웹사이트에서 번거로운 양식을 작성할 때 대부분의 사람들은 브라우저의 자동 완성(오토플) 기능에 의존하고 있습니다. 자동 완성 기능은 이전에 입력했던 정보를 바탕으로 웹 양식 필드에 사용자 정보를 자동으로 채워 넣어 편리함을 더해 줍니다.
하지만 안타깝게도 악의적인 제3자와 블랙햇 해커들이 이 자동 완성 기능을 역이용해 사용자의 민감한 정보를 몰래 빼낼 수 있습니다. 핀란드의 화이트햇 해커이자 웹 개발자인 빌야미 쿠오스마넨(Viljami Kuosmanen)은 GitHub 데모를 통해 공격자가 플러그인, 비밀번호 관리자 등의 도구와 브라우저의 자동 완성 기능을 탈취할 수 있음을 입증했습니다.
흥미로운 점은 이 문제가 새로운 것이 아니라는 사실입니다. 쿠오스마넨보다 훨씬 이전인 2013년, ElevenPaths의 보안 분석가 리카르도 마틴 로드리게스(Ricardo Martin Rodriguez)는 이미 이러한 브라우저 자동 완성 취약점을 발견한 바 있습니다. 그러나 지금까지 구글은 이 취약점에 대한 근본적인 해결책을 내놓지 못하고 있습니다.
모르는 사이에 새어 나가는 민감한 정보
쿠오스마넨의 개념 증명(PoC) 데모 사이트에는 이름과 이메일 주소, 딱 두 개의 필드만 있는 단순해 보이는 웹 양식이 있습니다. 그러나 실제로는 화면에 보이지 않는 숨겨진 필드가 다수 포함되어 있으며, 여기에는 주소, 소속 조직, 전화번호, 도시, 우편번호, 국가 등의 항목이 숨어 있습니다.
이런 형태의 양식에서는 이름과 이메일 필드만 눈에 보이지만, 자동 완성 기능이 나머지 숨겨진 필드까지 자동으로 채워 넣습니다. 결국 사용자가 '제출' 버튼을 클릭하는 순간, 이런 피싱 양식은 본인이 인지하는 것보다 훨씬 많은 정보를 수집하게 됩니다.
브라우저와 확장 프로그램의 자동 완성 기능을 직접 테스트해 보고 싶다면 쿠오스마넨이 만든 개념 증명 사이트를 활용할 수 있습니다. 실제로 이 양식에 제출해 본 결과, 입력한 정보보다 훨씬 많은 데이터가 수집되는 것을 확인했습니다. 최신 버전의 모질라 파이어폭스로 테스트했는데도 상당히 많은 정보가 노출되어 놀랍기까지 했습니다.
참고로 크롬의 경우 HTTPS가 적용되지 않은 사이트에서 금융 정보를 자동 완성하면 경고 메시지를 표시합니다. 하지만 실제 테스트에서 쿠오스마넨의 양식은 양식 작성 날짜, 주소, 신용카드 번호, CVV, 카드 유효기간, 도시, 국가, 이메일, 이름, 소속, 전화번호, 우편번호까지 수집하려고 시도했습니다.
심지어 이 양식은 브라우저 종류, 현재 IP 주소 등 메타데이터까지 수집하려 했습니다. 아래 스크린샷에서 그 결과를 확인할 수 있습니다.
애플 사파리, 구글 크롬, 오페라 모두 쿠오스마넨의 공격 테스트에서 취약점이 드러났습니다.
반면 2017년 1월, 모질라의 수석 보안 엔지니어 다니엘 베디츠(Daniel Veditz)는 파이어폭스 브라우저는 프로그래밍 방식으로 텍스트 상자를 몰래 채워 넣는 수법에 속을 수 없다고 밝혔습니다. 파이어폭스는 멀티 박스 자동 완성 시스템이 없어서, 사용자가 웹 양식의 각 텍스트 상자마다 미리 저장된 데이터를 직접 선택해야만 합니다. 따라서 파이어폭스 사용자는 브라우저 자동 완성 공격으로부터 상대적으로 안전합니다(적어도 현재로서는).
결론: 브라우저 자동 완성 기능을 끄세요
피싱 공격으로부터 가장 간단하게 자신을 지키는 방법은 브라우저, 확장 프로그램 설정 또는 비밀번호 관리자에서 양식 자동 완성 기능을 끄는 것입니다. 특히 주의할 점은 브라우저의 자동 완성 기능이 기본적으로 켜져 있다는 사실입니다.
크롬에서 자동 완성 끄기:
1. 브라우저의 '설정'으로 이동합니다.
2. 페이지 하단에서 '고급 설정'을 찾습니다.
3. '비밀번호 및 양식' 영역에서 '자동 완성 사용' 항목의 체크를 해제합니다.
오페라에서 자동 완성 끄기:
1. 설정 메뉴로 이동합니다.
2. '자동 완성' 항목으로 들어가 기능을 끕니다.
사파리에서 자동 완성 끄기:
1. '환경설정'으로 이동합니다.
2. '자동 완성'을 클릭해 기능을 해제합니다.
이 글이 도움이 되었다면 아래에서 '네'를 클릭해 주세요. 여러분의 의견도 언제든 환영합니다.