"MS 서브도메인 취약"…도박 광고로 연결되기도

프랑스 개발자 "MS, 주요 도메인 외엔 그냥 방치" 지적

마이크로소프트 관련 서브도메인 수천개가 스팸 콘텐츠 유포 등에 악용될 수 있다는 주장이 제기됐다.

18일(현지시간) 미국 IT 매체 지디넷에 따르면 프랑스 보안 전문가 미첼 가스쳇 씨는 "지난 3년 동안 마이크로소프트의 DNS(도메인 네임 시스템)와 서브도메인들이 잘못 설정된 현상이 있었고 이를 경고해왔다"며 "마이크로소프트 측은 이런 사실을 부인하면서도 슬며시 몇몇 서브도메인을 보호 조치했다"고 주장했다. 가스쳇 씨는 IP, 도메인 이름 등을 제공하는 인터넷정보센터 개발자로 일한다.

일례로 인터넷 주소 도메인에 마이크로소프트 관련 단어가 들어가 있으나, 실제로 이 링크를 클릭하면 인도네시아 도박 사이트 광고가 표출됐다. 해당 광고 페이지로 통하는 마이크로소프트 관련 서브도메인은 최소 4개로 알려졌다.

주소창에 마이크로소프트가 포함된 한 인터넷 주소를 입력하면 인도네시아 도박 광고 페이지로 연결된다.

서브 도메인이란 어떤 사이트로 연결되는 여러 도메인 중 주요 도메인 이외의 것들을 말한다. 가령 마이크로소프트 홈페이지에 접속하기 위해 주 도메인인 'microsoft.com'을 입력할 수도 있으나, 철자를 잘못 입력한 경우를 대비해 'mircosoft.com'를 서브도메인으로 둘 수 있다.

가스쳇 씨는 수 천 개에 이르는 마이크로소프트의 서브도메인 중 상당 수가 탈취 가능성이 있다고 주장했다. 특히 이 서브도메인들이 악용될 경우 일반 이용자나 회사 직원들이 피해를 볼 수 있다고 경고했다. 스팸성 콘텐츠를 유포하는데 남용될 수도 있다.

서브도메인 탈취로 인한 극단적인 문제 상황을 가정하면, 공격자들이 취약한 서브도메인 중 하나를 탈취해 피싱 페이지를 만들어 운영할 수 있다. 이 페이지에 마이크로소프트 직원이나 고객사 직원, 일반 이용자들이 로그인 할 경우 관련 정보를 수집할 가능성도 있다.

그는 마이크로소프트의 인터넷 포널인 'msn.com'의 서브도메인 중 21개에서 탈취에 취약점을 보였다고 2017년 한 차례 경고했으며, 지난해에도 'microsoft.com' 서브도메인 142개도 문제가 발견된 점을 알렸다고 밝혔다.

문제점을 내포한 또 다른 microsoft.com 서브도메인 117개도 마이크로소프트에 보고했으나, 사측이 해명을 내놓은 것은 일부에 그쳤다고 지적했다.

마이크로소프트는 'cloud.microsoft.com'이나 'account.dpedge.microsoft.com'과 같은 주요한 서브도메인의 경우 문제점을 수정했다. 그러나 조치를 취하지 않은 서브도메인들은 탈취 및 남용의 위험이 있다.

취약점이 드러난 부분은 전체 소유 서브도메인의 10% 이하일 것이라는 게 가스쳇 씨의 설명이다.

가스쳇 씨는 "마이크로소프트가 이 문제를 해결하지 않는 이유는 서브도메인 관리를 버그 포상금 프로그램의 일부로 취급하지 않기 때문인 것으로 추측된다"며 "즉 서브도메인 관련 이슈가 보고되더라도 회사는 따로 포상하지 않는다"고 지적했다.