F5 Distributed Cloud Client-Side Defense, 고객의 PCI DSS v4.0.1 대비 지원

F5 에코시스템 | 2025년 4월 21일

최근 몇 년 사이 폼재킹과 Magecart 공격은 전자상거래 및 디지털 결제 환경의 주요 위협으로 급부상했습니다. 이러한 클라이언트 측 공격은 조직의 서버를 전혀 거치지 않고 사용자의 브라우저에서 신용카드 번호, 로그인 자격 증명, 개인 식별 정보(PII) 등의 민감한 데이터를 은밀하게 탈취합니다. 공격자는 서드파티 스크립트나 프런트엔드 코드에 직접 악성 JavaScript를 삽입하여 기존의 경계 보안 및 서버 측 방어 체계를 우회합니다.

폼재킹과 Magecart 이해하기

폼재킹은 온라인 양식에 악성 JavaScript를 삽입하여 브라우저 수준에서 사용자가 입력한 정보를 탈취하는 방식입니다. 주로 서드 파티 스크립트나 콘텐츠 전송 네트워크(CDN)의 취약점을 악용해 이루어지므로 서버 측 보안 도구로 탐지하기 어렵습니다.

Magecart는 웹 스키밍을 전문으로 하는 여러 사이버 범죄 집단을 통칭하는 용어입니다. 이러한 사이버 범죄 집단은 일반적으로 결제 과정에서 결제 데이터를 탈취하는 JavaScript 코드를 삽입해 전자상거래 사이트를 침해합니다. 이렇게 탈취된 데이터는 공격자가 제어하는 도메인으로 유출되며, 흔히 난독화되거나 정상적인 요청처럼 보이도록 숨겨집니다.

두 공격 유형은 브라우저라는 공통된 공격 경로를 이용합니다. 그리고 이러한 공격의 성공 여부는 조직이 클라이언트 측에서 실제로 실행되는 항목을 얼마나 파악하지 못하고 있는지에 달려 있습니다.

PCI DSS v4.0.1의 등장: 클라이언트 측 보안 강화

With the release of the 결제 카드 산업 데이터 보안 표준(PCI DSS) v4.0.1이 발표됨에 따라 PCI 보안 표준 위원회는 증가하는 클라이언트 측 공격 위협에 직접 대응하고 있습니다. PCI SSC는 이 새로운 공격 경로에 직접 대응하기 위해 2025년 3월 31일부터 적용되는 두 가지 클라이언트 측 요구 사항을 처음으로 포함했습니다:

요구 사항 6.4.3: 소비자의 브라우저에서 로드되고 실행되는 모든 결제 페이지 스크립트는 다음과 같이 관리됩니다:

각 스크립트가 승인되었는지 확인하는 방법이 구현되어 있습니다.
각 스크립트의 무결성을 보장하는 방법이 구현되어 있습니다.
모든 스크립트의 목록을 유지 관리하며, 각 스크립트가 필요한 이유에 대한 비즈니스 또는 기술적 근거를 문서화합니다.

요구 사항 11.6.1 – 변경 및 변조 탐지 메커니즘은 다음과 같이 배포됩니다:

소비자 브라우저가 수신한 결제 페이지의 보안에 영향을 미치는 HTTP 헤더 및 스크립트 콘텐츠에 무단 수정(침해 지표, 변경, 추가 및 삭제 포함)이 발생한 경우 담당자에게 경고합니다.
해당 메커니즘은 수신된 HTTP 헤더와 결제 페이지를 평가하도록 구성되어 있습니다.

이러한 새로운 의무 요건은 한 가지 근본적인 사실을 인정합니다. 이제 클라이언트 측 스크립트는 PCI 공격 표면의 핵심 요소입니다. 그러나 많은 조직이 이러한 요건을 충족하려면 운영 및 기술상의 난관에 직면하게 됩니다. 특히 JavaScript 생태계의 역동적인 특성과 타사 서비스에 대한 의존도를 고려하면 더욱 그렇습니다.

