지금 대응하세요: 브라우저 기반 공격에 대응하는 새로운 PCI DSS v4.0 요구사항

F5 에코시스템 | 2023년 1월 03일

온라인 소매업체와 전자상거래 판매자 여러분, 주목하십시오. 디지털 스키밍 및 Magecart 공격으로부터 클라이언트 측 데이터와 온라인 결제를 보호하는 분야에 새로운 강자가 등장했습니다.

2022년 3월, 결제 카드 산업(PCI) 보안 표준 위원회는 데이터 보안 표준인 PCI DSS v4.0의 개정판을 발표했습니다. 이 표준은 가맹점이 카드 소유자 데이터를 저장, 처리 및 전송할 때 준수해야 하는 최소 보안 요구 사항을 규정합니다. 개정된 요구 사항에는 온라인 상거래 시 소비자, 기업 및 카드 발급사를 보호하고 안전한 온라인 거래를 보장하기 위한 여러 개선 사항이 포함되어 있습니다.

새로운 요구 사항은 결제 처리용 iFrame, 챗봇, 광고, 소셜 공유 버튼, 추적 스크립트 등의 기본 제공 기능을 지원하기 위해 전자상거래 웹사이트에 통합되는 브라우저 기반의 타사 JavaScript 라이브러리를 모니터링하고 관리해야 할 필요성에 중점을 둡니다. 이러한 JavaScript 라이브러리는 기업이 웹사이트 개발 속도를 높이는 데 도움이 되지만, 디지털 스키밍 및 Magecart 공격을 통해 쉽게 침해되어 자격 증명, 신용카드 정보 및 기타 개인 식별 정보(PII)를 탈취하는 데 악용될 수 있으므로 사이버 범죄자에게 광범위한 공격 경로를 제공하기도 합니다.

이러한 침해 사고는 사기 피해를 입은 소비자에게 명백히 해로울 뿐만 아니라, 규정 위반, 매출 손실, 주가 하락, 소셜 미디어상의 부정적인 평가, 브랜드 가치 훼손으로 이어질 수 있어 기업에도 악영향을 미칩니다.

새로운 PCI DSS 4.0 요구 사항의 준수가 2025년까지 의무화되지는 않지만, 그때까지 기다리지 마십시오! 이러한 요구 사항이 대응하고자 하는 유형의 공격은 지금 이 순간에도 발생하고 있습니다. 강화된 보호 조치를 최대한 빨리 시행하여 공격과 사기로부터 기업의 평판과 고객을 보호해야 할 때입니다.

클라이언트 측 공격의 위험성은 무엇인가요?

얼마 전까지만 해도 상용 웹 애플리케이션은 온프레미스 웹 서버에서 제공되는 하나의 모놀리식 코드로 구축되었습니다. 하지만 오늘날의 최신 웹 애플리케이션은 매우 다릅니다. 흔히 타사 JavaScript 라이브러리를 서로 연결해 설계하며, 대부분의 처리는 소비자의 브라우저에서 클라이언트 측으로 이루어집니다. 일반적인 웹 페이지의 70~80%가 타사 라이브러리로 구성되는 것으로 추정되며, 이러한 스크립트 중 일부에는 또 다른 타사 스크립트의 코드가 포함되어 있습니다. 이처럼 코드 종속성이 길게 이어지기 때문에 기업은 자사 웹사이트에서 실제로 실행되는 코드를 제대로 파악하거나 제어하기 어렵습니다.

위협 행위자들은 이러한 다단계 외부 종속성의 범위와 규모로 인해 조직이 자사 환경에서 실행되는 코드를 적절히 관리하고 추적하며 보호하는 데 어려움을 겪고, 코드가 변경되거나 악용되더라도 이를 탐지하지 못한다는 점을 알고 있습니다. 이러한 가시성 부족은 사이버 범죄자가 정상적인 웹 페이지나 웹 애플리케이션 코드에 악성 스크립트를 삽입하고, 사용자 세션을 가로채거나 조작하고 탈취하는 공격을 감행할 기회를 제공합니다. 이를 통해 개인정보와 결제 정보를 빼내고, 웹사이트를 장악해 훼손하며, 가짜 콘텐츠를 표시하거나, 새로운 양식을 만들거나 정상적인 양식을 변조할 수 있습니다. 이 모든 행위는 사기와 계정 탈취의 발판이 될 수 있습니다.

