웹 보안 전문가인 에릭 로(Eric Law)가 자신이 즐겨 사용하는 서비스인 클라우드플레어(Cloudflare)의 새로운 기능 페이지를 피싱(phishing) 공격으로 착각하는 해프닝이 벌어졌습니다. 그는 클라우드플레어의 신규 서비스 '월렛(Wallet)'을 접하고 계정 연동을 시도했으나, 비정상적인 도메인(.pay)과 의심스러운 사용자 인터페이스(UI) 때문에 이를 정교한 피싱 공격으로 판단했습니다. 심지어 클라우드플레어의 AI 챗봇조차 초기에는 이를 공격으로 분류하며 혼란을 가중시켰습니다.
에릭 로는 클라우드플레어의 신규 서비스 페이지가 여러 보안 모범 사례를 따르지 않았다고 지적했습니다. 예를 들어, 클라우드플레어의 공식 도메인(cloudflare.com)이 아닌 cloudflare.pay라는 별도 도메인을 사용한 점, 권한 요청 페이지에 의심스러운 녹색 체크 표시가 있었던 점, 그리고 피싱 의심 사례를 신고할 수 있는 기능이 부재했던 점 등이 문제였습니다. 특히 .pay 도메인은 .bank와 달리 누구나 쉽게 등록할 수 있어 공격자들이 악용하기 쉽다는 점이 우려를 샀습니다. 결국 이는 실제 클라우드플레어의 합법적인 서비스였지만, 전문가조차 속을 만큼 교묘한 형태였습니다.
이 사례는 웹 개발자들이 보안 모범 사례를 철저히 지키는 것이 얼마나 중요한지 보여줍니다. 신뢰할 수 있는 도메인 내에서 앱과 콘텐츠를 호스팅하고, 보안 관련 정보를 명확하고 신뢰할 수 있는 위치에 표시하며, 의심스러운 활동을 쉽게 신고할 수 있는 기능을 제공해야 합니다. 또한, 사용자들은 항상 클릭하기 전에 한 번 더 생각하고, 의심스러운 부분이 있다면 잠시 기다려보는 신중함이 필요합니다. 궁극적으로 웹 보안은 개발자와 사용자 모두의 노력이 필요한 복잡한 과제이며, 이러한 혼란을 줄이기 위한 업계 전반의 개선이 시급합니다.