예전에는 이메일 수신함으로 들어오는 피싱 메일만 조심하면 충분했습니다. 하지만 지금은 상황이 완전히 달라졌습니다. 악성코드는 눈에 보이지 않는 곳 곳곳에 잠복해 있으며, 온라인에서 잘못된 이미지 하나를 열어보는 것만으로도 여러분과 기기가 위험에 처할 수 있습니다.
메타데이터 속 숨겨진 악성코드, 무슨 일이 벌어지고 있나?
최근 Slack, Discord, WooCommerce, Steam 등에서 트로이 목마가 심어진 프로필 사진이 연달아 발견되고 있다는 보고가 잇따르고 있습니다. 이 이미지들은 위험한 코드를 몰래 품고 있는데, 흥미로운 점은 이미지 자체가 '감염'된 것이 아니라 악성코드를 운반하는 그릇 역할을 한다는 것입니다.
이러한 공격은 메타데이터를 통해 안전하다고 여겨지는 다양한 경로로 피해자에게 도달합니다.
사이버 범죄자들은 사용자의 프로필 사진 같은 파일에 무단히 올라타 은밀하게 보안망을 통과합니다. 특정 서버에 업로드된 모든 이미지를 하나하나 뜯어보지 않는 한 이를 탐지하기란 매우 어렵습니다.
이미지 속 악성코드, 어떻게 가능한 걸까?
온라인 이미지에는 때때로 위험한 악성코드가 숨어 있을 수 있습니다. Jeffrey's Image Metadata Viewer 같은 EXIF 분석 도구를 사용해도 쉽게 드러나지 않는 경우가 많습니다. 무엇을 찾아야 하는지 알아야 하는데, 일반 사용자에게는 그런 배경지식이나 노하우가 없는 경우가 대부분입니다.
GDATA가 공개한 실제 사례를 보면, JPEG 밈(meme) 이미지를 EXIF 도구로 검사했을 때 ICC 프로파일에서 '비정상적인 길이'가 감지됩니다. 원래 이 위치에는 이미지의 출력 표준 정보가 들어가야 하지만, 그 자리가 암호화된 자바스크립트 악성코드로 대체되어 있었던 것입니다.
앞서 언급한 웹사이트를 통해 여러분에게 전달된 이 악성코드는, 스스로를 실행하기 위해 여러분의 기기 안에 있는 무언가를 필요로 합니다. 공격 대상이 되었다면 이 다운로더는 이메일 첨부파일이나 악성 웹 앱의 형태로 다가올 수 있습니다.
사진작가들이라면 이런 생각이 들 겁니다. 대체 누가 이런 짓을 고안하는 걸까? 하지만 사랑과 전쟁, 그리고 해킹의 세계에서는 모든 수단이 동원된다는 말도 있죠.
메타데이터 악성코드에 해킹당하지 않는 4가지 방법
가장 확실한 답은 이런 유형의 공격이 자주 나타나는 플랫폼 사용을 피하는 것입니다. 그렇다면 그 외에 안전을 지키기 위해 할 수 있는 일은 무엇일까요?
1. 수상한 파일은 절대 다운로드하지 않기
확신이 서지 않는 파일은 절대 다운로드하지 마세요. 보내는 사람이 모르는 사람이라면 더욱 그렇습니다. 이론적으로는 이미지와 함께 전송되는 실행 프로그램을 컴퓨터에 복사하지 않는 한 안전합니다.
2. 낯선 것은 꼼꼼히 따져보기
한 번도 사용해 본 적 없는 앱이나 사이트를 아예 배제하라는 뜻은 아닙니다. 다만 무언가 이상하게 느껴진다면 직관을 믿으세요. 허술하고 성의 없어 보이거나 피상적인 웹사이트는 멀리하고, 혹시라도 의심스러운 곳에 들어갔다면 그 안의 어떤 입력 양식, 팝업, 다운로드도 피하는 것이 좋습니다.
3. 기기에 개인정보 입력 최소화하기
키 입력을 기록할 수 있는 기기라면, 여러분이 하는 모든 행동이 수집 가능한 데이터가 됩니다. 신용카드 번호, PIN 번호, 주민등록번호, 그리고 모든 아이디와 비밀번호는 입력하는 순간마다 표적이 될 수 있습니다.
이 문제는 현실적으로 완전히 피하기 어렵기 때문에, 보안 프로그램으로 기기를 정기적으로 검사하고 가능한 한 이중 인증(2FA)을 활용하는 것이 필수적입니다.
4. 제대로 된 백신 프로그램에 투자하기
확신이 서지 않을 때는 전문가의 도움을 받는 것이 현명합니다. 많은 보안 업체가 모든 다운로드를 검사하고, 컴퓨터의 악성코드를 정기적으로 점검하며, 평판이 좋지 않은 사이트 방문 자체를 차단해 주는 보안 패키지를 제공합니다. 무료 백신도 있으니 부담 없이 시작해 볼 수 있습니다.
교묘해진 악성 메타데이터 공격, 이제는 각오해야
이 공격 기법의 독창성은 인정할 수밖에 없습니다. 많은 경우 피해가 이미 끝난 후에야 자신이 표적이 되었다는 사실을 알게 됩니다.
그렇기 때문에 눈과 귀를 항상 열어두고, 특히 새로운 브랜드나 서비스를 내 디지털 생활에 받아들일 때는 더욱 신중해야 합니다. 미리 조심하는 것이 나중에 후회하는 것보다 항상 낫습니다.