내 결제 카드가 범죄자의 디지털 지갑에 등록되어 있다면?
-
도난 카드의 모바일 지갑 등록에 관한 언급이 1년 사이 거의 3배로 늘었습니다.
-
도난 카드 가격의 중앙값은 10달러이지만, "디지털 지갑에 등록 가능한" 카드는 훨씬 높은 가격에 거래됩니다.
-
카드 정보에 개인정보가 더해지면 가격이 기존의 2배를 넘을 수 있습니다.
연구 개요
도난 결제 카드는 여전히 다크 웹에서 가장 많이 거래되는 품목인데, 범죄자들은 과연 어떤 카드에 돈을 쓸까요? 가치가 없다고 여겨져 대량으로 팔리는 카드와 프리미엄을 받고 거래되는 카드, 기준이 뭘까요?
이러한 질문에 답하기 위해 NordVPN과 NordStellar의 NordLayer Intelligence 연구진은 주요 암시장을 조사하고 해커 포럼과 Telegram 채널에서 수년간 오간 범죄자들의 대화 내용을 분석했습니다. 이번 연구는 도난 카드 거래가 어떻게 변화하고 있으며 앞으로 어떤 방향으로 나아갈지 보여줍니다.
변화하는 카드 사기 동향
NordVPN과 NordLayer Intelligence 연구진이 최근 다크 웹 마켓플레이스를 분석한 결과, 범죄자들의 수법이 달라지고 있는 것으로 나타났습니다. 다크 웹 포럼과 Telegram에서 도난 카드의 모바일 지갑 등록에 관한 언급이 지난해의 거의 3배로 늘었습니다.
이러한 언급은 단순한 말에 그치지 않습니다. "디지털 지갑에 등록 가능한" 카드의 판매 게시물은 물론, 일회용 보안 코드 탈취나 휴대전화의 "탭" 중계 도구 판매와 같은 관련 서비스 게시물도 증가하고 있습니다. 반면 오래된 결제 카드는 은행의 사기 탐지 시스템에 이미 포착되어 거래 가치를 대부분 잃어 가고 있으며, 기존의 마그네틱 스트라이프 복제 방식도 대부분의 칩 리더기에서는 거의 통하지 않습니다.
새롭게 주목받는 수법: 모바일 지갑으로 도난 카드 사용
Apple Pay나 Google Pay 지갑에 카드를 등록하면 보안 책임의 일부가 은행 자체 시스템에서 사용자 휴대전화로 넘어갑니다. 범죄자들은 아래와 같은 단계를 거쳐 이를 악용할 수 있습니다.
01
범죄자가 다크 웹에서 구매한 카드를 자신의 Apple Pay 또는 Google Pay 지갑에 등록하려고 시도합니다.
02
은행은 일반적으로 일회용 코드를 발급해 카드 소유자의 신원을 확인하려고 합니다.
03
범죄자는 사전에 설치한 멀웨어나 피싱 수법 등을 이용해 인증 절차를 무력화합니다.
04
카드 등록에 성공하면 범죄자는 비접촉식 결제, 기프트 카드 구매, 현금 인출로 최대한 이득을 챙기려고 서둘러 움직입니다.
범죄자들 사이에서 오간 대화에 따르면 공개적으로 판매되는 카드의 60~70%는 최초 사용 후 15~90분 이내에 결제가 일시적으로 거절되거나 차단될 수 있습니다. 하지만 범죄자들은 이를 "2026년에 현금화하는 가장 쉬운 방법. 3DS는 걱정할 필요도 없고… Google Pay나 Apple Pay에 등록하기만 하면 잔액을 전부 사용할 수 있다"라고 표현합니다.
해커들은 어떤 카드를 찾고 있을까요?
다크 웹 마켓플레이스에서 수집한 데이터를 분석한 결과, 범죄자들이 단순한 수치보다 사용 편의성을 점점 더 중요하게 여긴다는 사실이 드러났습니다. 가장 비싼 판매 게시물이라고 해서 반드시 카드 수가 가장 많거나 은행 계좌 잔액이 가장 큰 것은 아니며, 오히려 "바로 사용할 수 있는" 카드를 내세우는 경우가 많습니다.
