'DoppelCart'라는 대규모 사기 네트워크가 11만 9천 개가 넘는 가짜 쇼핑몰 도메인을 운영하며 소비자의 신용카드 정보를 실시간으로 훔치고 있습니다. 이 가짜 사이트들은 SodaStream, Daniel Wellington 등 실제 브랜드의 상품 이미지와 설명을 그대로 복사해 최대 65% 할인을 미끼로 구매자를 유인합니다. 결제 단계에서 카드 번호·유효기간·보안코드·이름·연락처 등 모든 정보를 실시간으로 공격자 서버로 전송하며, 심지어 은행의 일회용 인증번호(OTP)까지 가로채 추가 보안 절차도 우회합니다. 현재 10만 5천 개 이상의 가짜 쇼핑몰이 여전히 운영 중이므로, 기업은 자사 브랜드가 사칭되고 있는지 확인하고 소비자에게 주의를 안내하는 것이 필요합니다.
독일 보안 스타트업 Nebty가 'DoppelCart'로 명명한 가짜 쇼핑몰 네트워크를 발견했다. 119,000개 이상의 도메인이 44,182개 실제 브랜드를 사칭하며, 현재도 105,000개 이상이 활성 상태다.
결제 시 카드 번호·유효기간·CVV·카드 소지자 정보·연락처·OTP가 실시간 탈취된다. 피해 규모는 기존 최대 가짜쇼핑몰 네트워크 'BogusBazaar'(75,000개 도메인, 약 85만 건 사기 거래)를 크게 초과한다.
96%의 사이트가 동일한 빌드 파일을 공유하고 27개 공용 커머스 백엔드에 연결된 조직화된 인프라로 구성됐다. 실제 기업 서버에서 이미지를 직접 불러오는 방식으로 정교한 위장이 가능하다.
Nebty가 주요 호스팅 사업자에 신고했으나 응답이 없었다. Nebty는 기업이 자사 브랜드 사칭 여부를 조회할 수 있는 검색 데이터베이스를 구축해 공개했다.
자사 브랜드가 DoppelCart에 사칭되는지 Nebty 데이터베이스로 확인하고, 고객 지원 채널에 가짜 사이트 신고가 들어오는지 모니터링해야 한다. .SHOP 도메인 및 대폭 할인 광고를 내세우는 유사 쇼핑몰에 대한 소비자 주의 공지도 필요하다.
본문
'DoppelCart'로 불리는 대규모 작전이 11만 9천 개 이상의 도메인을 이용해 결제 카드 정보를 훔치는 가짜 쇼핑몰 네트워크를 운영하고 있다.
도메인 대부분은 .SHOP 최상위 도메인(TLD)을 사용하며, 해당 TLD 전체 사이트의 2.72%를 차지한다.
독일 사이버보안 스타트업 Nebty가 DoppelCart를 발견했으며, 도메인 수 기준으로 공개 문서화된 가짜 쇼핑몰 클러스터 중 역대 최대 규모라고 설명했다. 75,000개 사이트를 운영하며 약 85만 건의 사기 거래를 기록한 것으로 추정되는 두 번째 규모의 'BogusBazaar'를 크게 앞서는 수치다.
Nebty의 최신 스캔 결과 DoppelCart 쇼핑몰 중 105,000개 이상이 여전히 활성 상태인 것으로 나타났다.
Nebty CEO Benedikt Scheungraber는 BleepingComputer에 DoppelCart로 확인된 쇼핑몰의 96%가 동일한 빌드 파일을 공유하며 27개의 커머스 백엔드로 연결된다고 밝혔다.
이 사이트들은 실제 기업의 상품 카탈로그·설명·브랜딩·이미지를 복사하고, 경우에 따라 실제 기업 서버에서 자산을 직접 불러오는 방식으로 정상 기업을 사칭한다.
Scheungraber에 따르면 이 가짜 쇼핑몰들은 44,182개의 서로 다른 브랜드를 모방하며, 브랜드별 복제 사이트 수의 중앙값은 2개다.
그러나 SodaStream, Velasca, CurrentBody, Daniel Wellington, Dreame, Horze, MOVA, SPARK PAWS 등 일부 브랜드는 각각 30개 이상의 가짜 쇼핑몰이 만들어지는 등 집중적인 표적이 됐다.
가짜 사이트들은 최대 65%의 대폭 할인을 내세워 저렴한 가격을 찾는 소비자를 유인한다.
DoppelCart 클러스터의 사기 쇼핑몰 중 하나
출처: BleepingComputer
Nebty가 DoppelCart 클러스터 내 여러 결제 페이지를 테스트한 결과, 결제 카드 및 카드 소지자 관련 민감 정보를 수집하는 코드를 발견했다:
- 카드 번호
- 유효기간
- 보안 코드(CVV)
- 카드 소지자 이름
- 이메일 주소
- 전화번호
- 실제 주소
Nebty가 BleepingComputer와 공유한 보고서에 따르면, 각 데이터 필드는 WebSocket을 통해 C2(명령 및 제어) 서버로 실시간 전송된다.
결제 코드는 피해자의 은행이 발급한 일회용 인증 코드(OTP)도 가로챌 수 있으며, 공격자는 이를 이용해 추가 보안 절차를 우회할 수 있다.
Nebty에 따르면 일부 가짜 쇼핑몰은 사칭 대상 브랜드의 실제 고객지원 이메일 주소를 표시하기 때문에, 물건을 받지 못한 피해자들이 실제 기업에 연락하는 사례도 발생하고 있다.
Scheungraber는 DoppelCart 사이트의 주요 호스팅 사업자에 연락을 시도했으나 응답을 받지 못했다고 밝혔다.
한편 Nebty는 기업들이 DoppelCart에 의한 자사 브랜드 사칭 및 남용 여부를 확인하고 적절한 대응 조치를 취할 수 있도록 검색 가능한 데이터베이스를 구축했다.
