- 1픽셀 SVG 이미지에 악성코드 삽입, 크레딧카드 정보 탈취 신종 기법 확인
- 시각적·기술적으로 기존 탐지체계 회피, 보안상 큰 취약점 드러나
- Magento 등 주요 전자상거래 플랫폼을 중심으로 전방위 확산 우려
“겉으로 보이지 않는 작은 파일도 치명적 해킹 통로가 될 수 있다는 점을 상기해야 합니다.”
1. 사건 개요
2024년 6월, 사이버 보안 업계는 전자상거래 플랫폼 운영자들 사이에서 경각심을 불러일으키는 공격 사례를 확인했다. 약 100개의 Magento 기반 온라인 쇼핑몰이 해커들의 표적이 되어, 고객의 신용카드 정보를 탈취하는 악성코드에 감염된 것이다. 이번 공격은 기존에 알려진 웹 해킹 기법과 달리, 시각적으로 거의 인식할 수 없는 초소형 이미지 파일을 악용했다는 점에서 보안 체계를 우회하는 새로운 수법으로 주목받고 있다.
2. 해킹 세부 기법 분석
공격의 핵심은 ‘1픽셀 크기의 SVG(Scalable Vector Graphics) 파일’에 있다. SVG는 보통 벡터 그래픽을 표현하는 데 사용되는 XML 기반의 이미지 포맷으로, 웹 개발 분야에서 널리 활용된다. 그러나 공격자들은 이 합법적인 파일 형식을 악용하여 악성 JavaScript 코드를 숨기는 방식을 택했다.
공격 흐름을 살펴보면, 해커들은 웹 페이지의 체크아웃 과정이나 결제 폼이 위치한 곳에 1×1 픽셀 크기의 SVG 파일을 조용히 삽입한다. 이 파일은 HTML img 태그로 로드되며, 사용자 브라우저에서 렌더링될 때 내부에 숨겨진 자바스크립트 코드가 자동 실행된다. 해당 악성 스크립트는 사용자가 결제 단계에서 입력한 신용카드 번호, 만료일, CVV 등 결제 정보를 몰래 가로채 외부 서버로 전송한다.
기존의 자바스크립트 삽입 기법은 보안 스캐너로 비교적 쉽게 탐지할 수 있었지만, SVG 파일 내부에 스크립트를 숨기는 방식은 정적 분석이나 시그니처 중심 탐지 방식으로는 잘 드러나지 않기에 더욱 위험성이 높다.
3. 보안상 취약점
이 공격이 탐지되기 까다로운 이유는 세 가지로 요약된다.
- 시각적 은닉: 1픽셀 크기의 이미지는 웹페이지에서 사실상 식별이 불가해 일반 사용자는 물론, 관리자가 직접 페이지를 살펴도 쉽게 발견하지 못한다.
- 합법적 파일 형식의 악용: SVG는 표준 웹 이미지 포맷이자 많은 웹사이트에서 공식적으로 사용되어, 보안 도구들이 별도의 분석을 하지 않거나 악성 포함 가능성을 간과하기 쉽다.
- 동적 코드 주입의 우회성: 악성코드가 DOM에 직접 삽입되지 않고 SVG 파일을 통해 간접 로드되어, 네트워크 트래픽에서도 일반 이미지 요청처럼 보이기에 탐지가 어렵다.
4. 실 피해 및 영향
현재까지 100개 이상의 Magento 쇼핑몰이 위 공격 캠페인의 피해자로 공식 확인됐다. 피해 사이트별로 유출된 고객 정보의 수와 범위가 다르며, 전체 피해 규모는 아직 조사 중이다. 다만 결제 정보 유출이 발생했으므로, 해당 기간 중 결제한 소비자들은 카드사 신고, 비밀번호 및 카드정보 변경 등 신속한 대응이 권고된다.
이 공격의 파급력은 특정 플랫폼에 국한되지 않을 수 있다는 점에서 심각하다. Magento가 글로벌 전자상거래 플랫폼 시장에서 높은 비중을 차지하는 만큼, SVG 은닉 방식은 워드프레스(WordPress), 쇼피파이(Shopify) 등 다양한 CMS와 커머스 솔루션으로 전파될 가능성도 우려된다.
5. 대응방안 및 인사이트
본 공격 사례는 기존 웹 보안 모니터링 체계가 가진 한계를 명확히 드러낸다. 시그니처 기반 탐지에 주로 의존하는 도구는 합법 파일로 위장된 신종 은닉 기법 앞에서는 무력화될 수 있다. 이에 다음과 같은 대응이 필요하다.
- 웹사이트 운영자는 외부 리소스(IMG, SVG, CSS, 폰트 등 모든 파일형식)에 대한 요청 및 로딩 내역을 반드시 주기적으로 점검해야 한다.
- Content Security Policy(CSP)를 도입해 신뢰받는 도메인에서만 스크립트가 실행되도록 제한하는 것이 필수적인 방어 수단이 될 수 있다.
- 전자상거래 플랫폼 사용자는 소스코드 확인이 어렵더라도, 공식 보안 공지를 수시 확인하고 카드사 속보 서비스 등록, 신용카드 정보 주기적 변경 등 자기보호 수칙을 반드시 병행해야 한다.
6. 결론
1픽셀에 불과한 SVG 파일에 숨겨진 크레딧카드 탈취 악성코드는 범죄자들이 보안 체계의 작은 빈틈조차 교묘히 악용한다는 점을 명확히 보여준다. 기술 진화에 따라 해킹 트렌드도 동반 진화하고 있으며, 전자상거래 보안은 단일 방어로 대응하기에 충분하지 않다.
향후 e-Commerce 보안은 AI 기반 이상행동 감지, 제로 트러스트 적용, 고객 다단계 인증 등 다층 방어 중심 구조로 고도화될 전망이다. 안전한 전자상거래 환경 유지를 위해 플랫폼 제공사, 운영자, 소비자 모두가 보안 의식을 높이고 선제적으로 대응해야 할 시점이다.
- 1픽셀 SVG 악성코드 기법은 기존 보안 통제 한계를 노리는 교묘한 신종 수법임.
- 이 기법은 마젠토 등 주요 전자상거래 솔루션 뿐 아니라 다양한 CMS에 확산할 위험이 높음.
- 컨텐츠 보안 정책(CSP) 및 전방위 리소스 모니터링, 사용자 카드 보안관리 등 다층적 대응체계가 필요.