어도비 플래시(FLASH) 종료 관련 유의사항 및 조치사항

어도비社의 플래시 기술지원이 2020년 말 종료됨에 따라 이후 플래시 콘텐츠 이용 시 해킹공격 등의 보안 위협이 우려되는바, 이에 대한 관련 동향과 각급기관의 유의사항 및 조치사항에 대해 공지합니다.

□ 배경

○ 어도비社는 ’20년 말부터 플래시 기술지원 및 배포 중단 공식 발표

- (사유) 보안에 취약, 플래시(액티브X, 비표준기술) 대체 표준기술 확대, 추가 메모리 □ 전력 소모로 모바일 기기 부적합 등

※ (플래시란?) 웹브라우저에서 광고, 동영상□음악, 전자책, 게임 등 멀티미디어 콘텐츠를 재생하도록 하는 플러그인 SW, 인터넷 초창기부터 꾸준히 사용

○ 이에 각 브라우저社는 자사 브라우저의 플래시 지원기능을 ’20년까지 단계적으로 제거 예정

< 각 브라우저社 플래시 관련 동향 >
브라우저(제조사)		플래시 제거 계획
	크롬(구글)	□ 크롬 76버전부터 기본적으로 플래시 비활성화 □ ’20년까지 플래시 기능 제거
	인터넷익스플로러(MS)	□ ’20년까지 플래시 활성화 기능 단계적 제거 - ’19년 말까지 기본적으로 플래시 비활성화, 사용자 승인(또는 설정변경)을 통해 활성화 가능하도록 변경 - ’20년 이후 플래시 실행 불가
	엣지(MS)
	사파리(애플)	□ ’16년부터 어도비 플러그인 비활성화
	파이어폭스(모질라)	□ 파이어폭스 69버전부터 플래시 ‘항상 활성화’ 옵션 삭제 □ ’20년까지 모든 플래시 지원 중단

□ ’20년말(플래시 종료) 이후 상황 및 유의사항

○ 각 브라우저에서 플래시 활성화 기능이 제거됨에 따라 자동재생 등 일반적 방식으로는 플래시 콘텐츠 사용이 어려울 것으로 예상

○ 기술지원 종료로 플래시 사용자는 해킹 등 보안위협에 무방비 노출

※ 플래시는 과거 지속적 보안 취약점 노출(’06∼’17년 1,050건)로 해킹공격 등 보안사고 빈번

< 어도비 플래시의 취약점을 이용한 최근 보안사고 기사 >
일자	기사제목
’19.8.28. / 전자신문	광고만 봤는데 랜섬웨어 감염... ‘플래시 취약점’ 악용 악성코드 주의
’18.11.9. / 보안뉴스	플래시 플레이어 업데이트 사칭 암호화폐 채굴 악성코드 출연
’18.7.30. / 보안뉴스	플래시의 최신 취약점 통해 퍼지는 히든비 채굴 멀웨어
’18.6.7. / 보안뉴스	어도비 플래시 플레이어, 제로데이 취약점 공격 발생!
’18.3.12. / 보안뉴스	최신 플래시 취약점을 이용한 ‘헤르메스’ 랜섬웨어 국내 강타

○ 어도비社 기술지원 종료에도 불구, 기관의 웹사이트에서 플래시 콘텐츠를 계속 제공함으로 인해 이용자에게 피해 발생 시

- 법률자문 결과 정보보호조치 미이행에 따라 웹사이트 운영기관의 ｢국가배상법｣상 손해배상 책임이 인정될 가능성이 높음

※ (근거) 전자정부법 §4 □ §16, 국가정보화기본법 §37 □ §41, 국가배상법 §2 등

｢전자정부법｣ 제4조(전자정부의 원칙) ① 행정기관등은 전자정부의 구현ㆍ운영 및 발전을 추진할 때 다음 각 호의 사항을 우선적으로 고려하고 이에 필요한 대책을 마련하여야 한다.

3. 정보시스템의 안전성ㆍ신뢰성의 확보

제16조(전자정부서비스 개발ㆍ제공) ② 행정기관등의 장은 전자정부서비스 이용자가 손쉽게 전자정부서비스에 접근하여 안전하고 편리하게 활용할 수 있도록 하여야 하며, 제공되는 전자정부서비스는 최신의 것이 되도록 하여야 한다.

｢국가정보화 기본법｣ 제37조(정보보호 시책의 마련) ① 국가기관과 지방자치단체는 정보를 처리하는 모든 과정에서 정보의 안전한 유통을 위하여 정보보호를 위한 시책을 마련하여야 한다.

제41조(이용자의 권익 보호 등) ② 정보통신서비스 제공자는 사업을 할 때 이용자를 보호하기 위하여 필요한 조치를 마련하여야 한다.

□ 각급기관 조치사항

○ (플래시 기술지원 종료 전까지) 플래시 사용을 중단하고, 기존 플래시로 제작된 콘텐츠를 HTML5 등 웹 표준에 맞춰 전환

※ (웹 표준 전환 시 기대효과) 플래시 기술지원 중단으로 인한 보안사고 위협 회피, 액티브X 설치로 인한 이용자 불편 해소, 다양한 OS□브라우저□기기 지원

○ (플래시 기술지원 종료 후에) 플래시 사용을 권하는 행위* 중단

* (예) ‘플래시 플레이어’ 다운로드 링크 제시, 플래시 콘텐츠 제공 등