어나니머스가 사용한 ‘SQL인젝션’ 공격은?… “2차 범죄 악용 우려 커”

국제해커집단 ‘어나니머스’의 주된 공격 방식은 ‘SQL인젝션’이라는 기법이다. 어나니머스가 25일 공개 예정인 북한 미사일 관련 문서도 ‘SQL인젝션’기법을 통해 탈취된 것으로 알려졌다. 지난 4월 북한의 대남선전사이트 ‘우리민족끼리’해킹 당시 사용된 공격도 SQL 인젝션이었다.

SQL 인젝션은 웹 사이트 주소와 텍스트 필드 등 애플리케이션 자체 버그를 이용하는 해킹 기법이다.

해커가 SQL서버에서 실행되는 코드에 악성코드를 추가·삽입하면 권한이 없는 사람도 정보를 획득, 조작할 수 있다.

SQL 인젝션 기법은 웹 브라우저만 있어도 공격이 가능하고 데이터베이스 정보 유출을 포함한 2차 범죄가 발생할 수 있다는 점에서 가장 보편적이면서도 강력한 공격 방식으로 알려져 있다.

지난 4월 어나니머스는 우리민족끼리 공격을 통해 약 1만5000여건의 개인정보를 공개했다. 당시 보안업계 전문가들은 모든 데이터가 아닌 가입자 정보만 꺼내온 점에 주목하며 SQL 인젝션 공격을 유력한 방식으로 손꼽았다. 특히 SQL 인젝션은 해커들의 전통적인 공격방식으로 보안성이 취약한 영세 사이트들은 쉽게 이 공격에 노출될 수 있다. 우리민족끼리의 경우도 보안성이 높지 않아 SQL인젝션 공격에 무방비로 노출됐을 가능성이 높다.

화이트해커 출신 보안업계 관계자는 “흔히 알려진 디도스 공격은 사이트 마비를 야기시킬수는 있지만 개인정보를 유출하는 것은 어렵다”며 “계정 및 개인 정보 유출은 ‘SQL 인젝션’ 등 별도의 공격방식을 통해 이뤄진 것으로 보인다”고 말했다.