메이지카트 사태

F5

바비큐와 야구 경기, 뒷마당에서의 즐거움이 가득한 여름을 맞으며, 지난해 소매업, 기술업, 제조업에서 발생한 침해 사고의 가장 큰 근본 원인이 무엇이었는지 문득 궁금해져도 너무 놀라지 마세요. F5 Labs에 따르면 그 원인은 바로 Magecart입니다.

Magecart란 무엇일까요? Magecart는 사실 여러 사이버 범죄 조직을 통칭하는 용어입니다. 최소 12개 조직이 관련되어 있으며, 각 조직은 저마다 전문 분야가 있습니다. 예를 들어 그룹 5는 2018년 Ticketmaster 공격에 연루된 것으로 알려져 있습니다. 하지만 이러한 유형의 공격은 그룹 1을 시작으로 2014년부터 계속 발생해 왔습니다.

이 그룹은 취약한 서버를 악용하거나 쇼핑 카트 페이지를 침해하는 방식으로 활동을 시작했습니다. 이들은 신용카드 정보와 개인정보를 훔치기 위해 콘텐츠, 코드, 스크립트를 자체 악성 소프트웨어로 변조했습니다.

이들은 이제 제3자 광고 서비스를 통해 전달되는 웹 코드 삽입 공격으로 결제 정보를 빼낼 수 있을 정도로 수법이 발전했습니다. 공격자는 광고 서비스를 침해한 뒤 악성 코드를 삽입합니다. 이렇게 변조된 JavaScript 라이브러리는 해당 광고 서비스가 광고를 제공하는 전자상거래 웹사이트에 로드됩니다. 고객이 신용카드 정보를 입력하는 동안 스키머는 백그라운드에서 작동하며 데이터를 훔칩니다. 정보가 탈취된 뒤의 과정은 익히 아는 대로입니다. 데이터는 서버에 저장되어 공격자에게 전송되고, 암시장 판매자나 구매자에게 넘어갑니다. 이들은 이를 이용해 상품을 구매하거나 빈 카드에 정보를 다시 입히며, 피해자는 무슨 일이 일어났는지조차 알지 못합니다.

Ticketmaster(앞서 언급했듯이), New Egg, Sotheby’s, British Airways 모두 피해를 입었습니다. 실제로 Ticketmaster 자체가 직접 침해된 것은 아니었지만, 제3자 공급업체가 해킹당했습니다. Ticketmaster용으로 제작된 맞춤형 JavaScript 모듈이 디지털 스키머 코드로 교체되었습니다. 하지만 피해를 입은 곳은 이들뿐만이 아닙니다. 수백 개의 사이트가 이런 방식으로 침해되었습니다.

서드파티 시스템을 침해하는 것은 표적에 접근할 수 있는 매우 효과적인 방법입니다. 서드파티는 규모가 작고 보안 계층도 적은 회사인 경우가 많습니다. 게다가 표적에 직접 접근할 수 있습니다. 적절히 분리되지 않았거나 인증 등의 보안 조치가 적용되지 않은 백엔드 네트워크 연결을 통해 공격이 들어오던 시절을 기억하시나요? 이제는 디지털 광고를 이용한다는 점만 다를 뿐, 원리는 비슷합니다. 다른 누군가가 대신 전달하게 하는 것이죠.

디지털 카드 스키밍은 성공 가능성이 높고 비교적 손쉽기 때문에 범죄자들에게 매력적입니다. 다른 공격이 성공하려면 멀웨어나 직접적인 시스템 침해, 심지어 사회공학적 수법까지 필요합니다. 시간과 노력은 물론, 때로는 전문 지식도 요구됩니다. 게다가 Magecart에 비해 성공률도 낮습니다. 그렇다면 손쉽게 큰 수익을 올릴 수 있는 방법을 마다할 이유가 있을까요?

