[지디넷코리아]MS가 인터넷 익스플로러(IE)에 스푸핑 공격 방지 기능을 업데이트할 계획이 없는 것으로 밝혀졌다. 스푸핑 공격은 사용자가 개인 정보를 해커들에게 넘기도록 속이는 형태의 공격을 지칭한다.

이 공격은 자바스크립트를 사용해 일반적으로 신뢰받는 웹사이트 전면에 팝업창을 띄움으로써 이뤄진다. 이 팝업창은 정상적인 페이지처럼 보이지만 사실은 전혀 다른 악의적인 웹사이트로 연결되며 팝업창을 클릭한 인터넷 사용자는 개인 정보를 스캐머에게 무방비로 노출시킬 수 있다.

이처럼 팝업 창이 공격자들에게 이용될 수 있음에도 불구하고 MS에서는 여러 창을 동시에 보여주는 것이 웹 브라우저의 기본 기능일 뿐 취약점이 아니라고 말하고 있다. 이 견해는 MS 테크넷 인터넷 사이트에 21일 포스팅된 권고사항을 통해 밝혀졌다.

MS에서는 “현재 표준 웹 브라우저 기능이 어떻게 피싱 시도에 쓰일 수 있는가에 대한 본보기”라고 설명하고 있다.

피싱은 최근 유행하는 형태의 온라인 사기로 사용자 이름, 암호, 신용카드 번호와 같은 민감한 정보를 훔치려 시도한다. 이 공격은 일반적으로 스팸 메일이라든가 정상적인 웹사이트처럼 가장한 가짜 웹페이지 같은 방법을 쓴다.

이번 주 초에 보안 모니터링 회사 시큐니아(Secunia)는 브라우저 문제를 “약간 심각함”으로 분류, 경고했다. 이 회사는 이 문제가 대다수 주요 웹 브라우저들에게 해당된다고 설명했다.

이 문제는 바로 자바스크립트 대화 상자가 자신의 출처를 표시하거나 포함하지 않기 때문에 유발된다. 공격이 일어나면 사용자는 은행처럼 신뢰하는 웹사이트로 가기 이전에 악의적인 인터넷 사이트를 방문하게 되거나 특정 링크를 클릭하게 된다. 이후 공격자는 사용자 이름과 암호와 같은 정보를 묻는 창을 신뢰하는 웹사이트의 일부분처럼 꾸밀 수 있다. 입력된 정보는 은행 대신 공격자한테 전달된다.

모질라 재단의 파이어폭스 개발자들은 이러한 공격을 제거하기 위해 노력해왔다. 파이어폭스는 지난 4월 신뢰하는 웹사이트에서 오지 않은 자바·플래시 기반 팝업을 막을 수 있는 패치가 개발, 배포됐다.

오페라는 최신 8.01 버전에서 팝업의 출처를 표시할 것이라고 말했다. 이에 따라 사용자는 팝업의 URL을 조사해 신뢰하는 웹사이트에서 온 것인지 아닌지 여부를 알 수 있다. @