PDF 안전 검사

받은 PDF, 열어도 괜찮을까요

PDF는 글과 그림만 담는 문서처럼 보이지만, 안에 자바스크립트나 ‘문서를 열 때 자동으로 실행할 동작’, 다른 프로그램을 실행하라는 명령, 숨은 첨부 파일을 넣을 수 있어요. 대부분은 양식 계산이나 목차 이동처럼 정상적인 기능이지만, 피싱 메일로 오는 PDF는 이런 기능으로 가짜 로그인 페이지로 보내거나 악성 파일을 열게 만들기도 해요. 이 도구는 PDF를 뷰어로 열기 전에 브라우저 안에서 파일 구조만 읽어 이런 기능이 있는지 보여 줘요.

결과 읽는 법

• 위험 신호 — 자바스크립트, 외부 프로그램 실행(Launch)이 들어 있어요. 보낸 사람을 확실히 알고 그런 기능이 필요한 양식이 아니라면 열지 마세요. 일반 안내문·계약서에는 이런 기능이 필요 없어요.
• 주의 — 숨은 첨부 파일, 양식 내용을 어딘가로 보내는 기능, 다른 파일을 여는 동작, XFA 양식, IP 주소나 http 같은 눈여겨볼 링크가 있어요. 첨부 파일은 ‘PDF 첨부파일 꺼내기’로 이름과 종류를 확인하고, 실행 파일(.exe, .js, .vbs 등)이면 열지 마세요.
• 눈에 띄는 위험 없음 — 위 기능이 하나도 없어요. 그래도 본문 안의 링크를 누르기 전에는 주소를 확인하세요.

어떻게 검사하나요

pdf-lib(MIT)로 PDF 안의 객체를 하나씩 읽어 동작 종류(/S), 자바스크립트(/JS), 첨부 파일 정보(/EF), 자동 동작(/OpenAction, /AA), 양식(/AcroForm·/XFA), 링크 주소(/URI)를 찾아요. 압축된 자바스크립트는 풀어서 앞부분을 글자로만 보여 주고 절대 실행하지 않아요. 구조가 꼬여서 읽지 못한 경우에 대비해 원본 바이트에서 /JavaScript, /Launch 표시를 한 번 더 찾아요. 암호가 걸린 PDF도 구조는 읽을 수 있지만 자바스크립트 내용은 암호화돼 있어 보이지 않을 수 있어요.

한계

이 검사는 PDF의 위험한 기능을 찾는 것이지 백신이 아니에요. PDF 뷰어 프로그램의 보안 허점을 노리는 공격(글꼴·이미지 처리 오류 등)이나 새로 나온 수법은 찾지 못해요. 의심스러운 파일은 백신으로 검사하고, PDF 뷰어를 최신 버전으로 유지하고, 뷰어 설정에서 자바스크립트를 꺼 두면 더 안전해요. 파일은 서버로 보내지 않아요.

참고한 자료

• pdf-lib (MIT)