페이스북 보안담당자 “이제 어도비 플래시 서비스 종료해야”

보안성 취약해 해커들의 ‘출입구’로 악용돼
‘국정원 해킹업체’ 데이터 유출로 취약점 공개
애플, 보안성 이유로 기기에 서비스 안해

“이제는 어도비 사에서 플래시 서비스를 끝낼 때다.”

최근 플래시의 취약점을 노린 해커들의 공격이 잇따르면서, 페이스북 보안 책임자가 쓴소리를 던졌다.

페이스북 보안책임자(CSO)인 알렉스 스태모스(@alexstamos)는 12일(미 현지시각) 자신의 트위터에 “이제는 어도비 사에서 플래시 서비스를 끝내겠다고 선언하고, 각 브라우저들에는 킬비트 설정을 요청해야 한다”고 주장했다. 킬비트란 사용자의 컴퓨터에 액티브엑스(X)와 같은 외부 코드들이 설치 및 실행되지 않도록 차단해 주는 보안 프로그램을 말한다.

페이스북 보안담당자 트위터 갈무리.

스태모스는 또 “지금부터 일년 반이 걸려도 상관없으니까 일단 목표 날짜부터 정해서 차차 (플래시) 의존도를 낮추면서 동시에 전체 생태계(보안)를 향상시켜야 한다”고 덧붙였다.

어도비사가 제공하는 ‘플래시’는 웹페이지에 특수효과 등을 주기 위한 소프트웨어로, 웹페이지에 간결하고 효과적으로 움직이는 그림 효과와 음향 등을 구현할 수 있어 널리 쓰였다.

하지만 심각한 취약점이 지속적으로 발견되며 보안상으로는 ‘천덕꾸러기’ 신세를 면치 못했다. 조작한 웹페이지 방문을 유도하거나, 메일이나 메신저에서 악성코드를 열도록 유도하는 등 해커들의 ‘출입구’로 자주 악용되고 있다.

지난 2010년 스티브 잡스는 “애플 기기에 플래시 서비스를 지원하지 않겠다”며 그 이유로 취약한 보안성을 꼽은 바 있다. 종종 아이폰 등에서 국내 웹사이트 등이 깨져 보이거나 열리지 않는 이유가 바로 플래시를 지원하지 않기 때문이다.

최근 한국 국정원을 포함한 여러 나라의 정보기관에 스마트 기기 원격감시시스템(RCS)을 판매한 것이 알려져 ‘민간인 불법 사찰’ 논란을 불러일으킨 이탈리아 ‘해킹팀’ 역시 다량의 어도비 플래시 취약점을 악용한 악성코드 등을 제작해 온 것으로 드러났다. 해킹팀의 데이터가 문서째 유출되면서 플래시 취약점이 널리 공개되자 각국의 해커들은 재빨리 이를 응용한 악성코드를 만들어 공격에 나선 상태다.

이에 따라 어도비 사도 취약점을 수정한 플래시 플레이어 새 버전을 제공할 예정이라고 밝혔다. 하지만 취약점 수정 패치만으로는 근본적인 보안 문제를 해결할 수 없다는 지적이 보안업계를 중심으로 널리 퍼져가고 있는 상태다.

이번 사태로 사용자들은 웹사이트를 접속했다가 자신도 모르는 새 악성코드가 자동으로 설치될 수도 있다. 한동안 보안이 갖춰지지 않은 웹사이트 방문은 자제하고, 업데이트 버전이 나올 때까지는 플래시 플레이어를 잠시 꺼두는 것도 방법이다.

정유경 기자 [e-mail]