신용카드 크래킹(Credit Card Cracking)은 온라인 결제 프로세스를 악용해 카드 유효기간이나 보안 코드 등 누락된 결제 카드 정보를 알아내려는 자동화된 결제 카드 사기의 일종입니다.
공격자는 이미 확보한 카드 번호(PAN, Primary Account Number)를 바탕으로 자동화된 요청을 반복적으로 전송해 추가 카드 정보가 결제 시스템에서 유효한 것으로 인정되는지 확인할 수 있습니다.
신용카드 크래킹은 기업에 심각한 위협이 될 수 있습니다. 악성 자동화 프로그램이 결제를 반복적으로 시도하면 결제 시스템에 과부하가 발생하고, 사기 관련 비용이 증가하며, 정상적인 고객의 결제 과정에도 불필요한 불편을 초래할 수 있습니다.
신용카드 크래킹은 어떻게 작동하나요?
카드 크래킹은 크게 다음 세 단계로 이루어집니다.
- 일부 카드 정보를 확보합니다. 공격자는 과거 데이터 유출 사고나 기타 불법적인 경로를 통해 불완전한 결제 카드 정보를 입수할 수 있습니다.
- 온라인 결제 기능을 악용합니다. 자동화 도구를 이용해 결제 또는 검증 엔드포인트에 반복적으로 요청을 보내고, 누락된 카드 정보를 추정하려고 시도합니다.
- 검증된 카드 정보를 부정하게 사용합니다. 유효성이 확인된 카드 정보는 결제 사기, 무단 거래 또는 범죄 시장에서의 재판매 등에 악용될 수 있습니다.
구체적인 공격 방식은 결제 시스템과 적용된 사기 방지 조치에 따라 달라질 수 있습니다.
보안 담당자가 특히 주의해야 할 징후는 결제 기능에 대한 비정상적이고 반복적인 요청입니다. 특히 여러 디바이스, 세션 또는 네트워크에서 발생한 다수의 결제 시도에 공통적인 특성이 나타나는 경우 면밀한 분석이 필요합니다.
카드 크래킹과 카드 테스팅(Carding)의 차이점
두 가지 모두 자동화된 결제 시스템 악용 행위에 해당하지만, 목적과 방식에는 차이가 있습니다.
| 부정행위 유형 | 주요 목적 | 일반적인 특징 |
|---|---|---|
| 카드 크래킹(Card Cracking) | 일부 정보만 알려진 결제 카드에서 누락된 정보를 알아내는 것 | 불완전한 카드 정보를 이용한 반복적인 검증 시도 |
| 카드 테스팅(Carding / Card Testing) | 이미 확보한 카드 정보가 유효한지 확인하는 것 | 반복적인 결제 승인 요청 또는 결제 시도 |
| 부정 현금화(Cashing Out) | 탈취한 결제 정보를 이용해 금전, 상품 또는 서비스를 취득하는 것 | 부정 구매 또는 무단 현금 인출 |
실제 공격에서는 하나의 공격 캠페인에 여러 유형의 결제 악용 행위가 함께 나타날 수 있습니다. 기업은 결제 위험 관리와 봇 탐지 체계를 모두 갖춰야 하므로, 이러한 공격 유형의 차이를 이해하는 것이 중요합니다.
OWASP 자동화 위협 프레임워크에서는 카드 크래킹을 OAT-010, 카드 테스팅을 OAT-001로 분류합니다.
자동화된 카드 크래킹 공격의 주요 징후
기업은 다음과 같은 의심스러운 패턴을 면밀히 살펴봐야 합니다.
- 결제 승인 실패 또는 검증 오류가 비정상적으로 급증하는 경우
- 소액 결제 시도나 완료되지 않은 결제 요청이 대량으로 발생하는 경우
- 연관된 세션, 디바이스 지문 또는 IP 네트워크에서 결제 요청이 반복적으로 발생하는 경우
- 요청 빈도, 접속 지역 분포 또는 결제 행동 패턴이 갑자기 변화하는 경우
- 여러 차례 결제가 실패한 뒤 소수의 거래만 성공하는 경우
단일 징후만으로 공격 여부를 확정하기는 어렵습니다. 정상적인 고객의 결제에 지장을 주지 않도록 사기 방지 담당자는 결제 서비스 제공업체의 위험 신호, 애플리케이션 로그, 행동 분석, 봇 탐지 결과를 종합적으로 검토해야 합니다.
신용카드 크래킹은 기업에 어떤 영향을 미치나요?
사기 위험 및 금전적 손실
무단 결제 활동은 차지백(결제 취소 및 대금 환수), 조사 업무 증가, 결제 처리 비용 상승, 거래 분쟁 등의 문제로 이어질 수 있습니다.
