[AI프리즘] 악성코드 검사하려다 정보 노출 우려…보안 점검의 역설

일부 온라인 분석 서비스, 제출 파일 보안업체·연구자와 공유

개인정보·기업 기밀 포함 여부 살피고 비공개 검사 확인해야

[로이터=연합뉴스 자료사진. 재판매 및 DB 금지]

(서울=연합뉴스) 권하영 기자 = 최근 대통령 순방단 개인정보 유출 사건을 계기로 민감정보 관리의 중요성이 부각되는 가운데 온라인 악성코드 분석 서비스를 이용할 때도 파일 제출에 주의가 필요하다는 지적이 나온다.

일부 서비스는 위협 탐지와 분석을 위해 제출된 파일을 보안업체나 연구자와 공유하는 방식으로 운영된다.

악성코드 감염 여부를 확인하려고 올린 문서에 개인정보나 기업 기밀이 담겨 있다면 의도치 않게 외부에 노출될 수 있어 업로드 전 파일 내용과 서비스의 공유 정책을 확인해야 한다.

◇ 의심 파일 올리면 다중 백신 검사…일부는 외부 공유

3일 보안업계에 따르면 시중 온라인 악성코드 분석 사이트는 이용자가 의심스러운 파일이나 인터넷 주소(URL)를 제출하면 여러 백신 엔진과 분석 도구를 활용해 악성 여부를 검사하는 서비스를 제공한다.

별도의 보안 프로그램을 설치하지 않고도 파일의 악성코드 감염 여부를 확인할 수 있어 일반 이용자는 물론 기업과 기관의 보안 담당자도 활용할 수 있는 도구다.

그러나 이러한 서비스 중 일부는 검사 결과뿐 아니라 이용자가 제출한 파일 자체를 보안업체나 연구자 등에게 공유한다는 점에서 주의가 필요하다.

이는 새로운 악성코드를 신속하게 탐지하고 백신 프로그램의 탐지 성능을 개선하기 위한 정상적인 운영 방식이지만, 이용자가 이러한 구조를 충분히 인지하지 못하고 민감한 파일을 제출하면 의도치 않은 정보 노출로 이어질 수 있다.

대표적인 서비스인 구글 계열의 보안 점검 플랫폼 '바이러스토털'(VirusTotal)은 사이트에 제출된 파일과 웹페이지를 유료 서비스 권한을 가진 보안업체나 고객에게 제공할 수 있다고 공식 문서에 명시했다.

글로벌 사이버보안 기업 옵스왓(OPSWAT)이 운영하는 '메타디펜더 클라우드'(MetaDefender Cloud) 역시 비공개 검사 API가 아닌 일반 검사로 제출된 파일은 백신업체나 승인된 보안 연구자에게 공유할 수 있다는 개인정보 처리방침을 안내하고 있다.

무료 온라인 악성코드 검사 서비스인 '조티스 멀웨어 스캔'(Jotti's Malware Scan)도 백신 제품의 탐지 정확도를 높이기 위해 제출된 파일을 백신업체와 공유한다고 명시하고 있다.

다만 서비스마다 파일 공유 대상과 접근 권한이 다르며, 모든 이용자가 다른 사람이 제출한 파일을 자유롭게 열람하거나 내려받을 수 있는 것은 아니다.

◇ 보안 점검이 정보 노출로…파일 공유 정책 확인 필수

실제 보안 검사를 위해 제출한 파일이 외부에 공개되는 사례는 적지 않다.

지난해 4월 온라인 악성코드 분석 서비스 '애니런'(ANY.RUN)에서는 기업의 민감한 정보가 포함된 문서 1천700건 이상이 공개 분석에 제출된 것으로 알려졌다.

당시 마이크로소프트의 보안 제품이 일부 파일을 악성으로 잘못 탐지하면서 이용자들이 이를 확인하기 위해 애니런에 문서를 제출한 것이 원인으로 지목됐다. 애니런은 이후 관련 분석 작업을 비공개로 전환하는 조처를 했다.

이처럼 온라인 악성코드 분석 서비스에 파일을 제출하는 것은 개인용 백신 프로그램으로 파일을 검사하는 것과 차이가 있다.

개인용 백신은 통상 이용자의 기기에서 파일을 검사하지만, 온라인 분석 사이트는 파일을 외부 서버로 전송해 분석하므로 해당 서비스의 보관·공유 정책에 따라 제3자가 파일에 접근할 가능성이 있다.

전문가들은 주민등록번호나 여권번호 등 개인정보, 기업 내부 문서, 계약서, 계정 정보 등이 포함된 파일은 공개형 분석 사이트에 올리지 않는 것이 안전하다고 권고한다. 민감한 파일은 기기 내부에서 작동하는 백신이나 기업 내부 보안 시스템을 통해 검사해야 한다는 설명이다.

외부 분석이 불가피하다면 해당 서비스가 비공개 검사 기능을 제공하는지, 제출한 파일이 다른 이용자나 보안업체에 공유되는지 등을 사전에 확인해야 한다.

기업과 공공기관 역시 업무용 파일이 외부 보안 분석 사이트에 무분별하게 제출되지 않도록 내부 보안 지침을 마련하고 직원 교육을 강화할 필요가 있다.

보안 업계 관계자는 "온라인 악성코드 분석 서비스는 사이버 위협을 탐지하는 유용한 수단이지만, 악성코드 감염 여부를 확인하는 것과 파일에 담긴 정보의 기밀성을 보호하는 것은 별개의 문제"라고 했다.

이 관계자는 "보안을 점검하려던 행위가 오히려 새로운 정보 노출 경로가 되지 않도록 파일 업로드에 앞서 정보의 민감성과 서비스의 공유 정책을 확인하는 것이 중요하다"고 강조했다.

kwonhy@yna.co.kr