고객 DB 몇 분새 다 터 는 ' 셸 쇼크 ' 는 진짜 쇼크 였 다 - 아시아 경제 
 고객 DB 몇 분새 다 터 는 ' 셸 쇼크 ' 는 진짜 쇼크 였 다 
 최종 수정 2014 . 11 . 19 10 : 49 	 기사 입력 2014 . 11 . 19 10 : 49 
 금융 사 신종 해킹 기법 시연 현장 
 #. 금융 사 홈페이지 관리자 인 A 씨 는 최근 회원 정보 가 외부 로 유출 돼 불법 으로 유통 되 고 있 는 것 을 발견 했 다 . 놀란 마음 에 급히 데이터 가 보관 된 서버 를 점검 했 지만 해커 가 공격 한 흔적 은 전혀 찾아낼 수 없 었 다 . 오히려 홈페이지 에 접속 한 회원 들 의 PC 가 악의 적 인 분산 서비스 거부 ( 디 도스 ) 공격 에 동원 됐 다는 것 을 뒤늦 게 발견 했 다 . 회원 정보 를 지키 지 못한 것 은 물론 회원 들 의 접속 이 해킹 에 악용 됐 는데 도 속수무책 으로 당한 것 이 다 . A 씨 는 고민 에 빠졌 다 . 어떻게 이런 일 이 일어났으며 재발 을 막 기 위해서 는 어떻게 해야 할까 . 
 서울 명동 은행 회관 국제 회의실 에서 지난 14 일 열린 ' 제 5 회 금융 IT 포럼 ' 에서 는 이 같 은 피해 를 가져올 수 있 는 최신 해킹 기법 인 ' 셸 쇼크 ( Shellshock ) ' 에 대한 시연 이 진행 됐 다 . 시연 은 순 천향 대학교 정보 보호 학과 동아리 ' 시큐리티 퍼스트 ' 의 이 세 빈 , 유동현 씨 가 맡 았 다 . 
 고객 의 자산 을 관리 하 는 금융 사 에서 는 심각 한 금전 적 피해 로 이어질 수 있 는 신종 해킹 기법 이 지만 방법 은 의외 로 간단 했 다 . 해커 역할 을 맡 은 시연 자 들 은 사용 자 들 의 데이터 를 대량 으로 보유 하 고 있 는 가상 의 도서관 을 대상 으로 해킹 을 시도 했 다 . 시연 을 위한 해킹 대상 을 도서관 으로 가정 했 지만 금융 사 의 서버 도 유사 한 방법 으로 침투 할 수 있 다는 것 이 시연 자 들 의 설명 이 다 . 
 시연 을 맡 은 유동현 씨 는 우선 이 도서관 의 홈페이지 에 접속 해 회원 으로 가입 을 한 뒤 정상 적 으로 로그인 을 했 다 . 로그인 을 한 상태 에서 데이터 를 보관 하 고 있 는 서버 를 공격 하 기 위한 용도 로 별도 의 서버 를 마련 했 다 . 금융 사 의 서버 에 침투 하 기 위한 준비 를 마친 것 이 다 . 
 해커 가 다음 에 한 일 은 ' 셸 쇼크 ' 를 이용 해 공격 대상 에 접속 하 는 것 이 었 다 . 별도 의 해킹 프로그램 없이 브라우저 에서 명령어 를 입력 하 는 것 만 으로 도 해킹 이 가능 했 다 . 여기 서 ' 셸 쇼크 ' 란 센트 OS , 데비안 , 레드햇 , 우분투 등 리눅스 계열 운영 체제 에서 주로 사용 되 는 ' GNU Bash ' 라는 프로그램 에서 발견 된 취약점 을 공격 하 는 것 을 말 한다 . 특히 이 취약점 을 이용 하 면 공격자 가 원격 에서 시스템 을 파괴 하 고 정보 를 유출 하 는 등 악의 적 으로 시스템 명령 을 실행 할 수 있 어 최근 가장 강력 한 해킹 수단 으로 꼽히 고 있 다 . 
 셸 쇼크 를 이용 해 공격 대상 의 서버 에 손쉽 게 들어간 해커 는 고객 정보 를 고스란히 담 고 있 는 데이터베이스 를 찾 았 다 . 그리고 데이터베이스 에 접속 해 자료 를 백업 하 는 작업 을 진행 했 다 . 백업 한 파일 을 다운 받 아 사전 에 마련 한 해커 의 서버 로 옮기 는 데 는 긴 시간 이 걸리 지 않 았 다 . 불과 몇 분 만 에 침투 한 서버 의 데이터베이스 에 보관 중 인 고객 정보 를 통째 로 빼돌린 것 이 다 . 해커 는 마지막 으로 서버 관리자 가 공격 당한 사실 을 파악 할 수 없 도록 백업 한 데이터베이스 파일 을 삭제 하 는 것 도 잊 지 않 았 다 . 
 해커 가 셸 쇼크 공격 으로 피해 를 입힐 수 있 는 것 은 데이터 를 빼돌리 는 것 에 그치 지 않 았 다 . 자유자재 로 홈페이지 를 변조 해 대 규모 디 도스 공격 까지 감행 할 수 있 었 다 . 사용자 입장 에서 는 정상 적 인 홈페이지 에 한 번 접속 했 을 뿐 인데 애먼 사이트 를 다운 시키 는 데 이용 당한 꼴 이 다 . 
 이 같 은 해킹 을 보여 주 는 시연 자 들 은 우선 셸 쇼크 를 이용 해 웹 페이지 에 악성 스크립트 를 삽입 했 다 . 이렇게 할 경우 고객 들 이 홈페이지 에 들어오 면 지속 적 으로 다른 사이트 로 접속 하 게 할 수 있 었 다 . 해당 사이트 로 한 번 의 접속 이 타깃 이 된 다른 특정 사이트 로 의 수차례 접속 으로 연결 되 는 것 이 다 . 이런 공격 이 계속 이어지 면 공격 대상 은 갑자기 폭주 하 는 접속 량 을 견디 지 못하 고 서버 가 주저앉 게 된다 . 해커 는 힘 들 이 지 않 고 셸 쇼크 로 웹 페이지 를 변조 해 디 도스 공격 을 유도 한 것 이 다 . 
 문제 는 지난 9 월 말 셸 쇼크 가 발견 된 이후 지속 적 으로 해커 들 이 이 를 악용 하 기 위한 방법 을 고안 하 고 있 다는 점 이 다 . 이 때문 에 다양 한 취약점 이 추가 로 발견 되 고 있 고 해커 들 에 의해 수많 은 변종 해킹 기법 이 속속 등장 하 고 있 는 실정 이 다 . 금융 사 를 비롯 한 기업 들 이 방어 에 나서 는 것 보다 빠른 속도 로 해커 들 의 공격 이 변화 하 고 있 다는 얘기 다 . 전문가 들 은 셸 쇼크 를 막 기 위해서 는 위험 성 을 제대로 인식 하 고 경각심 을 가질 필요 가 있 다고 강조 한다 . 금융 보안 업계 관계자 는 " 셸 쇼크 는 최근 심각 한 피해 를 발생 시키 는 해킹 수법 으로 주목 을 받 고 있 다 " 며 " 이 를 방어 하 기 위해서 는 최신 업데이트 를 통해 취약점 을 차단 하 는 등 고도 의 보안 의식 이 요구 된다 " 고 말 했 다 .