[해외보안뉴스] 1,700개 이상 저장소에서 참조된 예시용 도메인 'third-party.com', 악성코드 유포에 악용
· 2026-09-24 17:00
· 조회 23
· 원문 ↗
소프트웨어 개발 및 문서 작성 시 임시 예시 도메인(Placeholder)으로 흔히 쓰이던 'third-party[.]com' 도메인이 악성 콘텐츠를 유포하는 데 악용되고 있는 정황이 포착되었습니다. 보안 기업 Manifold Security에 따르면, 해당 도메인은 윈도우(Windows) 브라우저 사용자에게는 'ClickFix' 기법을 활용한 악성 유인 페이지를 노출하고, 그 외의 사용자에게는 무해한 디코이(Decoy) 페이지를 보여주는 타깃형 공격을 수행하고 있습니다.
'third-party[.]com'은 IETF가 규정한 'example.com'처럼 수년 동안 기술 문서나 코드 템플릿에서 관습적으로 사용되어 왔습니다. 조사 결과 현재 1,700개 이상의 오픈소스 코드 저장소 및 문서에서 해당 도메인을 여전히 참조하고 있는 것으로 밝혀졌습니다. 과거에는 안전한 예시용 URL로 여겨졌으나, 공격자가 해당 도메인을 제어하게 되면서 기존 소스 코드를 매개로 한 광범위한 위협 요소가 되었습니다.
개발자와 보안 담당자는 소스 코드, 내부 문서, SDK 템플릿 등에 'third-party[.]com'이 포함되어 있는지 즉시 전수 점검을 실시해야 합니다. 소스 코드 내 예시 도메인은 RFC 2606으로 지정된 공식 예약 도메인인 'example.com', 'example.org' 또는 예시용 TLD(.invalid, .test 등)로 교체하고, 기존 코드에 포함된 'third-party[.]com' 링크를 즉시 제거해야 합니다.
♥ 추천 0
문서나 샘플 코드 작성 시
example.com처럼 RFC 2606으로 정식 예약된 도메인이 아닌 임의의 도메인을 플레이스홀더로 사용하는 것은 매우 위험합니다. 당장 레포지토리 전체를 전수 조사하여 실존하거나 소유권이 불분명한 외부 도메인 참조를 정식 예약 도메인으로 교체해야 합니다. 나아가 재발 방지를 위해 CI/CD 파이프라인 및 Linter 규칙에 검증되지 않은 외부 도메인 커밋을 사전에 차단하는 정적 분석 방어선을 구축하는 것이 좋습니다.개발자들의 무심한 복사·붙여넣기 습관과 문서 내 방치된 예시 도메인을 악용한 매우 효과적인 공급망 침투 벡터입니다. 1,700개 이상의 레포지토리에 노출된 링크에 타깃별 클로킹과 ClickFix 사회공학적 기법을 결합하여 보안 장비의 탐지를 유연하게 회피하고 있습니다. 공격자 입장에서는 고도의 Zero-day 취약점 없이도 대규모 조직으로의 초기 침투(Initial Access)를 손쉽게 성공시킬 수 있는 가성비 높은 공격 전략입니다.
개발 환경에서 관행적으로 사용되던 예시 도메인이 악성코드 유포지로 변질된 전형적인 공급망 및 개발 보안 리스크입니다. 당사는 RFC 규격을 준수하는 안전한 테스트용 도메인만 사용하도록 보안 개발 가이드라인을 즉시 개정하고 사내 코드 저장소를 전수 조사하겠습니다. 또한 소스코드 정적 분석(SAST) 통제를 강화하여 무분별한 외부 URL 참조를 사전 차단하는 거버넌스를 정립하겠습니다.