요즘에는 이를 더 악용해서 공격자는 중고거래 플랫폼, 오픈마켓, 애플스토어를 활용해 부정하게 결제를 하여 현금화 하는 사건이 있었다고 해요.
애플스토어의 '대리인 수령' 정책을 악용한 경우 였는데요.
중고 거래 사이트에서는 해당 기기를 시세보다 낮은 가격에 판매하고, 구매자가 나타나면 애플 스토어 매장에서 직접 받아가는 방법을 안내하여 안심하게 하는 수법이예요.
구매자에게 가짜 사이트에 카드 번호, 카드 유효 기간, CVC, 주민등록번호, 카드 비밀번호, 일반 결제 비밀번호 등 개인정보 입력을 유도하여 훔친 카드 정보로 공격자는 애플스토어 웹사이트에서 전자제품을 불법적으로 결제하였어요.
그 후 대리 수령 영수증과 사기 계좌 정보를 구매자에게 제공한 뒤, 해당 계좌로 물품 대금을 입금받아 다시 현금화하는 방식으로 범인은 빼낸 개인정보를 이용하여 결제하여 가로채고 계좌로도 현금화하는 이중 범죄인데요.
이전에는 수익 창출 수단이 다크웹에서의 판매나 불법 복제였다면, 이번에는 한국의 온라인 결제 시스템을 이용하고 사전 정보를 수집하여 수익모델을 만들었다는 점이 특징이예요. 이외에도 아울렛을 위장한 피싱 사이트를 만들어 결제 시 카드 정보를 빼내거나 부고 안내문을 통한 악성 앱을 배포해 휴대전화 내 중요 정보 탈취 및 제어 권한을 얻는 경우도 확인됐다고 해요.
금융보안원은 가짜 웹사이트 주소(URI)의 특징을 이용한 탐지 프로그램을 개발하였고, 이를 통해 약 5,000여 개 온라인 쇼핑몰 도메인을 조사하였고 이를 통해 같은 피싱 결제 페이지가 포함된 50여 개 피해 쇼핑몰을 파악할 수 있었다고 하니 너무 무서운 일이예요.
취약점이 존재하는 쇼핑몰에 대해 SQL 인젝션 같은 방법을 활용해서 공격자가 침투하였는데요.
공격자는 평일 오전 9시부터 오후 6시 사이의 업무 시간대를 피해, 최초 1회 접속한 모바일 브라우저에서만 피싱 페이지가 보이도록 하는 교묘한 수법을 사용하며 해당 플랫폼의 자체적인 결함을 이용하여 웹쉘을 업로드하고, 보안이 약한 관리자 페이지에 대한 웹 해킹 공격을 시도한 것으로 밝혀졌어요.
이런 유형 중 대표적인 것으로는 '크리덴셜 스터핑' 공격이 있는데, 이는 해커가 여러 웹사이트에서 수집한 계정 정보를 다른 사이트에 무차별적으로 대입해서 로그인을 시도하는 방식인데요.다양한 방법으로 개인정보를 수집한 해커는 여러 시스템에 무차별적으로 계정 정보를 입력하여 사용자 계정을 도용하는데요.다크웹에서는 피해 기업을 대상으로 크리덴셜 스터핑 공격을 실행할 수 있는 전용 도구를 거래하고 있으며, 이를 통해 계정 정보, 캐시, 포인트, 쿠폰 정보까지 탈취가 가능해요. 크리덴셜 스터핑 공격 방식은 각 사용자 계정마다 1~5개의 비밀번호를 갖고 있어서 로그인 시도 대비 성공률이 높았으며, VPN 또는 봇넷 등 큰 규모의 IP 자원을 사용하는데, 동일한 IP 주소에서 1~2개의 계정에만 로그인을 시도해서 계정 탈취 시스템(ATO) 감지를 피하는 것으로 추측되어 해당 공격 시도를 파악할 수는 있지만, 패턴을 기반으로 한 차단이 어려운 실정이므로 추가 인증 수단을 도입해서 로그인 과정에서의 보안성을 높이는 일이 훨씬 중요할 것 같다고해요. 만약 계정 정보가 유출되었을 경우에는, 해당 아이디 및 비밀번호와 동일한 정보를 사용 중인 다른 계정들의 비밀번호도 함께 변경하는 것이 보안 상 안전해 보여요.
중장기적으로는 금융보안원에서는 로그인 시 생체 인식 기술 등을 활용하여 비밀번호를 입력하지 않아도 되는
| 
