[해외보안뉴스] 2만 개 이상의 Cloudflare Pages 도메인을 악용한 기술 지원 사기, Help TDS 조직과의 연관성 밝혀져
· 2026-10-15 15:00
· 조회 8
· 원문 ↗
2017년부터 활동해 온 트래픽 분배 시스템(TDS)인 'Help TDS'가 러시아어 기반의 제휴 프로그램인 'Hotejka'와 연관되어 있다는 사실이 밝혀졌습니다. Hotejka는 과거 'ROI777'이라는 이름으로 운영되던 트래픽 수익화 조직의 리브랜딩 버전으로 추정됩니다. Help TDS는 탈취하거나 해킹한 웹사이트에 파트너들이 설치할 수 있는 PHP 코드 템플릿을 제공하고, 이를 통해 무고한 방문자들을 허위 기술 지원 사기(Tech Support Scam) 사이트로 유도하는 방식으로 운영되어 왔습니다.
최근 공격자들은 보안 필터를 회피하고 신뢰도를 높이기 위해 정상적인 클라우드 플랫폼인 Cloudflare Pages를 적극적으로 악용하고 있습니다. 현재 20,000개 이상의 Cloudflare Pages 도메인이 이러한 악성 기술 지원 사기 랜딩 페이지를 호스팅하는 데 사용되고 있는 것으로 확인되었습니다. 공격에 손상된 일반 웹사이트 방문자는 Help TDS의 리디렉션 메커니즘을 거쳐 해당 악성 도메인으로 연결되며, 브라우저가 잠기거나 허위 고객센터 번호로 전화를 걸도록 유도하는 위협에 노출됩니다.
이러한 트래픽 분배 시스템 및 기술 지원 사기 피해를 예방하기 위해 웹사이트 관리자는 웹 서버 내 인가되지 않은 PHP 파일이나 외부 스크립트 삽입 여부를 정기적으로 점검하고, 사용 중인 CMS와 플러그인을 최신 상태로 유지해야 합니다. 또한, 기업 보안 담당자는 Cloudflare Pages와 같은 클라우드 서비스 플랫폼에서 생성되는 악성 도메인을 차단할 수 있도록 트래픽 모니터링 및 URL 평판 필터링을 강화해야 합니다. 일반 사용자는 브라우저에 경고 창이 나타나더라도 표시된 전화번호로 절대 연락하지 말고 브라우저 프로세스를 종료해야 합니다.
레거시 PHP 웹사이트의 파일 업로드 및 인젝션 취약점이 여전히 공격자들의 주요 침투 경로로 악용되고 있음을 보여주는 사례입니다.
개발진은 단순 웹서버 패치에 그치지 않고, 악성 스크립트로 인한 무단 리다이렉션을 차단하기 위해 엄격한 CSP(Content Security Policy)를 아키텍처 수준에서 적용해야 합니다.
특히 정적 플랫폼이나 Edge 서비스가 프록시로 악용되는 흐름에 대응하여 클라이언트 측 자바스크립트 무결성 검증(SRI) 및 트래픽 모니터링 통제를 한층 강화해야 합니다.
Cloudflare Pages와 같은 정상적인 서버리스 인프라를 악용하는 방식은 보안 솔루션의 도메인 평판 필터링을 효과적으로 우회하는 공격자 관점의 매우 매력적인 무력화 전략입니다. 취약한 웹사이트에 식립된 PHP 템플릿 기반의 TDS는 방문자의 환경을 분석해 맞춤형 사기 페이지로 트래픽을 유연하게 라우팅하여 탐지를 회피합니다. 결국 외부 접점 웹 애플리케이션의 코드 삽입 취약점이 이 거대한 트래픽 분산 인프라의 최초 침투 경로가 되므로, 이에 대한 능동적인 모의 침투와 웹셸 점검이 필수적입니다.
정상적인 클라우드 플랫폼마저 스캠 공격의 거점으로 악용되는 상황은 기존의 URL 평판 기반 방어 체계에 큰 허점이 있음을 시사합니다. 조직 관점에서는 신뢰하는 SaaS 및 클라우드 서비스라 할지라도 제로 트러스트 기반의 아웃바운드 트래픽 모니터링과 통제 정책을 즉시 강화해야 합니다. 아울러 자사의 웹 자산이 침해되어 이러한 트래픽 분산 시스템(TDS)의 통로로 악용되지 않도록, 외부 노출 자산에 대한 취약점 점검 및 관리 거버넌스를 철저히 집행하겠습니다.