[디지털데일리 이민형기자] “한국을 비롯해 전세계적으로 웹은 압도적인 위협요소로 떠오르고 있습니다. 더 큰 문제는 근본적인 해결이 어렵다는 점입니다.”

박 전문위원은 “웹에 대한 위협이 현실로 다가옴에 따라 많은 기업들은 솔루션만으로 이를 해결하고자 한다. 하지만 이는 반드시 문제가 생길 수 밖에 없다”며 “솔루션은 사고가 발생하기 전까지 잠깐동안의 시간을 벌어주는 역할만 할 수 있다. 근본적인 해결은 사람이 할 수 밖에 없다”고 설명했다.

지난해부터 국내에서는 웹 취약점을 악용한 공격이 시시각각 발생하고 있다. 대형포털을 비롯해 언론사, 학원, 종교, 여행사 등 특정 산업군을 구분하지 않고 공격이 감행되고 있다.

이와 관련 박 전문위원은 “기업들이 웹방화벽과 같은 보안솔루션 도입으로만 문제를 해결하려고 하는데, 이는 근본적인 해결책이 될 수 없다”며 “소스코드 보안, 즉 개발보안(시큐어코딩)으로 취약점을 해소하는 것이 중요하다”고 말했다.

박 전문위원은 이 자리에서 자바(JAVA)에 대한 취약점을 비롯해 워터링 홀(Watering Hole), 맬버타이징(Malvertising, Malware+Advertising)과 같은 보안위협 동향을 비롯해 최근 이슈가 된 하트블리드(Heartbleed)에 대한 설명으로 참가자들의 호응을 얻었다.

그는 “IBM에는 수십 년 동안 단 한차례의 보안사고가 없었던 메인프레임이란 제품이 있다. 만약 메인프레임에 보안사고가 발생한다면 그 이유는 바로 자바일 것”이라며 “그만큼 자바에 대한 취약점 공격은 어마어마한 수준(전체의 50%)이다. 또 애플 개발자들을 대상으로 한 워터링 홀 공격, 야후 광고서버를 대상으로 한 맬버타이징 공격 등도 주목해야 된다”고 강조했다.

지난해 애플 개발자들을 대상으로 한 워터링 홀 공격이 있었다. 이는 애플 개발자들이 자주 찾는 사이트를 악성코드로 감염시킨 뒤, 해당 사이트에 접속만 해도 악성코드를 내려받도록 만든 공격이다. 이때문에 애플 아이오에스(iOS)의 개발버전 펌웨어 배포가 늦어지기도 했다.

맬버타이징 공격은 웹사이트 광고서버에 악성코드를 심어 해당 광고를 보는 사용자들에게 악성코드를 유포하는 기법이다. 처음에는 정상적인 광고를 광고서버로 전송하지만 특정 시기에는 악성코드가 담긴 광고를 서버로 전달해 유포하는 방식이다. 해외에서는 야후, 국내에서는 티스토리가 이 공격을 받은 바 있다.

끝으로 박 전문위원은 “이러한 위협에 대응하기 위해서는 기업 담당자들의 발빠른 조치와 지능화된 보안 프레임워크가 필요하다”고 전했다.

<이민형 기자>kiku@ddaily.co.kr