中 1~4월 초·중·고교 웹사이트 보안취약점 175개

‘고위험’ 취약점 139개로 절반 가까워...중위험 29개

취약점 중 47% ‘SQL 주입 취약점’...’명령실행·정보유출’ 뒤이어

[보안뉴스 온기홍=중국 베이징] 중국에서 지난 1월~4월 초·중·고등학교 인터넷 홈페이지에서 발견된 보안 취약점이 175개에 달한 것으로 나타났다. 특히 이 가운데 ‘고위험’급 취약점은 전체의 80%를 차지해 압도적으로 많았다.

중국 초중고등학교 웹사이트에 존재하는 보안취약점 가운데 절반 가까이는 ‘SQL 주입 취약점’인 것으로 밝혀졌다. 명령 실행 취약점과 정보 유출 취약점, 취약한 암호가 뒤를 이었다. 이 같이 중국의 많은 초중고등학교 웹사이트에 각종 보안취약점이 존재하면서 학교 홈페이지들이 공격자의 침입과 변조 공격을 당하는 사례도 계속 발생하고 있는 것으로 밝혀졌다.

中 보안업체 “1~4월 초중고교 웹사이트에서 보안취약점 175개 탐지”

중국 정보보안업체인 치후360은 지난 1월~4월 자국내 ‘화이트해커’들로부터 신고를 받은 전국 초중고등학교 인터넷 홈페이지 내 보안취약점은 175개였다고 밝혔다. 보안취약점을 가진 학교 웹사이트는 166개였다.

▲ 중국 치후360이 지난 1월~4월 ‘화이트 해커’들로부터 신고를 받은 전국 초중고등학교
웹사이트 보안 취약점의 위험 등급별 분포

이 회사의 인터넷보안센터는 자체적으로 확인한 결과, 전체 보안취약점 가운데 ‘고위험’급 취약점이 139개(점유율 79.4%)로 가장 많았다고 밝혔다. 이어 ‘중위험’ 취약점은 29개(16.6%), ‘저위험’ 취약점은 7개(4.0%)였다. 중국 초중고교 홈페이지 보안 취약점 10개 가운데 8개는 고위험급에 속하는 셈이다. 이들 175개 보안 취약점은 지난 6월 중까지도 보수되지 않은 것으로 알려졌다.

이 회사는 “이처럼 고위험 취약점이 다수 존재하는 상황은 초중고교 웹사이트가 해커들에 의해 매우 쉽게 침입·변조되고 있다는 것을 의미한다”고 지적했다. 나아가 이는 교사·교직원, 학생, 학부모의 개인 정보 유출도 초래할 수 있으며, 이런 정보들은 각종 온라인 상 사기와 범죄에 악용될 있다는 지적이 나오고 있다.

▲ 중국 베이징시 동즈먼중고등학교의 공식 웹사이트(dzmzx.com.cn)가
공격자에 의해 변조돼 피싱사이트가 삽입된 화면

中 초중고교 웹사이트 취약점 중 47% ‘SQL 주입 취약점’

중국 초중고교 웹사이트 내 보안취약점의 유형을 살펴 보면, ‘SQL 주입 취약점’이 절반에 가까운 46.9%의 점유율로 가장 많았다. 이어 ‘명령 집행’ 취약점과 ‘정보 유출’ 취약점은 각각 13.1%의 비중을 차지하면서 두 번째로 많았다. 또 ‘취약한 암호’는 9.7%의 점유율로 뒤를 이었다. 이밖에 △파일 업로드(비중 7.4%) △외부 공격자의 침입(4.0%) △백도어 존재 △권한 우회(1.1%) △해킹 공격 받은 것으로 의심됨(1.1%) △XSS(0.6%) △코드 실행(0.6%) △로직 취약점(0.6%) △임의 파일 조작(0.6%) 등의 취약점이 탐지됐다고 치후360은 밝혔다.

▲ 지난 1월~4월 중국 초중고등학교 웹사이트 보안 취약점의 유형 분포 (출처: 중국 치후360)

치후360은 “이 가운데 주목할 점은 취약한 암호”라며 “이는 전문적인 수준이 부족해 초래되는 보안취약점이 아니라, 관리자가 기본적인 보안의식이 부족한데다 너무 간단하면서도 흔히 볼 수 있는 암호를 사용한 때문에 일어난 매우 심각한 보안 폐해”라고 지적했다.

취약한 암호는 가장 낮은 등급의 보안취약점에 속하지만, 전체 웹사이트의 통제권한을 공격자가 손에 넣게 되는 결과를 초래할 수 있다는 지적이다. 더군다나 이번에 보안취약점이 발견된 초중고교 웹사이트의 약 10%에서는 이런 매우 낮은 등급의 보안 문제가 존재하고 있다고 이 회사는 덧붙였다.

이와 함께 많은 교사들이 자기의 사무 계정에 대해 간단한 암호를 쓰고 있는 상황도 문제점으로 지적됐다. 이 회사는 “이는 약간의 해킹 지식이 있는 학생들도 매우 쉽게 교사의 계정에 로그인해 학점 정보와 시험 성적을 수정할 수 있는 위험을 초래할 수 있다”고 지적했다. 이처럼 많은 유형의 보안 취약점들은 다름 아닌 재학 중인 ‘화이트 해커’들이 신고한 것이라고 이 회사는 밝혔다.

[중국 베이징 / 온기홍 특파원(onkihong@yahoo.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)