“완벽한 소스 코드가 뚫렸다?”... 이미지 속에 숨은 메이지카트의 치밀한 함정

 

안녕하세요, IT 보안 소식을 전하는 지오이스트입니다.  

 

웹 개발자들은 "내 소스 코드가 완벽하고 AI 코드 보안 어시스턴트가 있으니 우리 웹사이트는 안전하다"고 믿곤 합니다. 개발자가 직접 작성한 코드 내의 취약점은 코드 정적 분석 도구들이 선제적으로 찾아내고, 입력값도 자동으로 필터링해주기 때문에 보안의 든든한 방패로 여겨져 왔죠

.

그런데 최근, 이 굳건한 믿음을 산산조각 내는 충격적인 소식이 전해졌습니다. 소스 코드를 건드리지도 않았는데, 사용자의 결제 정보가 털리는 교묘한 수법이 발견된 것입니다.

 

웹방화벽(WAF)의 눈마저 감쪽같이 속여버린 이번 공격의 실체와 대응 방안에 대해 알아보겠습니다.

---

🔎 ORM 주방장 대신 이번엔 '이미지'의 배신

 

Orm 사태가 ORM 주방장 내부의 배신이었다면, 이번 메이지카트(Magecart)의 공격은 겉보기엔 평범한 '이미지'의 배신과 같습니다.

• 공격의 정체 : 파비콘 EXIF 데이터 은닉 스키밍 : 겉보기엔 평범한 웹사이트의 아이콘인 '파비콘(favicon)' 이미지 파일에 악성 자바스크립트 코드를 데이터 형태로 숨겨 넣었습니다.
• 검증 누락 : 글로벌 사이버 보안 업체 지스케일러(Zscaler)의 위협 연구팀인 '쓰랫랩즈'(ThreatLabz)가 발견한 바에 따르면, 공격자들은 평범한 이미지 파일을 데이터 형태로 읽은 뒤, 이를 실시간 실행 명령어로 변환하는 방식으로 기존 보안 시스템의 감시망을 완벽하게 무력화했습니다.

😈 WAF 무력화와 '왜 내 코드 리뷰(PR)는 무용지물이 되었나?'

 

기업은 외부 공격을 막기 위해 애플리케이션 앞단에 웹방화벽(WAF)을 세워둡니다. 하지만 이번 공격 앞에서는 WAF도 무용지물이었습니다. 공격자들은 WAF의 탐지 범위를 교묘하게 우회했습니다.

• WAF failure: 공격자가 조작된 악성 키(Favicon EXIF Data Concealment)를 API 요청에 담아 보냅니다. 이때 트래픽은 평범한 '이미지 파일' 형태를 띠고 있어 WAF의 탐지망을 무사히 통과합니다. WAF는 donuts (이미지) 자체는 안전하다고 판단합니다.
• 서버 내부에서 돌변 : WAF가 안전하다고 판단해 통과시킨 데이터가 서버 깊숙한 곳의 사용자 브라우저에 도달하는 순간, 비로소 파괴적인 악성 SQL 문법으로 조립됩니다. 겉에서 지키는 경비원이 내부 밀실에서 일어나는 일을 막을 수는 없는 노릇이죠.

😱 결과: 무리한 차단은 서비스 장애로 이어져

 

그렇다면 WAF에서 이미지 파일 자체를 차단하면 어떨까요?

 

문제는 이미지 파일 전송이 서비스 이용 과정에서 필수적이라는 점입니다. 무리하게 차단할 경우 멀쩡한 사용자의 서비스 이용까지 막히는 대형 장애로 이어지게 됩니다.

 

이 공격은 또한 개발자의 PR(Pull Request) 검토 과정을 완벽하게 우회합니다. 공격자들은 개발자가 직접 작성한 코드를 수정하지 않습니다. 대신 기업이 신뢰하여 가져다 쓰는 제3자 스크립트나 CDN 소스를 오염시킵니다. 따라서 개발자가 PR 과정에서 자신의 코드를 철저히 검토하지만, 메이지카트는 이 과정을 완벽하게 우회합니다.

 

이 영역은 '설계상 범위'의 차이로, 도구의 결함이 아닙니다. 리포지터리 중심의 보안 도구는 '내가 쓴 코드'의 오류는 잡아내지만, '남이 제공한 서비스'를 통해 실시간(런타임)으로 유입되는 공격은 발견하지 못합니다.

 

🛡️ 어떻게 방어해야 하나? 대응 방안

 

글로벌 보안업체 지스케일러의 김성기 보안연구원은, "우리 집 안방은 안전하다고 믿고 있지만, 다른 사람이 빌려준 소파 아래에 도청장치가 숨겨져 있는 격"이라며, "네트워크 방어가 탄탄해도 코드 안에서 터지는 취약점은 결국 코드로 막을 수밖에 없다"고 강조했습니다.

• 런타임 모니터링 구축 : 크리밋의 김동현 대표는, "네트워크 방어가 탄탄해도 코드 안에서 터지는 취약점은 결국 코드로 막을 수밖에 없다"고 강조했습니다.
• 심층 방어 전략 구축: 근본적으로는 취약한 라이브러리가 운영 환경에 섞여 들어가는 것 자체를 막아야 합니다. 개발자가 코드를 병합하고 배포하는 CI/CD 파이프라인 초기 단계부터 보안 점검을 자동화하여 선제적으로 차단하는 체계가 필요합니다.

보안 장비나 편리한 프레임워크가 모든 것을 막아줄 것이라는 맹신은 위험합니다. 이제는 개발 생명주기 전반에 걸쳐 "우리 코드는 정말 안전한가?"를 끊임없이 검증해야 하는 시대입니다.

 

지금까지 지오이스트였습니다