결제 시스템 성능
자동화된 요청이 반복적으로 발생하면 결제 엔드포인트의 부하가 증가해 운영 비용이 상승하고, 실제 고객의 결제 경험이 저하될 수 있습니다.
고객 신뢰
오탐, 결제 실패, 실제 사기 피해는 정상적인 고객의 구매 의욕을 떨어뜨리고 브랜드 평판을 손상시킬 수 있습니다.
운영 관리의 복잡성
의심스러운 활동을 조사하기 위해 보안팀과 결제 담당팀은 매입사, 결제 서비스 제공업체, 내부 사기 탐지 시스템 담당자 등과 협력해야 할 수 있습니다.
신용카드 크래킹을 예방하는 방법
효과적인 다계층 방어 전략은 악의적인 자동화 활동을 차단하면서도 정상적인 고객에게 불필요한 불편을 주지 않도록 설계해야 합니다.
1. 악성 결제 자동화 활동 탐지
봇 탐지 및 행동 분석 기술을 활용해 결제 페이지, 결제 양식, API 엔드포인트에서 발생하는 스크립트 기반 자동화 활동을 식별합니다.
IP 주소에만 의존하지 말고 여러 세션과 디바이스에서 나타나는 활동을 종합적으로 분석해야 합니다.
2. 위험 기반 요청 속도 제한 적용
과도하거나 의심스러운 결제 시도를 제한하는 동시에 정상적인 고객이 원활하게 구매를 완료할 수 있도록 합니다.
요청 속도 제한을 설정할 때는 애플리케이션의 특성에 따라 세션, 계정 식별자, 디바이스 특성, 요청 패턴 등을 종합적으로 고려해야 합니다.
3. 결제 서비스 제공업체의 사기 방지 기능 활용
신뢰할 수 있는 결제 처리업체와 협력해 적절한 검증 및 사기 탐지 조치를 적용하고, 결제 승인 실패 현황을 모니터링하며, 의심스러운 활동에 대한 경고를 검토합니다.
추가 인증 절차는 위험 수준에 따라 적용해야 하며, 관련 결제 보안 요구사항을 준수해야 합니다.
4. 의심스러운 행동 모니터링 및 조사
결제 승인 결과, 거래량, 결제 오류율의 변화를 지속적으로 추적합니다.
결제 이벤트를 웹사이트 및 API 보안 모니터링 데이터와 연계해 분석하면 잠재적인 공격 캠페인을 조기에 탐지할 수 있습니다.
5. 정상 고객 보호
위험 신호에 따라 필요하다고 판단되는 경우에만 적절하게 조정된 추가 인증 절차 및 기타 보안 조치를 적용합니다.
오탐 발생 여부를 검증하고, 인증에 실패했을 때 불필요한 상세 정보가 외부에 노출되지 않도록 해야 합니다.
CDNetworks Bot Shield는 어떻게 도움이 되나요?
전자상거래 기업에서 봇 관리 솔루션은 결제 및 구매 프로세스 앞단에 추가적인 보안 계층을 구축하는 역할을 합니다.
CDNetworks Bot Shield는 봇 트래픽 가시성 확보, 행동 기반 탐지, 디바이스 기반 위험 신호 분석, 설정 가능한 요청 속도 제한 및 추가 인증 조치 등의 기능을 제공하여 의심스러운 자동화 요청을 식별하고 완화할 수 있도록 지원합니다.
개별 거래에 대한 위험 판단에는 결제 서비스 제공업체의 사기 방지 기능이 여전히 필요합니다.
신용카드 크래킹에 대해 자주 묻는 질문
카드 크래킹과 카드 테스팅은 같은 것인가요?
완전히 같지는 않습니다. 카드 크래킹은 누락된 결제 카드 정보를 알아내는 것을 목적으로 하는 반면, 카드 테스팅은 일반적으로 이미 확보한 카드 정보가 유효한지 확인하는 행위를 의미합니다.
실제 공격에서는 두 가지 방식이 함께 사용될 수도 있습니다.
CAPTCHA만으로 카드 크래킹을 막을 수 있나요?
아닙니다. CAPTCHA와 같은 추가 인증 절차는 다계층 방어 전략의 일부로 유용할 수 있지만, 고도화된 자동화 공격과 오탐 위험을 고려하면 이것만으로는 충분하지 않습니다.
기업은 행동 기반 분석, 요청 속도 제한, 지속적인 모니터링, 결제 사기 방지 조치 등을 함께 활용해야 합니다.
기업은 어떤 시스템을 우선적으로 모니터링해야 하나요?
결제 페이지와 결제 엔드포인트, 사기 탐지 및 결제 승인 로그, API 요청 패턴, 봇 탐지 신호, 정상 고객의 결제 과정에서 발생하는 사용자 경험 등을 우선적으로 모니터링하는 것이 중요합니다.
