도메인 검색 엔진을 사이버 범죄에 겨누었을 때 발견한 것들

(dev.to)

Dev.to WebDev2026년 9월 30일AI 산업

도메인 검색 엔진 cl0q를 활용해 일반 웹 인덱스에서 크립토 드레이너, 스틸러 로그 등 사이버 범죄 인프라가 광범위하게 노출되고 있음을 확인했으며, 이는 DNS 정보를 통해 저비용으로 공격 인프라를 식별할 수 있는 새로운 방안을 제시합니다.

이 글의 핵심 포인트

1도메인 검색 엔진 cl0q를 통해 크립토 드레이너(Crypto Drainer) 키트와 관련 사이트 13건 발견
2러시아 마켓 등 스틸러 로그(Stealer Log) 거래 사이트가 일반 웹 인덱스에 노출됨을 확인
3피싱 키트(Phishing Kit) 판매 사이트의 SMTP 서버 및 MX 레코드 정보가 공개되어 있음
4공격자들이 저렴한 도메인과 Cloudflare를 활용해 클리어 웹에 인프라를 구축하고 있음
5DNS 데이터(IP, MX, CNAME)를 활용하면 공격 인프라를 차단 목록(Blocklist)으로 즉시 전환 가능

이 글에 대한 공공지능 분석

왜 중요한가?

사이버 범죄 인프라가 특수 다크웹이 아닌 일반 웹 인덱스에 노출되어 있어, 누구나 도메인 검색만으로 공격자의 IP와 MX 레코드를 파악할 수 있다는 점이 매우 중요합니다. 이는 방어자가 고가의 위협 인텔리전스 없이도 공격 인프라를 식별하고 차단 목록(Blocklist)에 추가할 수 있는 실질적인 기회를 제공합니다.

어떤 배경과 맥락이 있나?

최근 공격자들은 추적을 피하기 위해 전문적인 도구 대신 저렴한 도메인과 Cloudflare 같은 CDN 서비스를 활용해 클리어 웹(Clear Web)에 인프라를 구축하고 있습니다. 이러한 경향은 위협 인텔리전스(Threat Intel)의 패러다임을 전문 유료 피드 중심에서 일반 웹 데이터 분석 중심으로 확장시키고 있습니다.

업계에 어떤 영향을 주나?

보안 스타트업들에게는 고가의 데이터 피드 없이도 공개된 도객 도메인 인덱스와 DNS 데이터를 결합해 가치 있는 위협 탐지 서비스를 구축할 수 있는 기술적 가능성을 보여줍니다. 반면, 공격자들의 인프라 구축 비용이 낮아짐에 따라 자동화된 공격 스케일이 커질 위험도 공존합니다.

한국 시장에 어떤 시사점이 있나?

국내 금융 및 이커머스 스타트업들은 피싱 및 크립토 탈취 공격에 취약할 수 있으므로, 도메인 기반의 DNS 분석을 보안 모니터링 프로세스에 통합하여 선제적인 방어 체계를 구축할 필요가 있습니다.

이 글에 대한 큐레이터 의견

이번 발견은 보안 인텔리전스의 '민주화'를 의미합니다. 과거에는 막대한 비용을 지불해야만 얻을 수 있었던 공격 인프라 정보가 이제는 일반적인 도메인 검색 엔진의 쿼리만으로도 노출될 수 있습니다. 이는 보안 솔루션을 개발하는 스타트업에게는 데이터 소스의 다변화라는 기회를, 보안 운영자에게는 비용 효율적인 방어 수단을 제공합니다.

하지만 주의해야 할 트레이드오프도 존재합니다. 공격 인프라를 식별하는 것이 쉬워진 만큼, 역으로 공격자들 또한 일반적인 도메인 검색 엔진의 패턴을 분석하여 탐지를 회피하는 '안티-인덱싱(Anti-indexing)' 기술을 고도화할 수 있습니다. 따라서 단순히 도메인을 찾는 것을 넘어, 식별된 IP와 MX 레코드를 기반으로 한 지속적인 인프라 추적과 행동 분석 모델을 결합하는 전략이 필수적입니다.

원문 보기 →