가시성 격차 해소

기존의 웹 애플리케이션 방화벽(WAF), 보안 정보 및 이벤트 관리 솔루션(SIEM), 엔드포인트 도구는 서버 또는 네트워크 경계에서 작동합니다. 이러한 도구로는 최종 실행 환경인 사용자의 브라우저를 파악할 수 없습니다. 손상된 태그 관리자나 CDN 또는 서드 파티 공급망 공격을 통해 악성 코드가 삽입되면 서버 측 도구는 침해 사실을 전혀 탐지하지 못하는 경우가 많습니다. 바로 이때 F5 Distributed Cloud Client-Side Defense가 개입합니다.

서버 측 도구와 달리 Distributed Cloud Client-Side Defense는 브라우저 자체에서 작동하며, 악성 동작이 발생하는 즉시 실시간 모니터링, 무결성 검증 및 경고 기능을 제공합니다. 또한 최근에는 PCI DSS v4.0.1 요구 사항 6.4.3 및 11.6.1에 명시된 위협에 특화하여 대응할 수 있도록 서비스를 업데이트했습니다.

F5 Distributed Cloud Client-Side Defense를 설명하는 다이어그램

F5 Distributed Cloud Client-Side Defense는 PCI DSS v4.0.1에 명시된 클라이언트 측 요구 사항을 충족하도록 특별히 설계되었습니다.

다음과 같은 방식으로 도움이 됩니다:

스크립트 인벤토리 및 승인: Distributed Cloud Client-Side Defense는 결제 페이지에서 실행되는 모든 자사 및 타사 스크립트를 지속적으로 추적하고 인벤토리를 유지합니다. 조직은 서면 근거와 함께 스크립트 허용 목록을 설정하고 신규 또는 승인되지 않은 스크립트가 나타날 경우 알림을 받을 수 있어 6.4.3 준수를 입증하는 데 도움이 됩니다.
스크립트 무결성 검증: Distributed Cloud Client-Side Defense는 웹 애플리케이션의 런타임을 계측하여 예기치 않은 잠재적 악성 동작을 나타내는 유의미한 동작 변화, 특히 새로운 네트워크 요청과 새로운 데이터 액세스를 감시함으로써 스크립트의 무결성을 검증합니다.
·스크립트 및 보안에 영향을 미치는 HTTP 헤더 모니터링: Distributed Cloud Client-Side Defense는 스크립트와 보안에 영향을 미치는 HTTP 헤더를 정기적으로 검사하여 무단 변경 여부를 확인하고, 변경이 감지되면 경고함으로써 조직이 11.6.1 준수를 입증할 수 있도록 지원합니다.
데이터 유출 탐지: 고급 위협 모델은 데이터 유출 징후를 파악하기 위해 아웃바운드 요청을 모니터링합니다. 스크립트가 캡처한 양식 데이터를 의심스러운 엔드포인트로 전송하려고 하면 경고가 발생하며, 조직은 네트워크 호출과 양식 필드 읽기를 차단하는 직접적인 완화 조치를 취할 수 있습니다.
엔터프라이즈 환경에 적합한 알림 및 보고서: 보안 및 규정 준수 팀은 스크립트 동작, 도메인 관계, 브라우저 측 데이터 흐름에 관한 풍부한 원격 측정 데이터를 확보할 수 있어 PCI 감사 추적 및 포렌식 조사에 이상적입니다.

규정 준수에서 회복탄력성으로

브라우저 기반 위협이 기존 방어 체계보다 빠르게 진화함에 따라, 단순히 규정 준수 요건을 충족하는 것만으로는 충분하지 않습니다. 조직은 최종 사용자 경험에서 실제로 어떤 일이 일어나고 있는지 파악할 수 있는 가시성을 제공하는 동시에 향후 위협에 대한 복원력을 강화하는 보안 통제를 도입해야 합니다. F5 Distributed Cloud Client-Side Defense는 폼재킹 및 Magecart 위협에 선제적으로 대응하는 데 필요한 관측 가능성, 제어 및 자동화 기능을 제공하는 동시에 PCI DSS v4.0.1의 새로운 요구 사항을 충실히 충족합니다.

자세한 내용은 F5 Distributed Cloud Client-Side Defense 웹페이지에서 확인하세요. 또한 올해 RSA Conference에 참석할 예정이라면 4월 29일 세션인 “더 강력한 시너지: 앱 보안 및 딜리버리를 위한 통합 접근 방식”에 꼭 참석하시고 N-4335 부스에도 방문해 주세요.