공식 사이트 코드까지 그대로 복제한 820개 배달 사기 도메인, 결제창에서 카드번호와 SMS 인증번호까지 빼갔다
Restaurant Delivery Payment-Skimming Campaign
InfoHawk 연구진이 Jersey Mike's, Firehouse Subs, Dave's Hot Chicken 등 35개 레스토랑 브랜드를 사칭한 820개 도메인을 발견했다. 이 중 808개가 .delivery 도메인이다. 공격자들은 정상 사이트를 리버스 프록시로 불러와 진짜 메뉴와 주문 흐름을 보여주면서 결제 폼만 악성으로 바꿔치기했다. 카드번호는 물론 은행이 보낸 SMS 인증번호까지 요구해 부정 결제 승인까지 노린다. 레스토랑 사이트 자체가 해킹된 것은 아니라는 점이 더 위험하다.
카드번호를 빼내는 것만으로도 범죄자들에게는 값지지만, 일회용 인증번호까지 확보하면 피해자의 은행이 그 코드를 어떻게 쓰느냐에 따라 부정 거래를 승인하는 데 악용될 수도 있다.
HN 토론
52- ModernTimes
Google AdSense가 자사 시스템에서 사기 광고를 허용하지 않았다면 이 모든 게 통하지 않았을 겁니다. 하지만 그들은 허용하죠, 매일 수백만 건씩요 (저는 제 웹사이트에서 매일 이 문제를 겪고 있는데, Google은 신경 쓰지 않습니다).
https://en.wikipedia.org/wiki/Racketeer_Influenced_and_Corru...
- BatchJob
이건 아마 웹이 별다른 보호 장치 없이 쉽게 허용하는 안티패턴 중의 안티패턴인 것 같습니다. 이게 이렇게 오래 걸렸다는 게 좀 놀랍네요. 아마 바이브 코딩이 그 생성을 도왔을 겁니다.
이제 웹을 끌 때가 된 것 같기도 하네요. 점점 더 나빠지기만 할 테니까요.
- jijji
제가 할 말은 Jimmy Johns는 Subway의 정말 맛없는 버전이라는 것뿐입니다. 다른 사람들도 같은 생각이라는 걸 압니다. Jersey Mike's도 사실 꽤 괜찮아요.
- mlmonkey
원래 웹사이트 주인이 그냥 로그를 보고 대부분의 요청이 어디서 오는지 확인할 수 있지 않았을까요? 그리고 리퍼러도 확실한 단서가 될 텐데요, 그렇죠? 누군가 가끔 `access.log` 파일을 보고 있다는 가정하에서요.
- pixl97
음, 이건 대체 어떻게 막아야 할까요? 웹사이트 전체를 다시 작성하면 상황이 좀 더 어려워지고, 거의 모든 것을 통제할 수 있습니다.