클라우드플레어(Cloudflare)의 새로운 '월렛(Wallet)' 서비스가 공식 제품임에도 불구하고, 사용자들에게는 정교한 피싱(Phishing) 공격처럼 보였다는 사례가 공유되어 웹 보안의 복잡성과 취약점을 다시 한번 일깨웠습니다. 이는 클라우드플레어가 신규 서비스를 기존 공식 도메인이 아닌 별도의 '.pay' 도메인에 호스팅하고, 권한 요청 방식 또한 최근 유행하는 동의 피싱 공격과 유사했기 때문입니다.
문제의 발단은 사용자가 'cloudflare.pay' 도메인에 접속하여 클라우드플레어 계정으로 로그인하고 신규 기능 승인을 시도하면서 시작되었습니다. 'cloudflare.pay' 도메인은 'cloudflare.com'과 기술적으로 아무런 관계가 없으며, '.pay' 도메인은 '.bank'와 달리 엄격한 검증 없이 누구나 약 20달러에 등록할 수 있습니다. 권한 요청 페이지에는 의심스러운 요청을 신고할 수 있는 링크가 없었고, 심지어 클라우드플레어 대시보드나 문서 검색에서도 '월렛' 서비스를 찾을 수 없었습니다. 더욱이 클라우드플레어의 AI 에이전트조차 이 서비스를 실제 공격으로 오판하는 상황까지 발생하여 사용자들의 혼란을 가중시켰습니다.
이러한 상황은 정상적인 웹 서비스조차 피싱 공격과 구별하기 어렵게 만들 수 있음을 시사합니다. 이는 사용자뿐만 아니라 매주 수백만 개의 신규 사이트를 판별하는 마이크로소프트 스마트스크린(Microsoft SmartScreen)이나 구글 세이프브라우징(Google SafeBrowsing)과 같은 주요 보안 서비스들도 오탐 없이 악성 사이트를 차단하기 어렵게 만듭니다. 웹 개발자는 앱과 콘텐츠를 기존의 신뢰받는 도메인 아래에 호스팅하고, 새로운 도메인이 필요하다면 기존 공식 도메인에서 직접 연결하는 등 명확한 보안 원칙을 준수해야 합니다. 또한, 권한 요청 페이지에서 사기를 즉시 신고할 수 있는 기능을 제공하고, 보안 신고 절차가 실제로 작동하는지 주기적으로 테스트하는 것이 중요합니다. 사용자 역시 클릭 전 신중하게 생각하고, 판단이 어렵다면 기다리는 것이 안전하다는 교훈을 얻을 수 있습니다.