사례 연구 // 전자상거래 보안
유럽의 유통회사에 대한 포괄적인 패시브 평가에서 공개된 데이터를 통해 23개의 보안 취약점, 14.7MB의 공개된 디버그 로그, 노출된 소스 코드 저장소, 유출된 API 자격 증명, 그리고 전체 조직 매핑이 확인되었습니다.
유럽의 유통 회사가 운영하는 여러 이커머스 도메인의 외부 보안 노출을 평가했습니다. 회사는 상업용 공유 호스팅 기반의 워드프레스 웹사이트를 운영 중이며, B2B 섬유 주문 플랫폼 및 브랜드별 스토어프론트를 포함한 다양한 비즈니스 기능을 수행하는 여러 서브도메인이 운영되고 있습니다.
평가 결과, 4개의 심각도 수준에 걸쳐 23개의 보안 이슈가 발견되었습니다. 이 중에는 62,000줄 이상의 서버 내부 정보를 포함한 공개 가능한 디버그 로그, 프로덕션 서버에 노출된 Git 저장소, 아카이브된 URL에 누출된 B2B API 인증 정보, 모든 자산에 걸쳐 설정되지 않은 보안 헤더, 이메일 도메인 구성으로 인한 간단한 스푸핑이 가능 등의 문제가 포함됩니다. OSINT 벡터를 통해 직원 332명이 식별되었으며, 조직 내에서 332개의 연결된 온라인 계정이 매핑되었습니다.
대상은 다양한 웹 자산, B2B 통합, 국제적 전자상거래 운영을 갖춘 중견 유럽 기업으로 나타났습니다. 평가 목적은 공개된 데이터의 패시브 관찰을 통해 적대자가 악용할 수 있는 외부 디지털 발자국을 완전히 매핑하고 보안 위험을 식별하는 것이었습니다.
| 발견 사항 | 중요도 | 영향 |
|---|---|---|
| 14.7MB 디버그 로그가 공개적으로 접근 가능 — 62,000개 이상의 라인에 서버 경로, 플러그인 목록, 고객 ID, 전체 오류 스택 추적이 포함됨 | CRITICAL | 내부 아키텍처 전체 노출 |
| 모든 프로퍼티에서 WordPress 사용자 열거가 활성화됨 — 관리자 사용자 이름 및 이메일 주소가 REST API를 통해 노출됨 | CRITICAL | 브루트 포스 공격 가능 |
| 모든 도메인에서 보안 헤더 미설정 — HSTS, CSP, X-Frame-Options, X-Content-Type-Options 없음 | CRITICAL | XSS, 클릭재킹, MIME 스니핑 취약점 |
| 프로덕션 서버에 Git 저장소 존재(.git 디렉터리 접근 가능) | CRITICAL | 하나의 설정 오류로 전체 소스 코드 노출 가능성 |
| 이메일 보안 미설정 — DMARC가 "none"으로 설정됨, DKIM 미설정, SPF가 soft-fail 사용 | CRITICAL | 도메인 위조 및 피싱 공격이 매우 용이 |
| CMS 구성요소 심각하게 오래됨 — 페이지 빌더가 12개 이상의 버전이 뒤처져 있으며 알려진 CVE 취약점 존재 | HIGH | 원격 코드 실행 및 XSS 위험 |
| FTP 서버 및 오래된 SSH가 보조 호스트에서 인터넷에 노출됨 | HIGH | 자격 증명 정보 유출, 알려진 SSH 취약점 |
| 아카이브된 URL에 B2B API 토큰 및 직원 이메일 노출 | MEDIUM | 비인가 B2B 플랫폼 접근 가능성 |
| 사용되지 않는 서브도메인이 타사 플랫폼을 가리킴 — 서브도메인 탈취 위험 | LOW | 브랜드 위조 가능성 |
가장 중요한 발견은 인증 없이 공개된 14.7MB 워드프레스 디버그 로그였습니다. 62,000개 이상의 라인을 분석한 결과는 다음과 같습니다:
서버 아키텍처: 호스팅 제공업체 고객 ID, 문서 루트 구조, 호스팅 유형 확인을 포함한 전체 파일 시스템 경로. 플러그인 목록: 14개 이상의 플러그인 식별 및 오류 수량 — 버전 호환성 문제로 치명적 오류를 발생시키는 플러그인과 44,000개 이상의 오류를 생성하는 비활성화된 플러그인 포함. 기술 스택: 테마 이름, 구매 출처(마켓플레이스), 자식 테마 구성, 다국어 설정. 비즈니스 인텔리전스: 오류 패턴을 통해 활성 개발 작업, 콘텐츠 관리 워크플로우, 제3자 통합 포인트 확인됨.
WordPress 사용자 데이터의 교차 분석, 이메일 패턴 분석, 이미지 메타데이터 추출, 플랫폼 계정 열거를 통해 평가를 통해 완전한 조직 구조를 매핑했습니다:
역할별로 식별된 4명의 개인 — 이사회, 콘텐츠 제작자, 외부 계약자 — 전문 플랫폼, 소셜 미디어, 결제 서비스, 프로젝트 관리 도구에 걸쳐 연결된 332개 온라인 계정을 보유하고 있습니다. 회사 로고의 이미지 메타데이터는 사용된 디자인 도구, 창작자의 이름, 광고 플랫폼 계정 ID 및 캠페인 날짜를 드러냈습니다. 역사적 URL 분석은 6년 이상의 사업 전환 과정을 기록했습니다 — 스포츠 용품에서 의료 용품, 현재 브랜드 운영까지.
평가 결과 3개의 호스팅 제공업체를 통해 4개의 고유 IP 주소에 걸쳐 9개의 서브도메인이 매핑되었습니다. 주 도메인은 단일 상업용 호스팅 IP를 공유하고 있습니다. B2B 섬유 플랫폼은 SSL 인증서를 통해 스테이징 환경의 내부 호스트명이 노출된 별도의 스테이징 서버에서 운영되고 있습니다. FTP 서버는 구식 SSH를 사용하는 세 번째 호스트에서 실행 중이며, 네 번째 서브도메인은 폐쇄된 제3자 쇼핑몰을 가리키고 있어 서브도메인 탈취 가능성으로 작용하고 있습니다.
전체 평가는 18개의 우선순위별 대응 조치를 포함한 구조화된 보안 보고서로 정리되었습니다. 즉각적인 조치(노출된 디버그 로그 삭제, 사용자 열거 차단, 보안 헤더 추가)에서부터 긴급한 수정(과거 버전 CMS 구성요소 업데이트, Git 디렉터리 제거, 이메일 인증 설정)까지 중기 개선(공유 호스팅에서 마이그레이션, FTP 액세스 종료, 비활성 서브도메인 해결)에 이르기까지 체계적으로 제시되었습니다.
이 평가에서는 패시브 OSINT 기법 (DNS 분석, 인증서 투명성, 역사적 URL 수집, 계정 열거, 메타데이터 추출)과 비침투형 스캔 (취약점 템플릿 매칭, 포트 식별, WAF 탐지)을 결합하여 수행되었습니다. 어떠한 exploit도 수행되지 않았으며, 자격 증명 테스트는 이루어지지 않았고, 공개된 콘텐츠 이외의 시스템에 접근하지 않았습니다.
웹 자산이 외부에 노출시키는 정보를 확인하려면 무료 평가를 요청하세요.