안전한 웹서핑 위해 이것만은 꼭 확인하자

2009.04.06

 

오늘날 우리는 인터넷(Internet)으로 통칭되는 월드와이드웹(WWW)을 통해 내 방에서 원하는 정보를 빠르게 찾을 수 있으며 원하는 업무를 손쉽게 처리할 수 있다. 하지만 그로 인해 이전보다 더욱더 다양한 보안 위협을 접하고 있는 것도 사실이다.
우리가 웹 서핑(Web Surfing) 시 마주 하게 되는 보안상 문제점은 크게 다음과 같다.

- 웹 브라우저(Web Browser)의 보안 취약점으로 인한 악성코드의 실행
- 액티브엑스(ActiveX)를 통해 악성코드의 설치 및 실행
- 아이디와 패스워드 유출

(1) 웹 브라우저의 보안 취약점
먼저 웹 브라우저에 보안 취약점이 있을 경우 해당 취약점 코드가 삽입된 웹 사이트에 방문하는 것 만으로도 악성코드가 설치되고 동작한다. 따라서 무엇보다 예방이 중요하다. 하지만 이런 응용프로그램의 취약점은 사용자만 주의한다고 문제가 해결되지 않는다. 웹 브라우저 제작사와 사용자 모두의 노력이 필요하다. 먼저 제작사의 경우 보안 취약점이 발견 되었을 경우 고객이 피해를 입기 전에 신속히 보안 패치를 제공해야 한다. 그리고 사용자의 경우 업데이트를 통해 웹 브라우저를 항상 최신 버전으로 유지해야 한다. 컴퓨터 보안 회사에서 사용자에게 보안 업데이트를 강조하는 이유가 바로 여기에 있다.

보안 업데이트가 되지 않은 컴퓨터를 네트워크에 접속하고 사용하는 것은 마치 구멍 난 방독면을 쓰는 것과 동일하다. 평소엔 아무런 이상이 없지만 화생방 상황이 벌어지면 구멍 난 방독면은 착용은 하고 있지만 무용지물이 된다. 취약점도 마찬가지로 평소에 취약점이 존재하는 응용 프로그램을 사용할 때는 이상이 없지만 해당 취약점을 악용하는 공격을 받았을 경우 컴퓨터는 바로 악성코드에 감염된다. 따라서 자주 사용하는 프로그램의 경우 최신 업데이트 버전이 존재하는지 확인하는 습관이 중요하며, 무엇보다 사용하는 운영체제(일반적인 경우 마이크로소프트사의 윈도우)에 대한 보안 패치는 항상 발표 즉시 수행하는 것이 좋다.

참고로 마이크로소프트사의 경우 매달 두 번째 수, 목요일에 보안 업데이트를 발표하므로 가급적 업데이트를 수행해 주는 것이 좋다.

 

 

(2) 액티브엑스를 이용한 악성코드
MS에서 개발한 액티브엑스(ActiveX)는 웹 브라우저의 기능을 확장하는데 널리 사용되고 있다. 액티브엑스의 등장으로 정적인 웹 브라우저 환경이 동적으로 바뀌어 오늘날 우리는 웹 브라우저를 통해 보다 다양한 서비스를 제공 받을 수 있게 되었다. 웹 서핑 시 어떤 프로그램을 설치 하겠냐는 메시지 박스를 자주 접하게 되는데 이것이 바로 액티브엑스이다.

인터넷 익스플로러(Internet Explorer)의 ActiveX 보안 경고창

일반적인 사용자는 웹 서핑도중 이런 메시지를 만나면 큰 고민 없이 [설치] 버튼을 누른다. 이런 점을 악용해 액티브엑스를 애드웨어(Adware)와 같은 프로그램을 배포하는 경로로 사용하는 사례가 지속적으로 발견 되었다. 특히 국내의 경우 제휴마케팅사를 통해 일반인들까지 금전적 수익을 노리고 이런 애드웨어를 배포하는 사례가 증가해 그 피해가 극심했다.

최근 관련 기관과 보안 업체의 노력으로 이러한 사례가 감소하는 추세지만 여전히 그 위험성은 매우 높다. 따라서 웹 서핑도중 보안 경고창이 발생했을 경우 무조건 [설치]버튼을 누르지 말고 한번쯤 필요한 프로그램인지 먼저 생각해 보고 설치 여부를 결정해야 한다. 이때 고려해야 할 사항은 내가 하려고 하는 작업과 설치하려고 하는 프로그램이 연관성이 있는지를 살펴보면 된다.

