음식점 배달 주문 사이트를 사칭한 결제정보 탈취 캠페인

InfoHawk 조사에서 35개 음식점 브랜드를 사칭한 도메인 820개가 발견됨. 실제 주문 사이트를 복제해 결제정보를 빼내는 하나 이상의 연계된 공격 활동으로 보임 공격 사이트는 리버스 프록시로 실제 메뉴, 가격, 장바구니를 실시간 제공하고 결제 단계만 악성 양식으로 교체함. 이를 위해 정상 음식점 사이트를 해킹할 필요는 없음 가짜 결제 양식은 카드정보뿐 아니라 은행 SMS 인증 코드나 은행 앱 승인까지 요구함. 연구진은 운영자가 실시간으로 화면을 제어하면서 다른 거래의 3-D Secure 인증을 통과시키는 것으로 추정함 최초 조사 도메인에서만 Google 검색 광고 최소 47개와 광고주 계정 최소 46개를 확인함. 광고는 음식점 검색 결과를 모방하고 유사 도메인으로 이용자를 유도함 브랜드 서버에는 복제 사이트가 가져가는 페이지 요청이 남으므로, 다른 도메인에서의 사이트 로딩이나 실제 결제 제공업체에 도달하지 않는 주문 세션을 감시하면 조기 탐지에 도움이 됨 조사 범위와 사칭 대상 InfoHawk는 2026년 11월 초 두 차례 조사에서 음식점 브랜드 35개를 사칭한 도메인 820개를 확인함 808개는 .delivery, 나머지는 .com 또는 .shop을 사용함 대부분 브랜드 철자를 조금 바꾼 타이포스쿼팅 도메인이며, 등록일 또는 스캔일을 기준으로 활동 흔적을 집계함 사칭 도메인은 Jimmy John's 404개, Firehouse Subs 121개, Jersey Mike's 80개, Dave's Hot Chicken 67개에 집중됨 Marco's Pizza 24개, Waffle House 19개, Tropical Smoothie Cafe 15개, Torchy's Tacos 12개, Miller's Ale House 10개도 확인함 그 밖에 Chipotle, Red Lobster, Panda Express, Five Guys, Wingstop 등 여러 브랜드가 포함됨 조사의 출발점은 Jersey Mike's를 사칭한 mlckessejersstey[.]delivery 였으며, 구체적인 동작 분석도 이 사이트를 기준으로 함 다른 브랜드의 복제 사이트도 같은 키트를 사용하는 것으로 추정하지만, 모두 동일 운영자라는 증거는 없음 실제 사이트를 실시간으로 중계하는 구조 리버스 프록시가 피해자와 정상 음식점 서버 사이에서 요청을 전달하고 응답을 수정함. 메뉴, 가격, 영업시간, 장바구니가 실제 사이트에서 오기 때문에 ...