이 수법이 성공하는 또 다른 이유는 고객이 이를 탐지하기가 거의 불가능하기 때문입니다. 무료 배송 혜택에 들떠 결제 정보를 입력하는 동안, 스키머는 눈에 띄지 않게 입력 필드 위에 숨어 데이터를 가로챕니다. 전통적으로 스키머는 ATM, 주유기, 결제 키오스크 등에 물리적으로 덧붙이는 장치였습니다. 실제 카드 삽입구를 덮는 장치일 수도 있고, 기기에 자연스럽게 섞이도록 설계된 얇은 막일 수도 있습니다. 카드를 삽입하는 부분을 꼼꼼히 살펴보거나 삽입구를 손가락으로 훑어 이상한 점이 없는지 확인하면 이러한 물리적 위협을 피할 수 있습니다. 하지만 디지털 환경에서는 사실상 눈에 보이지 않습니다. 인젝션 공격이 여전히 OWASP Top 10의 상위권을 차지하는 것도 놀라운 일이 아닙니다.

공격자들은 탐지를 피하기 위해 끊임없이 코드를 개선합니다. 난독화와 암호화는 물론, 사이트에서 이미 실행 중일 수 있는 다른 카드 스키밍 소프트웨어를 방해하고 비활성화하기까지 합니다. 한 사례에서는 탐지와 분석을 방해하기 위해 스크립트가 브라우저 디버거 콘솔의 메시지를 지속적으로 삭제하기도 했습니다. TrendMicro에 따르면 그룹 12의 스크립트는 URL에서 ‘billing’, ‘checkout’, ‘purchase’ 같은 키워드까지 확인합니다. 심지어 장바구니를 뜻하는 프랑스어 ‘panier’와 결제를 뜻하는 독일어 ‘kasse’를 포함해 현지화까지 적용했습니다. 대상 문자열을 발견하면 스크립트가 스키밍을 시작하고, 각 피해자를 식별하기 위한 임의의 번호가 생성됩니다. 피해자가 브라우저를 닫거나 새로 고치면 또 다른 JavaScript 이벤트가 실행되어 탈취한 결제 데이터와 e-태그(임의 번호), 전자상거래 도메인을 원격 서버로 전송합니다.

Magecart is a large active threat that could be bigger than the point-of-sale breaches at Target or Home Depot, according to RiskIQ에 따르면 Magecart는 현재 활발히 활동하는 대규모 위협으로, Target이나 Home Depot에서 발생한 POS 시스템 침해 사건보다 더 큰 피해를 초래할 수 있습니다. 연구자들이 이러한 위험을 인식하기 시작했지만, 그렇다고 해서 모든 공격을 탐지할 수 있는 것은 아닙니다. 범죄자들은 교묘합니다.

많은 보안 위협과 마찬가지로 계층형 보안, 즉 심층 방어 접근 방식이 핵심입니다. 모든 서버에 패치를 적용하고 민감한 시스템을 분리하는 것이 중요함은 물론입니다. 모든 확장 프로그램과 타사 시스템을 최신 상태로 유지하는 것도 중요합니다. 또한 CDN(외부 소스)이나 다른 도메인을 통해 제공되는 콘텐츠와 파일이 변경되거나 변조되지 않았는지 확인해야 합니다. 그리고 WAF에 Magecart가 악용하는 것으로 알려진 취약점에 초점을 맞춘 시그니처나 규칙 세트를 적용하는 것도 분명 도움이 될 수 있습니다.

이러한 공격은 끊임없이 진화하며 더욱 정교해지고, 새로운 희생양을 찾습니다. 또한 공급망 공격을 통해 범죄자들은 수천 개의 사이트에 한꺼번에 접근할 수 있습니다.

마지막으로, 어떤 침해 사고든 신용카드 명세서와 은행 및 금융 거래 내역에 수상한 활동이 없는지 정기적으로 확인해야 한다는 좋은 교훈이 됩니다. 발견하면 신고하세요.

Magecart와 기타 인젝션 취약점을 더 자세히 알아보려면 F5 Labs의 2019 애플리케이션 보호 보고서, 에피소드 3: 더욱 악랄해진 웹 인젝션 공격을 확인해 보세요.

작성자 소개

F5

F5의 다른 블로그 게시물