만화 사이트에서 계정정보 노출...아이디와 비밀번호 그대로 드러나
언론사 사이트와 연결되는 만화 웹페이지 통한 악성코드 유포도 빈번

[보안뉴스 김경애] 많은 사람들이 이용하는 웹툰 및 만화 사이트. 이러한 영향 때문인지 국내 웹툰시장은 고공행진 중이다. 네이버나 다음 등 포털사이트는 국내 웹툰시장의 플랫폼으로 자리잡으면서 시장 활성화에 기여하고 있다. 더욱이 인기 있는 웹툰의 경우 페이스북 ‘좋아요’만 6만개를 훌쩍 넘고 댓글만 해도 1만건 이상이 달리기도 한다. 뿐만 아니라 유명한 웹툰은 영화, 드라마로 제작되며, 컨텐츠 산업 발달에도 기여하고 있다. 일각에서는 웹툰 시장이 2015년 4,200억에서 2020년엔 1조원 시장 규모로 성장할 것이라는 전망도 나오고 있다.


▲로그인 웹페이지와 이메일 가입 화면

요즘은 포털과 언론사 사이트에서는 물론 만화 관련 사이트도 활성화되어 있어 인터넷을 통해 손쉽게 다양한 만화를 접할 수 있게 됐다. 별도 코너를 만들어 주기적으로 만화 컨텐츠를 제공하고, 소비자 입맛에 맞게 다양한 장르별 만화가 쏟아져 나오고 있다. 이렇듯 고속성장을 거듭하고 있는 웹툰 시장에서 최근 큰 문제로 제기되고 있는 게 바로 보안이다.

“웹사이트에서 만화 한 번 보려다가 악성코드에 감염됐어요.”. “만화를 보려면 회원가입을 해야 하는데 계정정보가 노출되는 어이 없는 일을 겪었어요.” 만화 사이트를 통한 악성코드 유포에 각종 취약점 이슈, 웹사이트 관리부실 등으로 보안문제가 종종 도마 위에 오르고 있기 때문이다.

인터넷 만화 사이트에서 계정정보 노출
최근에는 인터넷 만화 관련 사이트의 로그인창에서 비밀번호 오류시 팝업창에 아이디와 비밀번호가 그대로 노출되는 취약점이 발견됐다.


▲지난 5일 계정정보가 노출된 화면

지난 5일 한 제보자는 “PC방에 깔려 있는 한 만화관련 사이트를 클릭해 회원가입 후 로그인하는 과정에서 비밀번호 오류시 팝업창에 아이디와 비밀번호가 그대로 노출되는 것을 발견하게 됐다”며 “해당 사이트에서 회원가입시 실제 사용하는 이메일을 쓰도록 유도하고 있다”고 밝혔다.

해당 로그인 페이지에는 ‘회원가입시 이메일로 메일 수신이 안 될 경우 회원가입이 취소될 수도 있다’는 문구와 함께 실제 사용하는 이메일을 기재할 것을 권하고 있다.

더욱이 보안상 비밀번호 오류횟수에 제한이 있어야 하지만 해당 사이트는 비밀번호 오류의 제한이 없다는 것. 이와 관련 대학에서 정보보안을 전공하는 김동채 씨는 “악의적인 마음을 먹은 공격자가 무차별 대입공격인 브루트 포스 공격(Brute Force Attack)을 통해 쉽게 타인의 계정을 탈취할 수 있어 위험하다”고 우려했다.

만화 컨텐츠 제공 사이트, 툭하면 악성코드 유포
이 뿐만 아니다. 만화 웹사이트의 부실한 보안관리는 악성코드 유포지 및 경유지로 이어져 이용자들의 악성코드 감염 피해를 확산시키고 있다.


▲지난 3월 19일 악성코드가 유포된 언론사 사이트 웹툰 페이지

지난 3월 22일에는 XX신문, 한국XX, 뉴스XX, XX일보, XX경제, 뉴스X, XX스포츠, X투데이 총 8곳 언론사에서 서비스를 도입·운영한 무료만화 홈페이지를 통해 악성코드가 유포됐으며, 3월 19일에는 언론사 2곳의 만화 웹페이지에서 악성코드가 유포된 바 있다. 당시 해당 악성코드는 금융정보 탈취용 악성코드로 분석됐다.


▲지난 3월 19일 악성코드가 유포된 언론사 사이트 웹툰 페이지

이에 대해 제로서트 측은 “접속자가 많은 만화 홈페이지를 악용해 악성코드가 설치되어 금전적 피해가 발생할 수 있다”며 “안전한 인터넷 이용을 위해서는 윈도우, 플래시 플레이어, 자바, 백신 등 소프트웨어를 최신 버전으로 유지해야 한다”고 당부했다.


▲지난 1월 14일과 20일에도 스포츠XX 사이트의 만화 웹페이지

이보다 앞서 지난 1월 14일과 20일에도 스포츠XX 사이트의 만화 웹페이지에서 가짜 금감원 팝업창이 뜨는 파밍용 악성코드가 유포됐다.

이에 대해 보안전문가 Auditor Lee는 “스포츠XX 사이트에서 포착된 공격기법은 Dehydrating a string Technique으로 스페이스 탭을 이용해 백신 탐지를 우회하기 위한 기법”이라며 “웹사이트 관리를 보다 철저히 해야 한다”고 강조했다.

또한, 노브레이크 박찬주 수석은 “만화 관련 사이트에 암호화 조치가 되어 있지 않을 경우 개인정보가 노출될 수 있어 암호화는 필수이며, 비밀번호 입력횟수에도 제한이 필요하다”고 설명했다.

‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’ 제28조(개인정보의 보호조치)에 따르면
정보통신서비스 제공자 등은 개인정보 취급 시 개인정보의 분실·도난·누출·변조·훼손 방지를 위해 기술적·관리적 조치를 해야 하고, 개인정보를 안전하게 저장·전송할 수 있도록 암호화기술 등 보안조치를 해야 한다고 명시되어 있다. 또한, 시행령 제15조(개인정보의 보호조치) 제28조제1항제4호에 따라 정보통신망을 통해 이용자의 개인정보 및 인증정보를 송·수신하는 경우 보안서버 구축 등의 조치를 취해야 하고, 만약 기술적·관리적 조치를 위반할 경우 3천만원 이하의 과태료를 부과할 수 있도록 하고 있다.

따라서 만화 사이트를 비롯한 웹사이트 관리자는 개인정보 암호화 조치 안내서와 보안 서버 구축 가이드를 참고할 필요가 있다.
[김경애 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>