피드로 돌아가기
GeekNewsSecurity
원문 읽기
신용카드는 브루트포스 유형 공격에 취약함
3DS 부재와 정산 구조의 맹점을 이용한 카드 브루트포스 공격 분석
AI 요약
Context
전통적인 신용카드 정산 시스템이 승인과 정산을 분리하여 처리하는 구조적 한계 존재. 특히 미국 시장의 낮은 3DS 도입률과 소비자 보호법 기반의 면책 구조가 보안 투자 유인을 낮추는 병목 지점으로 작용함.
Technical Solution
- Card Account Updater 기능을 통한 카드 갱신 정보 자동 이전으로 카드 해지 후에도 결제 지속 가능성 유지
- 3DS(3D Secure) 인증 생략 시 CVV 및 PAN 번호 무차별 대입을 통한 Card Testing 공격 노출
- 결제 처리업체(Payment Processor)별 승인 규칙(Approval Rules) 설정 차이에 따른 보안 수준 불균형 발생
- 발급사(Issuer) 중심의 실시간 Transaction Monitoring 시스템 구축으로 사기 탐지 및 차단 수행
- 가상 카드(Virtual Card) 발행을 통한 서비스별 독립적 PAN 할당 및 지출 한도 제어로 피해 범위 최소화
실천 포인트
1. 결제 연동 시 3DS 인증 적용 여부 및 처리업체의 승인 규칙 커스터마이징 옵션 확인
2. 동일 IP에서의 다수 계정 로그인 및 카드 번호 입력 시도에 대한 Rate Limiting 적용
3. 서비스별 가상 카드 또는 일회용 토큰 기반 결제 시스템 도입 검토
4. 카드 갱신 시 디지털 지갑(Digital Wallet)으로의 정보 자동 업데이트 경로 차단 로직 확인