전송 보안만으로는 부족하다
인터넷뱅킹의 보안 체계는 오랫동안 SSL/TLS 암호화, 접근통제, 이상거래탐지(FDS) 중심으로 설계돼 왔습니다. 하지만 최근 사이버공격의 초점은 전혀 다른 영역으로 이동하고 있습니다. 이제 공격자는 서버가 아닌 사용자 브라우저 내부의 메모리(DOM)를 노립니다.
이 메모리 영역은 사용자가 웹페이지를 열 때, 계좌번호·인증토큰·거래내역 등 핵심 데이터가 일시적으로 존재하는 공간입니다. 문제는 이 데이터가 화면에 표시되기 위해서는 암호가 해제된 평문 형태로 메모리에 상주해야 한다는 점입니다. 이 구조적 특성 때문에 공격자는 개발자도구(F12), 악성 스크립트, 확장프로그램을 통해 브라우저 메모리에 접근하여 민감 정보를 손쉽게 복제하거나 전송할 수 있습니다.
브라우저 메모리 보안이 어려운 이유
브라우저 메모리 보안은 단순한 암호화 기술로 해결되지 않습니다. 브라우저는 본질적으로 개방성과 호환성을 전제로 설계된 표준 프레임워크이기 때문에 다음과 같은 점에서 메모리 보안을 하기 어려운 측면이 있습니다.
1.
브라우저 메모리 영역인 DOM 구조의 특성: HTML과 자바스크립트가 렌더링 과정에서 모두 평문으로 노출되며, 화면에 표시되는 모든 데이터가 메모리 상에서 접근 가능한 상태로 남습니다.
2.
확장 기능의 개방성: 크롬과 엣지 등은 개발자도구 및 확장프로그램 API를 통해 웹페이지의 텍스트·이미지·네트워크 요청에 접근할 수 있도록 허용합니다.
3.
표준 제한의 부재: 브라우저 메모리 보호를 위한 국제 표준 규격은 아직 없으며, 개발자도구 차단이나 난독화 수준의 방어는 쉽게 우회됩니다.
결국 브라우저는 ‘보여줘야 하기 때문에 평문을 유지할 수밖에 없는 구조’를 가지고 있으며, 이 때문에 서버 단의 암호화만으로는 데이터 유출을 근본적으로 막을 수 없습니다.
확장프로그램을 통한 공격, 현실이 되다
최근에는 이런 구조적 한계를 악용한 확장프로그램 기반 공격이 현실화되고 있습니다. IBM Security Lab은 라틴아메리카 주요 은행을 겨냥한 ‘BlackStink’ 캠페인을 공개하며, 악성 크롬 확장프로그램이 로그인 쿠키와 세션 토큰을 탈취해 외부 서버로 전송했다고 밝혔습니다.
국내에서도 유사한 위협이 확인되고 있습니다. 보안뉴스(2025.4)는 광고 차단·검색 보조 기능을 표방한 확장프로그램 57종이 사용자 브라우징 데이터를 무단 수집하고, 일부는 원격 명령을 통해 코드 실행이 가능했다고 보도했습니다.
Web-X DRM, 평문 데이터 자체를 제거하는 기술
국내 보안기술기업 디알엠인사이드가 개발한 Web-X DRM은 이런 구조적 취약점을 정면으로 해결하기 위한 비설치형(Zero Installation) 웹 보안 솔루션입니다. 서버에서 전송되는 데이터는 난독화 및 암호화되어 브라우저의 메모리에 저장되지만 브라우저에 표시될 때는 정상적으로 보여지는 기술로, 메모리 상에서 평문이 남지 않도록 설계되었습니다. 사용자는 콘텐츠를 브라우저에서 정상적으로 볼 수 있지만, 개발자도구·확장프로그램·크롤러 등 그 어떤 도구로도 데이터를 추출할 수 없습니다.
디알엠인사이드가 메모리 보안을 위해 개발된 Web-X DRM 기술의 주요 기능은 다음과 같습니다.
접근은 허용하되, 유출은 차단한다 - 금융보안 패러다임의 변화
기존의 금융보안은 ‘접근 자체를 막는 방식’이었지만, Web-X DRM은 ‘접근은 허용하되, 유출은 차단한다’는 새로운 패러다임을 구현합니다. 이 방식은 사용자 경험(UX)을 해치지 않으면서도 보안성을 극대화할 수 있습니다.
브라우저 메모리 보안, 왜 지금 필요한가?
국내 금융권은 이미 FDS, 생체인증, OTP 등 다양한 보안 체계를 도입했지만, 브라우저 메모리 영역의 평문 데이터 보호는 여전히 사각지대에 남아 있습니다. Web-X DRM은 이 공백을 메우며 금융보안 인프라의 마지막 방어선을 완성합니다.
데이터 보호의 패러다임은 ‘전송의 안전’에서 ‘표시의 안전’으로 옮겨가고 있습니다. 브라우저 메모리를 보호하지 못하면, 아무리 정교한 암호화 체계도 결국 화면 앞에서 무력화될 수 있다는 것을 잊지 말아야 합니다.