Scott Helme, 악성 자바스크립트 감염 사이트 1만5579곳 확인… 운영자 통지는 난항

보안 연구자 Scott Helme는 2026년 11월 6일 개인 블로그에서 Report URI의 위협 인텔리전스 크롤링이 현재 악성 자바스크립트에 감염된 고유 웹사이트 15,579곳을 식별했다고 밝혔습니다. 그는 여러 데이터 출처를 이용해 이 사이트들의 월 방문 횟수를 합산 1억3500만 회 이상으로 보수 추정했습니다.

집계에는 Helme가 감염을 확신하는 사이트 가운데 조사 시점에도 감염이 남아 있는 곳만 포함됩니다. 감염이 해소된 사이트는 목록에서 제외하며, 의심은 있지만 확신에 이르지 못한 사례도 수천 곳 있다고 했습니다. 방문량은 방문자 수가 아니라 월간 방문 횟수입니다. Helme는 프랑스(.fr)·스페인(.es)·독일(.de) 등에서 국내 순위가 높은 지역 사이트들이 합계를 키운다고 설명했습니다. 세계 순위 상위권에 들지 않아도 각국에서 상당한 방문량을 얻는 사이트들이 있기 때문입니다.

악성 자바스크립트가 웹사이트에 들어오는 경로는 여러 가지입니다. 사이트 자체가 침해돼 자바스크립트 파일이 변조될 수 있고, 사이트가 불러오는 제3자 스크립트가 감염될 수도 있습니다. 사이트의 XSS(사이트 간 스크립팅) 취약점을 이용해 코드를 삽입하는 사례도 있습니다. Helme가 ‘DeadTag’라고 이름 붙인 위협 그룹은 만료된 도메인을 사들여 재등록한 뒤, 기존 웹사이트가 계속 불러오는 스크립트 주소에서 악성 코드를 제공합니다. 일부 경로에서는 운영자가 악성 파일을 직접 올리지 않아도 방문자의 브라우저가 코드를 불러옵니다.

악성 코드의 목적은 방문자의 결제 정보 탈취부터 기기에 악성코드를 설치하게 하는 것까지 다양합니다. 카드 스키머는 결제 페이지에서 카드 정보를 공격자에게 보내고, ClickFix는 ‘사람인지 확인’하는 절차처럼 꾸며 사용자가 직접 악성코드를 설치하도록 속입니다. Helme는 특정 iOS 버전을 노려 스파이웨어를 설치하는 공격과 가짜 로그인 페이지·보안 경고로 방문자를 보내는 사례도 들었습니다. 공격자는 목적에 따라 방문자에게 전달하는 코드를 바꿉니다.

Helme가 제기한 문제는 감염을 찾는 속도에 비해 사이트 운영자에게 알리는 일이 더디다는 점입니다. 그는 영향력이 큰 사이트 일부에 직접 연락하지만, 이런 대응은 규모가 작습니다. 보안 연락처와 취약점 신고 절차를 안내하는 security.txt의 이용률이 낮고, 이메일과 메시지 대부분도 답을 받지 못한다고 했습니다. 크롤링으로 발견한 사이트는 Report URI의 고객사가 아니어서 고객 대응 때처럼 운영자 연락처를 갖고 있지 않다고 설명했습니다.

RFC 9116은 security.txt를 조직의 취약점 공개 정책과 연락처를 안내하는 기계 판독형 파일 형식으로 정의합니다. 문서가 주된 용도로 삼는 취약점 제보와 이미 침해된 웹사이트를 알리는 사고 대응은 구별됩니다. 운영자 연락처를 찾는 과정에도 장벽이 있습니다. Helme에 따르면 WHOIS 정보는 비어 있거나 등록기관의 웹 양식, 개인정보 보호를 위한 중계 이메일 주소로 이어지는 경우가 많습니다. 사이트가 CDN이나 프록시 뒤에 있으면 IP 주소만으로 실제 호스팅사를 파악하기도 어렵습니다.

사이트마다 info@나 abuse@ 같은 주소를 추측해 거의 1만6000곳에 일괄 메일을 보내는 방안도 쉽지 않다고 Helme는 설명했습니다. 수신 주소를 고르기 어렵고, 이미 직접 선별해 보낸 이메일의 응답률도 매우 낮아 대량 발송이 도움이 되지 않을 수 있다는 것입니다. 스팸처럼 보이는 메일을 보내면 발신 이메일의 평판이 손상될 가능성도 있다고 했습니다.

Helme는 감염 사이트 목록을 공개하지 않는 이유로 운영자도 공격 피해자라는 점을 들었습니다. 목록이 널리 퍼져 차단 목록에 들어가면 이후 도메인을 목록에서 빼기 어려워 소규모 사업자에게 큰 피해를 줄 수 있고, 이미 취약점이 악용된 사이트 목록이 공격 표적을 제공할 수도 있다고 설명했습니다. 그는 유럽 등 각 지역의 NCSC나 CERT에 해당 지역의 감염 사이트 목록을 제공하겠다고 제안했습니다. 고객 보호를 위해 위협 인텔리전스 피드를 이용하려는 기관에는 상업적 이용 조건을 문의해 달라고 했으며, 더 넓은 통지 방안에 대한 제안도 요청했습니다.