메일을 쓰기 위해 접속 했을 경우 액티브엑스를 설치하려고 한다. 이때 어떤 것은 설치를 해야 하고 어떤 것은 설치하지 말아야 할까? “메일 에디터” 또는 “파일 업로드” 모듈을 설치하려고 한다면 메일 쓰기와 연관성이 있으니까 설치하는 것이 맞다. 하지만 “무료보안”프로그램을 설치하려고 한다면? 메일 쓰기와 무료보안은 연관성이 많이 떨어진다.

또는 동영상을 보기 위해 접속 했는데 동영상 재생과 관련된 모듈이 아니고 “쇼핑몰 적립” 이나 “키워드 검색 도우미” 같은 모듈을 설치하려고 한다면? 단순히 이름 인터넷 익스플로러 보안 경고창의 이름만 보고 판단이 되지 않을 경우 파란색으로 된 이름 부분을 클릭하면 해당 액티브엑스 제작사의 홈페이지로 연결이 된다. 여기서 해당 액티브엑스가 어떤 프로그램이 확인할 수 있다. 그리고 게시자를 클릭하면 해당 액티브엑스의 디지털 서명 정보를 확인할 수 있다. 아래 이미지와 같이 “이 디지털 서명은 유효합니다”라는 메시지가 있는지 확인해 이상이 없는지 확인해 보는 것도 필요하다.

ActiveX에 대한 디지털 서명 정보

최근 쇼핑몰에서 물건 구입시 구매 금액의 일정액을 적립해 주는 리워드 프로그램, 인터넷 익스플로러 등에서 주소창에 입력한 키워드로 사이트를 검색해주는 키워드 도우미 서비스, 각종 바로가기를 아이콘으로 제공하는 인터넷 익스플로러 툴바 등이 이런 방법으로 설치되고 있다. 따라서 사용자에게 꼭 필요한 프로그램인지 확인한 후 설치하는 것이 바람직하다.

 

(3) 아이디와 패스워드 유출
인터넷 상에서 나와 다른 사람을 구분해 주는 가장 기본이 되는 정보는 바로 아이디(ID)이다. 아이디와 패스워드만 입력하면 인터넷상에서 나의 이름으로 활동할 수 있게 된다. 하지만 달리 말하면 아이디와 패스워드를 다른 사람이 알게 된다면 내가 아닌 다른 사람이 나의 이름으로 활동할 수 있게 된다는 말이 된다. 영화 마이너리티 리포트에서 다른 사람의 눈을 이식 받아 다른 사람을 살아갈 수 있게 되는 것과 같다.

실제 지인이 어느 대형 포탈 사이트에 로그인 한 후 메일 서비스에 들어가 보낸 편지함을 열어보고 무척 당황했다는 이야기를 들었다. 보낸 편지함엔 자신이 보내지도 않은 수 많은 스팸 메일(Spam mail) 발송 기록이 남아 있었기 때문이다. 즉, 다른 사람이 나의 아이디를 이용해 또 다른 사람에게 스팸 메일을 발송한 것이다. 나도 모르는 사이 본인의 의지와는 상관없이 스팸 메일러가 되어 버렸다.

이렇듯 유출된 아이디와 패스워드는 거기서 그치지 않고 또 다른 범죄에 사용될 소지가 높아 그 피해는 예측하기도 힘들다. 따라서 가장 좋은 방법은 이를 예방하는 것이다. 그럼 아이디와 패스워드는 어떤 경로로 유출이 되는 것일까?

 

첫째, 쉬운 패스워드가 간단하게 구성된 경우이다. 1234와 같이 누구나 예측 가능한 패스워드나 사전에 등록되어 있는 단일 문자가 그 공격 대상이다. 이런 공격을 정공법이라고 하는데 특정 아이디를 대상으로 하나씩 다른 패스워드를 대입해 보는 방식이다. 이렇게 해서 로그인에 성공한 패스워드가 곧 그 사람의 패스워드가 되는 것이다. 이는 복잡한 패스워드를 사용함으로써 어느 정도 예방이 가능하다. 복잡한 패스워드를 만드는 방법은 의외로 간단하다. 단일 단어를 사용하지 말고 단어와 숫자를 적절하게 섞는 것이 좋다. 즉, 복잡한 단어와 숫자의 조합을 사용하는 것이다. 만약 해당 서비스에서 허용만 한다면 특수문자(영어와 한글이 아닌 다른 기호)를 섞어 주면 더욱더 효과적이다.

