보안 연구원들은 브라질의 전자상거래 플랫폼인 Convertr를 겨냥한 사이버 해킹 캠페인을 밝혔으며, 공격자들은 체크아웃 프로세스 중 쇼핑객의 결제 카드 데이터를 훔치기 위해 공유 분석 스크립트를 조작하는 데 성공했습니다. 이번 사건은 민감한 데이터에 접근하기 위해 소프트웨어 공급망을 겨냥하는 '웹 스키밍' 공격의 전형적인 사례입니다.
공격 및 악용된 취약점 상세 정보
전자상거래 보안 전문 기업인 Sansec에 따르면, 해당 캠페인은 10월 24일에 감지되었으며 2024년 7월부터 활동해 온 브라질의 해킹 조직 소행으로 귀속되었습니다. 이 그룹은 Magento, OpenCart, WooCommerce 플랫폼을 사용하는 전자상거래 쇼핑몰들을 감염시키는 데 집중하고 있습니다. 이번 사건에서 공격자들은 Convertr가 자체 서버에서 호스팅하던, 구글 애널리틱스(Google Analytics)의 오픈소스 대안인 Plausible 도구의 추적 파일을 표적으로 삼았습니다.
공격자들은 인증 없이 원격 코드 실행을 허용하며 구버전의 Plausible 커뮤니티 에디션에 영향을 미치는 CVE-2026-8467 취약점을 악용한 것으로 의심됩니다. 서버가 침해되자마자 공격자들은 합법적인 추적 스크립트에 악성 코드를 주입했으며, 이 스크립트는 Convertr 플랫폼을 사용하는 모든 쇼핑몰의 결제 페이지에 자동으로 로드되었습니다.
탈취 수법의 진화 및 타겟 데이터
연구원들은 공격자들이 악성 코드를 빠르게 발전시켰다고 지적했습니다. 초기 버전은 일반적인 결제 필드 패턴을 사용한 반면, 10월 26일에는 Convertr 플랫폼의 API 필드 이름을 구체적으로 타겟팅하는 더 정교한 버전이 등장했습니다. 탈취된 데이터에는 결제 카드 번호, 만료일, CVV(보안 코드), 카드 소유자 이름뿐만 아니라 브라질 납세자 번호(CPF)도 포함되었습니다.
Convertr는 브라질 시장의 주요 플레이어로, 패션 부문의 수십 개 대형 브랜드에 대한 결제 시스템을 지원하며 약 20억 레알(약 3억 7,000만 달러) 규모의 매출을 관리하고 있습니다.
사용자와 상점에게 실질적으로 달라지는 점은 무엇인가?
Sansec은 Convertr가 악성 코드를 제거하고 Plausible 도구를 안전한 버전으로 업그레이드했으며, 피해를 입은 상점과 결제 서비스 제공업체에 통지하기 시작했다고 확인했습니다. 그러나 연구원들은 브라우저의 '캐시'로 인해 정화 작업 후에도 최대 24시간 동안 사용자에게 악성 스크립트가 활성 상태로 유지될 수 있다고 경고했습니다.
이 뉴스가 중요한 이유는 무엇입니까?
- 제3자 리스크: 이번 공격은 단순한 분석 도구의 취약점이 어떻게 전자상거래 플랫폼 전체의 대규모 재정적 침해로 이어질 수 있는지 보여줍니다.
- 업데이트의 중요성: 자체 호스팅되는 인프라의 취약점을 지속적으로 모니터링해야 할 필요성을 강조하며, 업데이트되지 않은 오픈소스 소프트웨어의 취약점이 악용되었습니다.
- 보안 권장 사항: 10월 24일 이후 해당 플랫폼과 연계된 사이트를 이용한 쇼핑객은 즉시 은행 내역을 확인할 것을 권장하며, 디지털 스키밍의 위험을 줄이기 위해 단일 거래 후 소멸하는 가상 결제 카드(Virtual Cards)를 사용하는 것이 좋습니다.