[CBC뉴스] 온라인 악성코드 분석 서비스를 활용할 때, 파일 제출 과정에서 정보가 외부로 유출될 위험이 있다는 점이 최근 다시 주목받고 있다. 지난해 4월, '애니런'(ANY.RUN)에서 1,700건이 넘는 기업 민감 정보 문서가 공개 분석에 제출된 사례가 대표적이다. 당시 마이크로소프트 보안 제품이 일부 파일을 오진하면서, 이용자들이 악성 여부를 확인하기 위해 해당 문서를 애니런에 올린 것이 원인으로 지목됐다. 이후 애니런은 관련 분석을 비공개로 전환했다.

이처럼 온라인 분석 사이트는 파일을 외부 서버로 전송해 검사하는 방식이기 때문에, 서비스의 보관 및 공유 정책에 따라 제3자가 해당 파일에 접근할 가능성이 존재한다. 반면 개인용 백신은 대체로 이용자 기기 내에서만 파일을 검사한다. 전문가들은 주민등록번호, 여권번호, 기업 내부 문서, 계약서, 계정 정보 등 민감한 데이터가 포함된 파일은 공개형 분석 사이트에 올리지 말고, 내부 보안 시스템이나 기기 내 백신으로 검사할 것을 권고한다. 외부 분석이 불가피하다면, 해당 서비스가 비공개 검사 기능을 제공하는지, 제출 파일이 보안업체나 다른 이용자에게 공유되는지 반드시 확인해야 한다고 조언한다. 기업과 공공기관도 업무용 파일이 무분별하게 외부로 유출되지 않도록 내부 지침 마련과 직원 교육에 힘써야 한다는 지적이다.

실제로 시중에 운영되는 온라인 악성코드 분석 플랫폼들은 이용자가 의심스러운 파일이나 인터넷 주소(URL)를 제출하면, 여러 백신 엔진과 도구를 활용해 악성 여부를 검사해준다. 별도의 프로그램 설치 없이도 감염 여부를 확인할 수 있어 일반인은 물론 기업 보안 담당자들도 자주 이용한다. 하지만 일부 서비스는 검사 결과뿐 아니라 제출된 파일 자체를 보안업체나 연구자와 공유하는 구조로 운영된다.

이런 운영 방식은 신종 악성코드를 빠르게 탐지하고 백신의 탐지 성능을 높이기 위한 정상적 절차지만, 이용자가 이를 충분히 인지하지 못한 채 민감한 파일을 올릴 경우 의도치 않게 정보가 외부로 유출될 수 있다. 대표적으로 구글 계열의 '바이러스토털'(VirusTotal)은 공식 문서에서, 사이트에 제출된 파일과 웹페이지를 유료 서비스 권한을 가진 보안업체나 고객에게 제공할 수 있다고 안내하고 있다. 글로벌 사이버보안 기업 옵스왓(OPSWAT)이 운영하는 '메타디펜더 클라우드'(MetaDefender Cloud) 역시, 비공개 검사 API가 아닌 일반 검사로 제출된 파일은 백신업체나 승인된 보안 연구자에게 공유될 수 있음을 개인정보 처리방침에 명시했다. 무료 서비스인 '조티스 멀웨어 스캔'(Jotti's Malware Scan)도 탐지 정확도 향상을 위해 제출 파일을 백신업체와 공유한다고 밝히고 있다.

다만, 서비스마다 파일 공유 대상과 접근 권한에는 차이가 있으며, 모든 이용자가 타인의 제출 파일을 자유롭게 열람하거나 내려받을 수 있는 것은 아니다. 보안 업계 관계자는 온라인 악성코드 분석 서비스가 사이버 위협 탐지에 유용하다는 점을 인정하면서도, 파일에 담긴 정보의 기밀성 보호는 별개의 문제라고 강조했다. 그는 정보의 민감성과 서비스의 공유 정책을 반드시 확인한 뒤 파일을 업로드해야 불필요한 정보 노출을 막을 수 있다고 덧붙였다.

최근 대통령 순방단 개인정보 유출 사건 등으로 민감정보 관리의 중요성이 커지는 상황에서, 악성코드 검사 과정에서도 파일 내용과 서비스의 정책을 꼼꼼히 살피는 것이 요구되고 있다.

★ 네티즌 어워즈 투표하러 가기 ▶
★ 전 세계 팬덤의 결집, cbcglobe.com ▶
★ 돈돈돈, 남몰래 혼자 보는 – 돈 되는 뉴스 ▶

▮ CBC뉴스ㅣCBCNEWS 하영수 기자