악성 자바스크립트에 감염된 웹사이트 1만5,579곳, 월 1억3,500만 방문인데 통지할 방법이 없다

내 사이트는 자바스크립트가 아예 없어서 이런 공격 벡터랑 무관함. 광고랑 페이월로 사람 괴롭히는 놈들 다 망했으면 좋겠는데, 그거랑 남의 사이트가 감염되는 건 별개 문제긴 하지.

15579infected.com 같은 사이트 만들어서 감염된 도메인 전부 공개해버려. 주인들이 소문 듣고 들어와서 뭐가 문제인지 물어보면 알려주고 돈 받으면 됨.

이름 걸고 공개하는 건 좀 아닌 것 같은데. 그냥 조용히 알려주는 게 낫지 않나.

이름 걸고 공개가 아니라 haveibeenpwned 같은 데이터베이스라고 봐야지. 사이트 주인이 자기 도메인 검색해보고 알 수 있으면 그걸로 충분함.

취약점 상세를 돈 받고 알려주면 잘 모르는 사이트 주인 입장에선 협박처럼 보임. 경찰에 신고할 수도 있는데, 그냥 정보만 줘.

브라우저 벤더랑 검색엔진에 신고하는 게 답임. 사용자한테 빨간 경고 페이지가 뜨면 주인도 트래픽 떨어지는 걸 보고 알게 됨. 우선 의무는 사용자한테 있음.

근데 서드파티 스크립트 문제라 블랙리스트가 위험함. 분석 스크립트 하나만 넣어도 XSS 이슈 있는 벤더 스크립트가 줄줄이 딸려 오는데, 그렇게 차단하면 우리가 매일 쓰는 사이트 대부분이 날아감.

파일 업로드 사이트를 운영하는데 남이 올린 악성 파일 때문에 우리 도메인이 블록리스트 열 군데에 올라가면 그거 하나하나 풀어야 함. 깃허브에 악성코드 있다고 github.com 차단하자는 소리는 아무도 안 하잖아. WHOIS abuse 연락처로 보내는 게 스케일 면에서 맞음.

예전엔 WHOIS 보고 관리자한테 메일 보냈는데 GDPR 이후로 연락할 방법이 없어짐.

GDPR 탓이라기보다 스팸 때문에 공개 연락처가 망가진 거임. 지금도 abuse@로 보내면 제공자가 전달해주거나 사이트를 막아주긴 함.

영국이면 사이트 주인한테 메일 보내고 응답 없으면 NCSC에 신고하는 순서인데, 1만5천 건이면 사람이 못 함. 연락처를 긁어서 자동으로 보내는 시스템이 필요함.

최근에 한 사업자 사이트가 완전히 털린 걸 보여줬더니 '원래 사이트는 다 이렇지 않냐'는 답이 돌아옴. 평범한 사람이 구분을 못 하니까 이제 답이 없어 보임.

결국 구글 세이프 브라우징에 올려야 함. 트래픽이 0에 가까워지면 주인이 고치든지 사용자가 안 오든지 둘 중 하나임.