中 지난해 웹사이트 약 11% 변조 피해

지난해 웹사이트 164만개 중 17만7,000개 변조 당해

다수 정부·교육기관 홈페이지, 피싱 웹페이지로 변조 피해

[보안뉴스 온기홍=중국 베이징] 중국에서 지난해 웹사이트 10개 가운데 1개 꼴로 변조 피해를 입었던 것으로 밝혀졌다. 지난해 해커에 의해 변조 공격을 받은 웹사이트의 월별 평균 수량은 전년에 견주어 145% 가량 급증한 것으로 나타났다.

중국 정보보안회사인 치후360는 자사 360인터넷보안센터가 지난해(1월~11월 30일 기준) 자체 ‘360웹사이트보안검측’ 플랫폼을 통해 중국의 각종 웹사이트 164만2,000개를 조사한 결과 이 같이 드러났다고 최근 밝혔다.

▲ 2014년 중국내 조사대상 웹사이트 164만2천개(좌측)/2013년 중국내 조사대상 웹사이트 91만
2천개(우측)(출처:중국 360인터넷보안센터)

360인터넷보안센터(이하 센터)가 지난해 조사대상으로 뽑은 중국내 웹사이트 164만2,000개는 전년의 91만2,000개보다 80.0% 늘어난 규모다. 지난해 조사대상 중국 웹사이트 가운데 변조(백도어 프로그램 삽입 미포함) 피해를 입은 웹사이트는 17만7,000개로 나타났다. 이는 전체의 10.8%에 달하고 전년에 견주어 2.1%p 늘어난 규모다.

360인터넷보안센터는 “해커가 웹사이트에 침입한 뒤 일반적으로 세 가지 전형적인 공격행위를 보였는데, 먼저 웹사이트 내용을 변조해 악성 글과 웹 링크를 넣었다”고 밝혔다. 둘째, 공격행위로는 백도어 프로그램을 투입함으로써, 웹사이트 혹은 웹사이트 서버를 통제하는 목적을 이뤘다. 셋째, 다른 방식을 통해 웹사이트의 관리자 권한을 손에 넣은 뒤 웹사이트를 통제하거나 데이터를 빼냈다.

월별로 보면, 지난해 1~11월 중 변조를 당한 웹사이트는 월 평균 3만2,800개로 나타났다. 전년의 월 평균 1만3,400개에 견주어 무려 144.8% 급증했다. 이 가운데 제3분기에 변조 피해를 입은 웹사이트가 급증했다. 지난해 7월에 검출된 변조 피해 웹사이트 수량은 11만 7,000개로 가장 많았다. 8월은 7만 8,000개, 9월은 4만개로 뒤를 이었다.

▲ 2014년 중국에서 매월 검출된 변조 피해 웹사이트 수량(출처:360인터넷보안센터)

中 다수 정부·교육 기관 웹사이트 변조 피해 입어

지난해 중국내 웹사이트 변조 공격에서 가장 주된 새로운 특징은 다수의 정부와 교육관련 웹사이트에 피싱 웹페이지가 침입한 것이라고 센터는 밝혔다. 이 같은 피싱을 목적으로 하는 변조 공격은 지난해 7~9월 최고조에 달했다.

지난해 중국에서 피싱 웹페이지로 변조된 대표적인 웹사이트를 보면, 정부·기관의 경우 △국무원 산하 주택도시농촌건설부 mohurd.gov.cn △광동성 공상행정관리국 gdgs.gov.cn △광동 해사국 gdmsa.gov.cn △쓰촨성 환경보호청 ‘schj.gov.cn’ △광동성 동관시 정부 dg.gov.cn △쓰촨성 청두시 수무국 cdwater.gov.cn △후베이성 우한시 홍산구 인민정부 hongshan.gov.cn △샨시성 상저우구 기율검사위원회 szjjw.gov.cn △중국공산당 우딩현 위원회 선전부 wuding.gov.cn △저쟝성 원저우시 관광국 ‘원저우 관광망’ wzta.gov.cn 등이 변조 피해를 입었다.

▲ 지난해 피싱 웹페이지로 변조 피해를 입은 중국 주택도시농촌건설부 홈페이지
‘mohurd.gov.cn’ 화면

교육계에서는 베이징대학(pku.edu.cn) 국제협력부 △하얼빈공업대학 ‘hit.edu.cn’ △동난대학 seu.edu.cn △중국석유대학 upc.edu.cn △중국지질대학 cug.edu.cn △중국광업대학 cumt.edu.cn △베이징공업대학 bjut.edu.cn △선전대학 szu.edu.cn △서북대학 nwu.edu.cn △서남교통대학 swjtu.edu.cn 등 여러 대학 홈페이지가 다른 피싱 웹페이지로 변조되는 공격을 당했다.

중국 기업 웹사이트 중에서는 대표적으로 △중톄건설그룹 ztjs.net.cn △셔우치그룹 124.205.127.83 △중국전신(차이나 텔레콤) 가정고객사업부 189.cn △구징그룹 gujing.com △중국사진가협회 cpanet.cn △이인(베이징)과기발전유한공사 show160.com △바이롱톈이 siteserver.cn △난징 산디 한지에설비유한공사 nj3d.cn 등의 홈페이지가 피싱 웹페이지로 변조되는 피해를 입었다.

▲ 지난해 피싱 웹페이지로 변조되는 피해를 입은 중국전신(http://www.189.cn/)
가정고객사업부 홈페이지 화면

360인터넷보안센터는 “웹사이트 변조는 피싱 웹페이지 투입 외에, 악성 글과 링크 삽입, 도메인네임시스템(DNS)와 검색 엔진 변조 등 여러 가지 공격 방식이 있다”며 “지난해 이런 변조 방식의 규모와 특징은 한 해 전과 비교해 변화가 크지는 않았다”고 밝혔다.

[중국 베이징 / 온기홍 특파원(onkihong@yahoo.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)