새로운 CSS 공격으로 웹메일 방어를 뚫고 비밀번호 및 토큰 탈취 가능

핵심 요약

새로운 연구에 따르면 웹메일 서비스의 CSS 취약점을 악용하여 비밀번호 및 토큰을 탈취하고 사용자 인터페이스를 조작하는 공격이 가능하다는 사실이 밝혀졌습니다. 이 공격은 이메일 콘텐츠 내 CSS를 조작하여 메시지 경계를 벗어나 웹메일 인터페이스를 방해하는 방식으로, 아웃룩, 지메일, 패스트메일 등 널리 사용되는 웹메일 서비스에 영향을 미칠 수 있습니다. 이는 웹 애플리케이션의 클라이언트 측 보안 통제 미흡과 콘텐츠 렌더링 과정에서의 취약점을 악용한 것입니다. IT 감사인은 조직이 사용하는 웹메일 서비스의 보안 설정 및 웹 애플리케이션 보안 취약점 점검 현황을 확인하고, 사용자 교육을 통한 사회공학적 공격 방어 역량 강화에 대한 시사점을 도출해야 합니다.

💡 개선 권고안

• ✔기술적 조치조직에서 사용하는 웹메일 서비스 제공자와 협력하여 웹메일 인터페이스의 CSS 렌더링 및 콘텐츠 보안 정책(CSP)을 강화하고, 클라이언트 측 스크립트 및 스타일시트 인젝션 방어 메커니즘을 적용해야 함을 권고함.
• ✔기술적 조치웹메일 시스템에 대한 정기적인 웹 취약점 점검(모의 해킹 포함)을 수행하고, OWASP Top 10 등 주요 웹 취약점 기준에 따라 발견된 취약점을 신속하게 패치 및 보완해야 함을 권고함.
• ✔관리적 조치웹메일 사용자를 대상으로 CSS 인젝션 등 새로운 공격 기법을 포함한 사회공학적 공격 유형에 대한 최신 보안 교육을 주기적으로 실시하고, 의심스러운 이메일 및 웹사이트에 대한 경각심을 고취해야 함을 권고함.
• ✔관리적 조치웹메일 서비스의 보안 설정 및 정책을 주기적으로 검토하고, 비밀번호 복잡성 강화, 다단계 인증(MFA) 적용 확대 등 계정 보안 강화를 위한 관리적 통제를 수립 및 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문