PCI DSS v4.0 요구 사항

개정된 표준은 온라인 결제를 받는 모든 비즈니스에 클라이언트 측 웹 보안 강화가 매우 중요하다고 명시하고 있습니다. 이 표준에 따라 소비자의 브라우저에서 로드되고 실행되는 모든 결제 페이지 스크립트를 종합적으로 관리해야 합니다. 특히 새로운 요구사항 6.4.3은 전자상거래 사업자에게 다음 사항을 구현하도록 요구합니다:

각 스크립트가 승인되었는지 확인하는 방법
각 스크립트의 무결성을 보장하는 방법
각 스크립트가 필요한 이유를 서면으로 명시한 모든 스크립트 목록

새로운 표준에 따라 판매자는 자사의 정책과 절차를 검토하여 소비자의 브라우저에서 로드되고 실행되는 모든 결제 페이지 스크립트를 관리하기 위한 프로세스가 정의되어 있는지 확인해야 합니다. 또한 담당자를 면담하고 인벤토리 기록과 시스템 구성을 검토하여 소비자의 브라우저에서 로드되고 실행되는 모든 결제 페이지 스크립트가 이 요구 사항에 명시된 모든 항목에 따라 관리되고 있는지 확인해야 합니다.

또한 개정된 표준의 11.6절에서는 결제 페이지의 무단 변경을 탐지하고 이에 대응하도록 요구합니다. 이를 위해 소비자의 브라우저에 수신된 HTTP 헤더와 결제 페이지 콘텐츠가 무단으로 수정될 경우 담당자에게 알리는 변경 및 변조 탐지 메커니즘이 필요합니다. 구성 설정은 최소 7일마다 한 번씩 또는 조직의 위험 분석 평가에서 정한 주기에 따라 검토해야 합니다.

수동 또는 레거시 솔루션으로 이러한 요구 사항을 준수하려면 많은 비용과 리소스가 필요합니다. 결제 양식 스크립트는 클라이언트 측에서 실행되므로 판매자는 해당 스크립트의 동작을 파악하기 어려우며, 이로 인해 악성 코드가 탐지를 쉽게 피할 수 있습니다. 또한 결제 처리 시스템, 쿠키 동의 양식, 챗봇, 광고 추적기와 같은 웹 페이지 기능을 구동하는 동적 JavaScript 라이브러리 등의 서드 파티 코드는 판매자가 모르는 사이에 자주 업데이트되고 변경되기 때문에 판매자가 이를 제어하기 어렵습니다.

스크립트의 변조 여부를 확인하기 위해 무결성 검사를 수행하는 하위 리소스 무결성(SRI)과 브라우저가 스크립트를 로드하고 데이터를 전송할 수 있는 위치를 제한하는 콘텐츠 보안 정책(CSP) 같은 기존 탐지 기법만으로는 오늘날 끊임없이 변화하는 웹 애플리케이션을 보호하기에 더 이상 충분하지 않습니다.

비즈니스가 PCI DSS v4.0을 조속히 준수하도록 지원하세요

PCI DSS v4.0에서 요구하는 보안 규정을 준수하기 위해 2025년까지 기다릴 필요는 없습니다. 지금 바로 조치를 취해 공격으로부터 비즈니스를 보호하고, 사기 및 계정 탈취로부터 고객을 지키세요.

F5 Distributed Cloud Client-Side Defense는 웹 페이지에서 의심스러운 코드를 자동으로 모니터링하고, 즉시 조치 가능한 알림을 생성하며, 원클릭 완화 기능으로 데이터 유출을 즉시 차단함으로써 새로운 PCI DSS v4.0 요구 사항에 바로 대응하고 Magecart, 폼재킹, 디지털 스키밍, PII 수집 공격으로부터 보호할 수 있도록 지원합니다.

소비자의 신뢰와 브랜드 평판을 유지하면서 고객의 개인정보를 보호하고 규정 준수 위반으로부터 비즈니스를 지키는 방법에 대해 자세히 알아보려면 이 솔루션 개요를 읽어보거나 이 제품 데모를 시청하세요.