다크 웹 판매자들은 예상 활성화 성공률에 따라 카드를 등급별로 분류하며, 활성화 확률이 30~60%인 카드는 "피시 등급(fish-grade)", 활성화가 거의 보장되는 카드는 "표준 등급(standard-grade)"이라는 용어를 사용합니다. 아이러니하게도 이들은 고객 만족도 중요하게 생각하는 것으로 보이는데, 조사 대상 판매자의 약 80%가 불량 카드에 대해 어떤 형태로든 환불이나 교환을 제공했습니다.
다크 웹에서 가져온 이 스크린샷들은 일부 내용을 가린 상태이며, 교육 목적으로만 제공됩니다.
카드 가격은 무엇으로 결정될까요?
도난 카드도 일반 상품과 마찬가지로 시장의 원리에 따라 거래되는 것으로 보입니다. 모니터링 대상 다크 웹 마켓플레이스에서 도난 카드 가격의 중앙값은 10달러였습니다.
카드 유효성
"매우 높은 품질"을 내세우는 카드 가격의 중앙값은 22달러로, 범죄자들이 이러한 카드의 사용 성공 가능성이 가장 높다고 믿기 때문인 것으로 보입니다. 일반적으로 "디지털 지갑에 등록 가능한" 카드는 연결된 계좌에 남아 있는 잔액의 3~5%에 해당하는 가격에 거래됩니다. 반면 이미 해지되었을 가능성이 높은 오래된 카드는 묶음당 약 2달러에 대량 판매되기도 합니다.
지역 및 유통량
카드 가격은 지역에 따라 크게 달라집니다. 이번 연구에서 확인된 전체 카드 판매 게시물 중 미국 카드에 관한 게시물이 70%를 넘었고, 이로 인해 판매자 간 경쟁이 치열해져 일반적인 가격이 약 10~12달러로 비교적 낮게 유지되었습니다. 다른 고소득 지역의 카드는 판매 게시물이 적고 가격도 높았던 반면, 아프리카 지역의 카드는 특히 가격이 낮았습니다.
추가 개인정보
개인정보는 그 자체로도 가치가 있으며, 연구진은 개인정보가 함께 제공되는 카드가 그렇지 않은 카드보다 가격이 더 높다는 사실을 발견했습니다.
예를 들어 조사 대상 중 가장 큰 마켓플레이스에서는 카드 소유자의 사회보장번호와 생년월일이 포함된 카드 한 장이 18.15달러에 판매되고 있었으며, 이러한 정보가 없는 카드의 가격 중앙값은 11.70달러였습니다. 신원 확인에 사용되는 정보가 더 많이 포함된 다른 카드는 23달러에 판매되고 있었습니다.
좀비 데이터: 죽은 카드의 부활
해지된(또는 "무효화된") 카드라고 해서 반드시 범죄자들의 마켓플레이스에서 사라지는 것은 아닙니다. 디지털 지갑 사기나 온라인 결제에 사용할 수 없더라도 이러한 카드에는 피싱이나 다양한 신원 도용 사기에 악용할 수 있는 중요한 개인정보가 담겨 있을 수 있습니다.
이번 연구에서는 사용할 수 없는 카드와 온전한 신원 정보를 묶은 "데드 풀즈(dead fullz)"가 건당 약 1달러에 거래되는 것으로 나타났습니다. 개인정보의 가치를 가늠하려면 "데드 풀즈"의 건당 가격을 이미 해지되었을 것으로 추정되는 오래된 카드의 대량 판매 가격(묶음당 약 2달러)과 비교해 볼 수 있습니다.
방법론
이 보고서는 9개의 다크 웹 마켓플레이스에 게시된 카드 판매 게시물 분석과 범죄자 포럼 및 Telegram 채널의 대화 내용 분석이라는 두 가지 연구 결과를 담고 있습니다.