있는 건 TAG라는 조직이다. “디지털 광고의 신뢰성을 높이기 위해 결성된 조직이며, 디지털 광고를 함에 있어서도 최소한의 윤리적 가이드라인을 지켜야 한다는 뜻으로 광고 업계 여러 단체들이 모여서 만든 운동이기도 합니다. 여기에 많은 광고주들이 동참하면서 이상한 사이트를 운영하면서 정상적인 수익을 거둔다는 게 힘들어졌습니다.” 갈빈의 설명이다.

팝업 형태로 광고를 띄우는 거야 워낙 흔한 기법이라 그 자체로 문제 삼을 건 없지만, 팝언더 형태의 광고는 대단히 악질적이다. 실제 정상 광고 수익이 줄어들어 악성 광고로 돌아선 사이트 운영자들이 많이 사용하는 전략이기도 하다. 팝언더는 정상적으로 보이는 광고 밑으로 악성 요소를 숨기는 것으로, 예를 들어 사용자는 정상적인 콘텐츠를 클릭했다고 생각하지만 실제로는 다른 링크를 클릭하게 되는 식의 공격을 성립시킬 수 있다. 위에서 이런 사이트 운영자들이 연간 1억 2100만 달러의 수익을 낸다고 했는데, 그 중 8800만 달러가 이런 팝언더 광고와 관련이 있었다.

사이버 위험, 그리고 ‘뉴노멀’
갈빈은 “일터와 집의 경계가 흐려진 것이 현재의 뉴노멀”이라고 말하며 “공격자들로서는 이 뉴노멀 덕분에 노릴 것이 기하급수적으로 늘어났다”고 설명한다. “사이버 공격자들의 입장에서 보기에는 아무런 방어 장치 없는 일반 개인이었는데 한 순간에 어마어마한 조직의 중요한 인물로 바뀌는 겁니다. 그러니 그 인물이 또 어느 순간 일반 개인으로 변할 때를 노려 공격하면 어마어마한 조직으로 침투할 수 있게 되지요. 해적판 소프트웨어를 미끼로 삼는 건 그런 경계를 넘나드는 많은 방법 중 하나에 불과할 뿐이고요.”

그래서 갈빈은 기업 입장에서 일반 사용자로서의 존재와 기업 구성원으로서의 존재가 뚜렷하게 양립할 수 있는 방법을 모색해야 한다고 다시 한 번 주장한다. “가장 쉬운 건 제일 먼저 일반 개인으로서 사용할 수 있는 장비와, 조직 일원으로서 사용할 수 있는 장비를 구분하는 겁니다. 그래야 개인의 데이터와 기업의 데이터가 섞이지 않고, 개인을 공략한 해커가 기업 데이터에 도달하지 못하게 됩니다.”

3줄 요약
1. 해적판 콘텐츠 제공하는 사이트에서는 요상한 광고들이 붙어 있음.
2. 가짜이고 악성인 광고 클릭하면 멀웨어에 감염됨.
3. 해적판 사이트는 수익을 위해 멀웨어를 사용할 수밖에 없음.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>