← 메인으로

🌐 전자금융 보안 모의해킹 · 외부사이트에 의한 시스템 운영정보 노출

Target: 인터넷뱅킹 거래내역 페이지
평가기준: 위험도 3 WEB-SER 외부 운영정보 노출(011)
💡 쉽게 말하면
내부 주소가 적힌 종이를 든 채 바깥 가게에 들어가면 그 가게 장부에 내 주소가 적힙니다. 주소를 가리고(Referrer-Policy) 비밀 번호표는 주소에 적지 말아야 합니다.
🔓 공격 시뮬레이션 (Red Team)
🛡️ 대응 방안 (Blue Team)
외부 리소스 요청🔒 Secured Channel
민감정보를 URL에 담은 페이지에서 외부 리소스를 로딩하면, 브라우저가 Referer 헤더에 내부 URL과 토큰을 실어 외부 사이트 로그로 유출합니다.
⚡ Referer 헤더 유출
외부 추적 스크립트가 Referer 로 내부 URL 수집
OFF
🖥️ 금융 시스템 처리 로그
[SYSTEM] Core Banking Channel ready.
[INFO] 거래 요청 대기 중...
⚖️ 컴플라이언스 위반 분석
공격 실행 후 분석 결과가 표시됩니다.
[심각] 전자금융 보안 기준 위반 감지
  • 금융보안원 평가기준 WEB-SER 외부 운영정보 노출(011) (위험도 3)
  • 시스템 운영정보 외부 노출 방지 위반
  • 전자금융감독규정 제15조(정보보호대책) 미흡
🛡️ 대응 코드/설정 실습

Referrer-Policy로 외부 전송을 차단하고, URL에 민감정보를 담지 않으며 외부로 토큰을 넘기지 말아야 합니다. 아래 코드를 보완하세요.

📚 금융보안원 평가기준 / 조치 가이드

1. 점검 항목

정보 노출 > 외부사이트에 의한 시스템 운영정보 노출

2. 위험 분석

  • Referer 헤더·외부 리소스로 내부 URL·토큰·운영정보가 외부 로그로 유출

3. 조치 방법

  • Referrer-Policy 설정
  • 외부로 토큰 전달 금지, URL 에 민감정보 배제
🏗️ 현대 금융 IT 환경에서의 변형
서드파티 태그CSPReferrer-Policy

어디가 달라졌나

이 항목이 가장 크게 확장된 영역입니다. 현대 금융 웹페이지에는 분석·광고·채팅·A/B 테스트 등 서드파티 스크립트가 수십 개 실립니다. 각각이 DOM 전체를 읽을 수 있으므로, 거래내역 화면에 붙은 분석 태그 하나가 계좌정보 유출 경로가 됩니다.

현대 스택에서의 조치

  • 거래·계좌 화면에는 서드파티 태그를 싣지 않습니다. 마케팅 요구가 있어도 이 원칙이 우선입니다.
  • CSP 로 외부 전송을 통제합니다 — connect-src·img-src 를 좁히면 데이터 반출 경로가 막힙니다.
  • Referrer-Policy: no-referrer 로 URL 에 담긴 식별자가 외부로 가지 않게 합니다.
  • 태그 매니저는 변경 승인 절차를 둡니다 — 코드 배포 없이 스크립트가 추가되는 경로입니다.
Content-Security-Policy:
  default-src 'self';
  connect-src 'self' https://api.bank.example;   # 외부 전송 차단
  script-src 'self';                              # 서드파티 스크립트 금지
Referrer-Policy: no-referrer
놓치기 쉬운 곳 — 태그 매니저는 코드 배포를 우회합니다. 보안 검토를 거친 코드만 올라간다고 믿지만, 마케팅 담당자가 콘솔에서 스크립트를 추가할 수 있습니다. 실제 금융·의료 분야에서 이 경로로 개인정보가 광고 플랫폼에 전송된 사례가 다수 적발됐습니다.