WebRTC 스키머, CSP 우회 이커머스 결제 데이터 대량 탈취 공격 확산

WebRTC 기술 악용 스키머가 콘텐츠 보안 정책 우회로 글로벌 이커머스 사이트에서 카드 정보 실시간 탈취

• 최신 WebRTC 스키머는 브라우저의 WebRTC API를 이용해 CSP(Content Security Policy)를 완전 우회하며, 악성 JavaScript 실행 없이 결제 폼 데이터를 실시간으로 외부 서버에 전송합니다.
• 이 공격은 HTTPS 쇼핑몰을 타깃으로 하며 WebRTC P2P 연결을 위장해 입력된 카드 번호, CVV, 주소 정보를 캡처하고 있으며 수백만 사용자 노출 위험이 있습니다.
• 스키머는 magstripe 데이터 형식으로 변환해 판매 가능하며, 기존 DOM 조작 탐지 솔루션을 무력화하는 신규 벡터로 이커머스 보안의 근본 한계를 드러냅니다.
• PCI DSS 준수 사이트조차 취약하며, 공격자들은 CDN과 유사한 도메인을 사용해 탐지를 회피하고 있으며 글로벌 결제 게이트웨이의 대응이 시급합니다.
• 이번 기법은 WebRTC의 보안 모델 결함을 악용하며, 브라우저 벤더와 W3C가 API 권한 재설계를 검토 중입니다.

이번 공격은 결제 보안의 새로운 우회 벡터를 제시한 점에서 주목할 필요가 있다. 단기적으로는 이커머스 사이트 WebRTC 차단을, 중장기적으로는 PCI 표준 개정을 지원해야 한다.

출처: The Hacker News