 

둘째, 아이디와 패스워드를 본인이 직접 다른 곳에 입력한 경우이다. 실제 국내외에 유명 메신저에서 자신을 삭제한 친구 리스트를 보여준다는 사이트가 퍼졌었다. 해당 페이지에 접속하면 메신저 아이디와 패스워드를 입력하라고 하는데 여기에 아이디와 패스워드를 입력하면 그 내용이 고스란히 저장된다. 이렇게 유출된 아이디와 패스워드를 이용해 공격자는 메신저에 로그인해 친구로 등록된 사람들에게 동일한 메시지를 보내고 그 메시지를 받은 사람은 또 다시 자신의 메신저 아이디와 패스워드를 입력하는 악순환이 반복되었다. 즉, 피해자가 기하 급수적으로 늘어날 수 밖에 없다. 따라서 이를 예방하기 위해서는 검증된 사이트 이외에는 자신의 패스워드를 절대 기록하지 말아야 한다. 만약 과거에 그렇게 한 적이 있다면 가능한 빨리 자신의 패스워드를 변경하는 것이 좋다.

 

셋째, 보안이 허술한 사이트를 통해 외부로 유출된 경우이다. 대다수의 사용자들이 동일한 아이디와 패스워드를 사용한다. 인터넷 상에서는 수 많은 사이트들이 존재한다. 그 중 보안이 철저하게 점검되고 관리되는 곳도 있지만 그렇지 않은 곳도 있다. 따라서 보안이 허술한 사이트를 공격해 그 사이트에 가입된 사용자 정보가 외부로 유출된다면 그 사이트 이외에 보안이 잘 되고 있는 사이트의 아이디와 비밀번호도 함께 유출이 된 것과 동일하다. 따라서 가급적이면 사이트마다 다른 아이디 또는 패스워드를 사용해 만에 하나 자신의 정보가 유출이 되더라도 또 다른 피해를 당하지 않도록 예방하는 것이 좋다. 하지만 사이트마다 모두 다른 아이디와 패스워드를 유지한다는 것이 어렵다면 보안이 잘 되어 있다고 생각하는 사이트와 그렇지 않은 사이트를 구분해 각각 다른 패스워드를 사용하는 것도 좋다.

 

넷째, 악성코드에 의해 유출된 경우이다. 특정 악성코드는 사용자 컴퓨터를 뒤져 정보가 될만한 것들을 수집해 공격자에게 전송하는 기능을 가지고 있다. 이런 악성코드에 감염 되었다면 방화벽이 없는 이상 나의 소중한 개인 정보는 공격자에게 바로 전송 된다. 따라서 무엇보다 이런 악성코드의 예방이 매우 중요한데 그 방법으로는 보안 업데이트를 통해 보안 취약점을 패치 해야 하며 신뢰할 수 있는 보안 업체의 제품을 사용하며 늘 최신 엔진으로 유지하고 방화벽 등을 사용해 외부로 나가는 정보를 통제하는 것이 좋다. 또한 가급적 주기적으로 패스워드를 변경하는 것도 도 다른 피해를 예방하는데 도움이 된다.

또한 PC방과 같이 여러 사람들이 함께 사용하는 컴퓨터에서는 가급적 패스워드를 입력하지 않는 것이 좋다. 왜냐하면 공용 컴퓨터는 개인 컴퓨터에 비해 더욱더 보안에 취약하며 다른 사람들의 접근이 용이해 아이디와 패스워드를 유출하는 악성코드가 동작하고 있을 가능성이 높다. 꼭 입력해야 할 상황이라면 마우스로 키보드 입력을 대신할 수 있는 화상 키보드를 사용하면 키보드 입력을 가로채는 위험은 어느 정도 예방할 수 있다. 화상 키보드를 실행하기 위해서는 [시작] -> [모든 프로그램] -> [보조프로그램] -> [내게 필요한 옵션] -> [화상 키보드]를 클릭하거나, [시작] -> [실행] 후 OSK 를 입력하고 [확인]을 누르면 된다. 하지만 이도 네트워크상에서 송수신 되는 내용을 가로채는 악성코드에 대해서는 무방비 상태가 되므로 안심해서는 안 된다.@

 

칼럼니스트                 박시준 | 안철수연구소 악성코드 분석가

 

안철수연구소에서 악성코드 분석 업무를 담당하고 있으며 “IT 칼럼니스트”로 활동하고 있다. 다양한 분야에 대한 스키마를 쌓는 것을 좋아하며, 세상을 함께 살아가는 구성원으로서 다른 누군가에게 조금이라도 도움이 되었으면 하는 마음 가짐으로 오늘도 열심히 하루를 살아가려고 노력하고 있다.