“이미지 속에 숨은 악성코드, 리포지터리는 모른다”... 클로드 코드 보안의 명확한 한계 노출

핵심 요약

해킹 그룹 메이지카트(Magecart)가 이미지 메타데이터(EXIF)에 악성 스키밍 코드를 은닉하여 웹 브라우저에서 결제 정보를 탈취하는 새로운 수법이 발견되었다. 이 공격은 소스 코드를 직접 변경하지 않고 웹 페이지에 로드되는 이미지 파일의 메타데이터에 악성 스크립트를 숨겨 브라우저 단에서 실행되므로, 기존의 소스코드 무결성 검사로는 탐지하기 어렵다. 이는 웹 공급망 보안의 사각지대를 노린 지능적인 공격으로, 특히 서드파티 스크립트 및 콘텐츠 관리의 중요성을 부각시킨다. IT 감사인은 웹 서비스의 클라이언트 측 보안, 특히 외부 스크립트 및 콘텐츠의 무결성 검증, 그리고 CSP(Content-Security-Policy) 및 SRI(Subresource Integrity)와 같은 방어 메커니즘의 적용 여부를 중점적으로 감사해야 함을 시사한다.

💡 개선 권고안

• ✔기술적 조치웹 서비스에 로드되는 모든 서드파티 스크립트 및 이미지 콘텐츠에 대해 SRI(Subresource Integrity)를 적용하여 무결성을 검증하고, CSP(Content-Security-Policy)를 엄격하게 설정하여 악성 스크립트 실행을 통제할 것을 권고함.
• ✔기술적 조치웹 서버에 업로드되는 이미지 파일의 메타데이터(EXIF 등)를 자동으로 제거하거나, 이미지 파일 내 악성 코드 삽입 여부를 탐지하는 보안 솔루션을 도입하여 정기적으로 검사할 것을 권고함.
• ✔관리적 조치웹 서비스 개발 및 운영 시 서드파티 스크립트 및 콘텐츠 사용에 대한 보안 정책을 수립하고, 공급망 보안 리스크 평가를 정기적으로 수행하여 잠재적 위협을 식별하고 관리할 것을 권고함.
• ✔관리적 조치웹 서비스의 클라이언트 측 보안 취약점 점검을 정기적인 모의 해킹 및 취약점 분석 범위에 포함하고, 관련 보안 사고 발생 시 신속하게 대응할 수 있는 절차를 수립 및 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문