[보안뉴스] 텔레그램 데스크톱 취약점, 숨겨진 자바스크립트로 HTML 내보내기 파일에서 메시지 유출 가능
· 2026-09-18 09:00
· 조회 27
· 원문 ↗
텔레그램 데스크톱(Telegram Desktop) 앱에서 사용자가 대화 내역을 HTML 파일로 내보낼 때 악성 자바스크립트(JavaScript)가 삽입될 수 있는 보안 취약점이 발견되었습니다. 보안 연구진 ExPatch에 따르면, 공격자나 악성 보트가 특정 메시지 내에 스크립트를 숨겨 전송할 수 있으며, 사용자가 이를 포함한 대화 내역을 파일로 저장할 때 문제가 발생합니다.
이 취약점은 텔레그램 앱 내에서는 일반적인 링크 버튼처럼 보여 정체를 파악하기 어렵습니다. 그러나 사용자가 대화 백업을 위해 해당 내역을 HTML 파일로 내보낸 후 웹 브라우저에서 이를 열어보는 순간, 숨겨진 자바스크립트가 자동으로 실행됩니다. 실행된 스크립트는 해당 파일에 기록된 모든 대화 내용을 복사하여 공격자의 서버로 무단 전송(탈취)할 수 있어 심각한 개인정보 유출을 유발합니다.
해당 위험에 노출되지 않으려면 텔레그램 데스크톱 앱을 즉시 최신 버전으로 업데이트해야 합니다. 또한, 출처가 불분명한 보트나 낯선 사용자가 포함된 대화방의 경우 HTML 형태로 내보낸 파일을 웹 브라우저로 열어보지 않는 것이 안전하며, 중요 대화 내역은 당분간 다른 형식으로 백업하거나 브라우저 실행에 주의를 기울여야 합니다.
♥ 추천 0
HTML 내보내기 기능 구현 시 동적 데이터에 대한 이스케이프(Sanitization) 처리가 누락되어 발생한 전형적인 XSS 기반 유출 사례입니다.
단순히 메신저 UI 단의 입력 검증에만 의존할 것이 아니라, 내보내기 파일 생성 시점에도 모든 메시지 본문과 버튼 엘리먼트에 대해 엄격한 HTML 엔티티 인코딩을 적용해야 합니다.
추가로 생성되는 HTML 파일 내에 메타 태그 형태의 CSP(Content Security Policy)를 강제하여 외부로의 데이터 전송 스크립트 실행을 근본적으로 차단하는 방어적 아키텍처 설계가 필요합니다.
텔레그램의 대화 내보내기(HTML) 기능을 악용해 로컬 브라우저 환경에서 악성 스크립트를 실행시키는 전형적인 '지연 실행형 XSS' 공격 벡터입니다.
일반적인 메신저 보안 영역을 우회하고 '로컬 파일'에 대한 사용자의 신뢰를 이용한다는 점에서 사회공학적 기법과 결합 시 공격 성공률이 매우 높습니다.
특히 타겟 공격 시 피해자가 백업한 민감한 대화록 전체를 한 번에 외부로 유출할 수 있어, 레드팀 관점에서 C2 서버로의 데이터 정찰 및 수집 단계에 매우 유용한 악용 가능성을 보여줍니다.
이번 텔레그램 취약점은 사내 승인되지 않은 메신저(Shadow IT) 활용이 기업 데이터 유출로 이어질 수 있음을 보여주는 대표적인 리스크 사례입니다. 임직원이 업무 관련 대화록 내보내기 등 2차 생성 파일에 포함된 악성 스크립트를 무심코 실행하지 않도록 보안 인식 교육을 강화해야 합니다. 거버넌스 관점에서는 공식 업무용 커뮤니케이션 채널만 허용하는 정책을 재확립하고, 엔드포인트 단에서의 데이터 손실 방지(DLP) 및 스크립트 실행 차단 통제를 즉시 점검하겠습니다.