MageCart 악성코드 대책
First Aid Beauty 해킹
2019.10.25일 P&G의 자회사 First Aid Beauty의 웹 사이트에 e-skimmimg 악성코드가 삽입돼 있는 것이 발견됐다. 이 사이트는 이미 5월에 해킹되어 악성코드가 삽입됐다.이 악성코드는 사용자가 웹 페이지에 입력하는 정보를 실시간으로 가로채는 MageCart이다. 주로 전자상거래 사이트의 결제 페이지에 Java script로 삽입되어, 카드번호 등 지불 수단 정보를 탈취한다.
이번 사건에서는 오직 미국 지역에서 접속하는 사용자만을 노린 것이 특징이다. 피해자가 얼마나 되는지는 확인되지 않았지만, 이 사이트는 월 평균 10만 명의 방문객이 있고, 그 중 80%가 미국에서 접속한다.
또한 난독화와 암호화를 사용해서 잘 숨어 있었다. 보통 메이지카트는 2주 정도면 발각이 되는데, 이번 경우엔 반 년 가까이 몰래 활동했다.
skimmer
이렇게 금융 정보를 슬쩍 긁어가는 형태의 공격 방법을 스키밍(skimming)이라 하고, 그 도구를 스키머(skimmer)라고 한다. 스키머는 물리적인 장치일 수도 있고, 악성코드일 수도 있다.본래 ATM의 카드 삽입구에 복제 장치를 부착하는 방식으로 시작됐는데, 근래 무수한 전자상거래 사이트를 감염시킬 정도로 온라인 상에서 활개를 치고 있다.
메이지카트는 원래 스키밍을 전문으로 하는 해커단의 이름이었지만, 이제는 흔히 스키밍 악성코드를 통틀어 메이지카트라고 부른다.
2단계 인증 필수
우리 나라는 스마트폰을 이용한 간편결제와 앱 카드의 사용이 보편화되어, 메이지카트의 피해가 거의 없다. 결제시 중요 정보를 입력하지 않기 때문이다. 그러나 해외 직구 시에는 외국 사이트를 이용하므로 안심할 수는 없다. 게다가 전문가 사이에서는, 메이지카트가 앞으로는 로그인 정보 등 다른 중요 정보까지 노리는 방향으로 확대될 수 있다는 우려가 나오고 있다.10.23일 FBI에서는 메이지카트에 대한 대응책을 다음과 같이 제시했다.
모든 소프트웨어와 보안 앱을 최신 상태로 유지하라.
기본 암호는 반드시 바꾸고, 강력하고 고유한 암호를 생성하라.
2단계 인증을 적용하라.
직원에게 사이버 안전에 관한 교육을 실시하라.
신뢰할 수 없는 링크와 첨부 파일을 클릭하지 말라.
네트워크 망 분리를 해서, 해커가 전체 네트워크를 넘나들지 못하게 하라.
이 외에도 사이트 운영자에겐 CSP, SRI 같은 솔류션이 있다. CSP(Content Security Policy)는 신뢰할 수 있는 도메인의 자바 스크립트만을 실행하도록 허용하는 것이다. SRI(Subresource Integrity)는 자바 스크립트의 해시 값을 검증해서, 변조된 것은 실행되지 못하도록 차단하는 것이다.
사용자로서는 2단계 인증을 설정해서 추가 피해를 막는 것 이외에는 마땅한 방법이 없다. 사이트에 따라 자바 스크립트 실행을 차단해서(관2), 메이지카트를 비롯한 악성 스크립트를 원천 봉쇄할 수는 있다. 그러나 자바 스크립트를 차단하면 사이트가 제대로 작동하지 않을 수 있다. 특히 쇼핑몰들은 대부분 그렇다.
관련 자료
참고 자료
댓글
댓글 쓰기