HTML5 보안, 과연 신뢰할 만한 선택일까?

디지털 시대에 접어든 지금, 온라인 사용자들은 웹사이트와 애플리케이션의 품질에 대해 한층 까다로운 기준을 적용하고 있습니다. 사용자들은 매끄럽고 최적화된 경험을 우선적으로 원하며, 이러한 흐름 속에서 HTML5는 핵심적인 역할을 담당해 왔습니다.

HTML5는 플래시(Flash)와 같은 플러그인이 지닌 보안 위협 없이도 개발자가 사용자 인터페이스를 개선할 수 있도록 지원했습니다. 이러한 장점 덕분에 개발자들은 그 어느 때보다 HTML5를 신뢰하게 되었고, Adobe Flash의 취약점이 공개된 이후 이 선택은 최적의 판단이었다는 평가를 받았습니다. 실제로 HTML5를 사용하는 사이트의 비율은 70%까지 상승했습니다. 하지만 이것이 정말 가치 있는 결정이었을까요? 잘못된 선택이 아니라고 단언할 수 있을까요?

조금 더 자세히 들여다보면

HTML5가 훌륭한 업그레이드라는 사실은 부정할 수 없지만, 그만큼의 보안 문제도 안고 있습니다. 얼마 전 The Media Trust Digital and Security Operations 팀은 HTML5의 보안성과 신뢰성에 의문을 제기하는 다양한 멀웨어를 발견했습니다. 이 멀웨어는 자바스크립트(JavaScript)를 이용해 스스로를 은폐하며 HTML5 내부에 잠복합니다. 덕분에 탐지를 회피하면서 사용자가 데이터를 입력하도록 유도하고, 수집한 정보를 해커에게 전달해 악의적인 목적으로 사용되게 합니다. 특히 이 멀웨어를 더욱 위험하게 만드는 특징은 자기 자신을 여러 조각으로 분해해 탐지를 극도로 어렵게 만든다는 점입니다. 게다가 광고와 미디어 채널을 통해 빠르게 확산되고 있으며, 보안 전문가들에 따르면 이미 전 세계 웹 미디어 배급사에 영향을 준 약 20건의 해킹 사건을 일으킨 것으로 알려졌습니다.

이 사례는 멀웨어 제작자들이 시스템의 아주 사소한 허점조차 끊임없이 노리고 새롭고 창의적인 공격 방식을 모색하고 있다는 것을 보여주는 대표적인 예입니다. 그런데 이번이 HTML5가 공격받은 첫 번째 사례는 아닙니다. 2015년 Adobe Flash가 문제를 일으키던 시기에 보안 분석가들은 해커가 HTML5 코드를 악용할 수 있는 여러 방법을 이미 발견한 바 있습니다. 여기에는 동일한 “난독화-비난독화(obfuscation-de-obfuscation)” 자바스크립트 명령어를 활용하는 API 사용 기법도 포함되어 있었습니다.

그다음 해에는 이러한 멀웨어가 시스템을 마비시키고 사용자의 개인 정보를 몰래 빼내는 데 활용되었습니다. 올해의 공격 사례는 사용자와의 상호작용이 전혀 필요 없다는 점에서 더욱 다릅니다. 이는 대규모 공격을 위해 끊임없이 진화하는 해커들의 학습 능력과 숙련도를 보여줍니다. 놀랍게도 지금까지 어떤 버전의 HTML5 멀웨어도 백신 소프트웨어에 의해 탐지되거나 제거된 사례가 없습니다. HTML5 보안 문제는 머지않아 큰 골칫거리가 될지도 모릅니다!

HTML5 보안 문제는 이것만이 아닙니다

영국의 일반 데이터 보호 규정(GDPR)과 미국의 다양한 보안 규제는 GDPR 시행을 통해 기업들에게 어느 정도 안도감을 줄 것으로 기대됩니다. 그러나 HTML 난독화처럼 위협이 즉각적으로 식별되지 않는 사건은 사실상 폭발을 기다리는 조용한 폭탄이나 다름없습니다.

해커들은 제3자 업체를 표적으로 삼는 경향이 뚜렷합니다. 상대적으로 보안 체계가 취약하고 침입이 쉽기 때문입니다. 일단 침투에 성공한 해커는 고객의 안전한 시스템까지도 발각되지 않은 채 침입할 수 있습니다. 또 다른 손쉬운 표적은 온라인 광고입니다. 해커는 웹사이트 전체를 침해하지 않고도 수많은 사용자에게 멀웨어를 퍼뜨릴 수 있습니다.

그렇다면 어떤 대응책이 있을까?

보안을 확실하게 담보하는 최선의 방법은 외부 업체를 효과적이고 지속적으로 모니터링하면서, 위협이나 이상 징후를 조사하고 신속히 대응하는 것입니다. 이를 위해 승인되지 않은 제3자와 코드를 수시로 점검해야 하며, 기업은 명확한 보안 정책을 공유하고 협력업체(벤더) 계약에 보안 조건을 명시해 준수를 강제해야 합니다.

아울러 기업은 침해 사고나 승인되지 않은 벤더 행위가 발생했을 때 즉각 대응할 수 있는 신속한 절차를 마련해 두어야 합니다. 이 절차에는 완전한 복구 계획과 함께 고객 통지 및 사건 신고 방안이 포함되어야 하며, 경고 후에도 정책이나 계약 조건을 계속 위반하는 벤더는 즉시 계약을 종료하는 내용도 반드시 포함해야 합니다.

규제 당국은 해커에 대해 기업이 어떤 조치를 취했는지, 관련 정보를 얼마나 신속하게 공개했는지, 침해 사고 이전에 어떤 예방 조치를 마련했는지 등을 조사할 것입니다. 이러한 방법이 완벽한 해결책은 아닐지라도, HTML5 보안 문제가 비즈니스를 무너뜨리는 상황은 확실히 막을 수 있을 것입니다. 여러분의 생각은 어떠신가요?