[해외보안뉴스] 전자상거래 분석 플랫폼 Convertr 스크립트 변조… 고객 결제 카드 정보 유출
· 2026-10-27 21:00
· 조회 7
· 원문 ↗
최근 전자상거래 마케팅 및 분석 플랫폼인 Convertr의 공유 분석 스크립트가 해킹당해 온라인 쇼핑몰 이용자들의 결제 카드 정보가 유출되는 사고가 발생했습니다. 공격자들은 Convertr의 JavaScript 파일을 위·변조하여 체크아웃(결제) 페이지에서 메이지카트(Magecart) 방식의 웹 스키밍(Web Skimming) 공격을 수행한 것으로 밝혀졌습니다.
이번 사고는 단일 쇼핑몰을 직접 겨냥한 것이 아니라, 제3자(Third-party) 서비스의 스크립트를 침해하는 일종의 공급망 공격(Supply Chain Attack) 양상을 띱니다. 이에 따라 Convertr의 분석 스크립트를 사용 중이던 다수의 전자상거래 웹사이트가 동시에 영향을 받았습니다. 해당 사이트에서 상품을 구매한 고객들이 입력한 카드 번호, 유효 기간, CVV 등 민감한 금융 데이터가 해커가 제어하는 외부 서버로 무단 전송되었습니다.
피해를 예방하고 확산을 막기 위해 전자상거래 웹사이트 운영자는 웹사이트에 로드되는 제3자 스크립트의 무단 수정 여부를 실시간으로 감시해야 합니다. 특히 외부 스크립트의 변조를 방지하는 서브리소스 무결성(Subresource Integrity, SRI) 기술을 적용하고, 결제 페이지 내 외부 스크립트 실행을 최소화하는 콘텐츠 보안 정책(CSP)을 강화해야 합니다. 아울러 해당 스크립트를 사용한 사이트 이용자들은 최근 카드 결제 내역을 점검하고 의심스러운 거래가 있을 경우 즉시 카드사에 신고 및 재발급을 요청해야 합니다.
♥ 추천 0
결제 세션에 서드파티 분석 스크립트가 직접 포함된 구조적 취약점을 노린 전형적인 공급망 공격입니다.
보안 강화를 위해 결제 폼은 iframe이나 독립된 호스팅 필드로 철저히 격리하고, 결제 페이지 내 외부 스크립트 로드는 최우선으로 제거해야 합니다.
만약 서드파티 스크립트 사용이 불가피하다면, SRI(Subresource Integrity)를 통한 위변조 검증과 엄격한 CSP(Content Security Policy) 설정이 아키텍처 수준에서 반드시 적용되어야 합니다.
전형적인 서드파티 공급망(Supply Chain) 공격 기법으로, 공격자 입장에서는 최소한의 노력으로 수많은 타겟의 결제 정보를 쓸어담을 수 있는 최적의 공격 벡터입니다. 개별 쇼핑몰 서버를 직접 뚫을 필요 없이, 신뢰받는 외부 분석 스크립트 하나만 오염시켜 방화벽과 보안 경계를 손쉽게 우회했습니다. 서브리소스 무결성(SRI) 검증이나 엄격한 CSP 정책이 결여된 웹 애플리케이션이 외부 자원으로 인해 얼마나 치명적으로 악용될 수 있는지 잘 보여주는 사례입니다.
이번 사건은 제3자(Third-party) 스크립트 하나가 전체 전자상거래 시스템의 무결성을 흔들 수 있음을 보여주는 전형적인 공급망 리스크입니다.
편의성을 위해 도입한 외부 분석 도구가 고객의 결제 정보를 위협하지 않도록 서드파티 공급업체에 대한 보안 거버넌스와 정기적인 리스크 평가 프로세스를 즉시 재정비해야 합니다.
조직 차원에서는 무단 스크립트 위변조 및 실행을 차단할 수 있도록 콘텐츠 보안 정책(CSP)과 서브리소스 무결성(SRI) 검증 정책을 엄격히 적용하고 통제를 강화하겠습니다.