<a href="https://www.yklaw.kr/" target="_blank" rel="noopener" title="의료소송전문변호사" class="seo-link good-link">의료소송전문변호사</a> 국내 금융·공공기관에서 사용 중인 주요 설치 의무화 보안 프로그램(KSA 프로그램) 7종에서 △키보드 입력 탈취 △중간자 공격(MITM) △공인인증서 유출 △원격 코드 실행(RCE) △사용자 식별 및 추적 등 보안 취약점 총 19건을 발견했다. 일부는 연구진 제보로 패치됐는데, 근본 취약점은 해결되지 않았다.

<a href="https://www.yklaw.kr/" target="_blank" rel="noopener" title="의료전문변호사" class="seo-link good-link">의료전문변호사</a> 브라우저는 원칙적으로 외부 웹사이트의 민감 정보 접근을 막는데, KSA는 '보안 3종 세트(키보드 보안, 방화벽, 인증서 저장)'를 유지하고자 루프백 통신, 외부 프로그램 호출, 비표준 API 활용 등 외부 채널로 이를 우회한다. 이런 구조는 오래 전 지원 중단된 보안 플러그 '엑티브X'로 이뤄졌는데, 이후에도 실행파일(.exe)을 활용한 유사 구조로 대체됐다. 취약점이 계속 유지되는 것이다.

이는 출처가 다른 웹 페이지 간 데이터 접근을 제한하는 '동일 출처 정책(SOP)', 시스템 내 실행 코드·프로그램 활동을 제한하는 '샌드박스', 프로세스 등을 나눠 최소 권한만 부여하는 '권한 격리' 등 최신 웹 보안 메커니즘과 상반된다.

연구팀은 이런 구조가 실제 공격 경로로 악용될 수 있음을 실증했다. 400명 대상 설문조사에서 97.4%가 KSA 설치 경험이 있었으며, 이 중 59.3%는 '무엇을 하는 프로그램인지 모른다'고 답했다. 실제 PC 48대를 분석했는데, 평균 9개 KSA가 설치돼 있었고 다수는 2022년 이전, 일부는 2019년 버전이었다.
.