Sansec, Stripe API 악용 Magecart 캠페인 분석…결제 데이터 탈취 우회 경고

전자상거래 보안업체 Sansec의 6월 4일 연구 블로그에 따르면, Magecart 계열 공격자가 Google Tag Manager와 Stripe API를 함께 악용해 Magento·Adobe Commerce 결제 페이지에서 결제 정보를 탈취하는 방식이 확인됐다.

Sansec는 공격자가 실제 Google Tag Manager 컨테이너에 삽입한 코드를 통해 체크아웃 페이지에서 스키머를 실행하고, Stripe 고객 메타데이터에 저장된 악성 코드를 불러오는 구조를 분석했다고 밝혔다. 탈취된 카드 정보와 청구지 정보는 다시 Stripe 고객 객체의 메타데이터로 전송되는 방식으로 처리됐다.

이번 사례의 핵심은 공격자가 낯선 악성 도메인을 쓰지 않았다는 점이다. 온라인 쇼핑몰이 일반적으로 허용하는 googletagmanager.com과 api.stripe.com을 전달 경로로 삼으면, 콘텐츠 보안 정책이나 네트워크 필터가 비정상 트래픽을 놓칠 가능성이 커진다. Sansec는 Firestore를 비슷한 은닉 채널로 쓰는 변종도 함께 확인했다고 설명했다.

Sansec는 해당 스키머가 Magento와 Adobe Commerce의 결제 마크업을 겨냥해 카드번호, 만료일, CVV, 청구지 주소, 이메일, 전화번호, 주문 금액 등을 수집하는 구조라고 분석했다. 또한 공격에 사용된 Stripe 고객 레코드 생성 시점을 근거로 캠페인이 지난해 말부터 이어졌을 가능성을 제기했다.

다만 이번 분석은 보안업체의 위협 연구 결과이며, 특정 쇼핑몰 피해 규모나 Stripe 측 조치 여부는 공개 자료만으로 확정하기 어렵다. 온라인 판매자는 브라우저 자바스크립트에 Stripe secret key가 노출돼 있거나, 결제 페이지에서 api.stripe.com·firestore.googleapis.com으로 비정상 직접 호출이 발생하는지 점검할 필요가 있다.

출처: Sansec Threat Research https://sansec.io/research/stripe-api-skimmer-infrastructure