“2016년 가장 흔한 웹 공격은 SQL인젝션”

펜타시큐리티, 2016 웹 공격 동향 분석 보고서 발표

가 +
가 -

펜타시큐리티시스템이 2016년 웹 애플리케이션에 대한 공격 패턴 중 가장 잦은 유형이 ‘SQL인젝션’ 공격이었다는 내용의 보고서를 5월20일 발표했다.

보고서에 따르면 지난해 탐지된 웹 애플리케이션 공격 시도의 45%는 SQL인젝션 공격이었다. CSS(Cross Site Scripting) 공격은 34%로 SQL인젝션 공격 다음으로 빈도가 높았다.

| SQL 인젝션은 사용자 입력값에 필터링이 제대로 적용되지 않을 때 발생한다.

SQL인젝션은 웹 애플리케이션 사용자의 입력값에 필터링이 제대로 적용돼 있지 않을 때 발생한다. 공격자는 사용자의 입력값을 조작해 개발자가 의도치 않은 SQL문을 실행하게 만들어 데이터베이서(DB)를 공격할 수 있다.

지난 3월 숙박 O2O 서비스 ‘여기어때’ 고객 91만명의 정보를 유출시킨 공격 유형이다. 2015년 온라인 커뮤니티 ‘뽐뿌’ 회원 195만명의 개인정보가 유출된 것 역시 SQL인젝션 공격을 통해서였다.

사례가 보여주듯 SQL인젝션 공격은 대량의 정보유출이 발생할 수 있는 심각한 공격이다. 펜타시큐리티는 SQL인젝션이 단순히 정보를 탈취하는 것뿐 아니라, 탈취한 정보를 악용해 2차 범죄 행위로 이어질 수 있어 매우 위험하다고 설명했다.

월별 분석 결과에서도 대부분 월에서 SQL인젝션 공격이 가장 많이 탐지됐다. 그다음으로 많이 탐지된 공격 유형은 전체 분석 결과에서와 마찬가지로 CSS 공격이었다. 3월의 경우에는 CSS 공격이 가장 많이 탐지되기도 했다.

해당 보고서는 펜타시큐리티의 웹방화벽 제품 와플(WAPPLES)을 대상으로 지난 한 해 동안 탐지된 로그 분석 결과를 바탕으로 작성됐다.

화이트해커가 되기 위한 8가지 웹 해킹 기술

블로터 독자를 위한 특별 할인쿠폰이 발행되었습니다.

네티즌의견(총 1개)