[해외보안뉴스] 빅커머스, 서드파티 'Ribon' 앱 계정 탈취로 인한 쇼핑몰 데이터 유출 경고
· 2026-09-21 22:00
· 조회 19
· 원문 ↗
글로벌 전자상거래 플랫폼 빅커머스(BigCommerce)가 서드파티 애플리케이션 개발사인 Ribon의 계정 정보 유출로 인해 다수의 온라인 쇼핑몰에 악성 스크립트가 주입되고 데이터가 유출되는 사고가 발생했다고 판매자들에게 긴급 경고했습니다. 공격자들은 탈취한 Ribon 앱의 자격 증명을 악용해 빅커머스 기반 온라인 스토어에 무단 접근한 뒤 악성 코드를 성공적으로 삽입한 것으로 밝혀졌습니다.
이번 침해 사고는 빅커머스 자체 시스템의 취약점이 아닌 연동된 외부 서드파티 앱의 계정 관리 소홀로 인해 발생했습니다. 공격자들은 확보한 권한을 통해 쇼핑몰 웹사이트에 결제 정보를 탈취하는 웹 스키밍(Web Skimming) 악성 스크립트를 주입했습니다. 이에 따라 해당 Ribon 앱을 설치해 사용하던 쇼핑몰 방문자 및 구매자의 개인정보와 신용카드 등 금융 정보가 유출되었을 위험이 매우 높은 상황입니다.
빅커머스 측은 즉각적인 조치로 영향을 받은 Ribon 앱의 연동 접근 권한을 차단하고 유출된 자격 증명을 전면 무효화했습니다. 피해가 우려되는 판매자는 스토어 내 소스 코드에 무단 주입된 스크립트나 의심스러운 파일이 존재하는지 즉시 점검해야 합니다. 또한 모든 플랫폼 및 연동 서비스의 관리자 비밀번호를 변경하고, 다중 인증(MFA)을 활성화하며, 불필요한 서드파티 앱의 권한을 엄격히 제한할 것이 권고됩니다.
♥ 추천 0
서드파티 앱 권한 탈취를 통한 악성 스크립트 주입은 웹 스키밍(Magecart) 스타일 공급망 공격의 대표적인 사례입니다.
개발 관점에서는 강력한 CSP(Content Security Policy)를 적용하여 허가되지 않은 외부 도메인으로의 데이터 유출 및 스크립트 실행을 프론트엔드 단에서 차단해야 합니다.
아울러 서드파티 연동 아키텍처 설계 시 최소 권한 원칙(Principle of Least Privilege)에 따라 API 스코프를 제한하고, 정기적인 서드파티 토큰 로테이션 체계를 반드시 마련해야 합니다.
서드파티 애플리케이션의 자격 증명 탈취를 통한 전형적인 공급망(Supply Chain) 공격 패턴입니다. 메인 플랫폼의 보안이 견고하더라도 신뢰된 외부 앱을 악용해 악성 자바스크립트를 주입하면, 웹 스키밍(Magecart) 기법으로 민감한 결제 정보와 개인정보를 손쉽게 탈취할 수 있습니다. 외부 연동 권한의 과도한 부여와 클라이언트 사이드 스크립트에 대한 무결성 검증 미비가 결합했을 때 공격 효율이 극대화되는 대표적인 사례입니다.
이번 사건은 서드파티 애플리케이션의 자격 증명 탈취가 전체 서비스의 공급망 리스크로 직결될 수 있음을 보여주는 엄중한 경고입니다. 우리 조직 역시 연동된 모든 외부 서비스 및 API에 대한 접근 권한 정책과 자격 증명 관리 실태를 즉각 재점검해야 합니다. 외부 파트너의 보안 취약점이 곧 조직의 리스크가 되는 만큼, 서드파티 보안 평가 프로세스를 정례화하고 웹 스크립트 위·변조 탐지 거버넌스를 한층 강화하겠습니다.