Uncovering Black-hat SEO based fake E-commerce scam groups from their redirectors and websites

논문 요약: 블랙햇 SEO 기반 가짜 이커머스 사기 그룹 규명

1. 문제 정의 (Problem)

• 배경: 사이버 범죄 연구자와 법 집행 기관의 노력에도 불구하고, 가짜 이커머스 (Fake E-commerce) 사기는 인터넷 사용자에게 여전히 심각한 위협입니다.
• 주요 기법: 공격자들은 블랙햇 SEO (Black-hat SEO) 기법을 사용합니다. 이는 해킹된 웹사이트 (리디렉터, Redirector) 에 악성코드를 주입하여 검색 엔진이 가짜 사이트의 유인 페이지를 정상적인 콘텐츠인 것처럼 인덱싱하도록 조작한 후, 방문자를 가짜 이커머스 사이트로 리디렉션하는 방식입니다. 특히 일본어 키워드를 활용한 '재팬즈 키워드 해크 (Japanese Keyword Hack)'가 빈번하게 사용됩니다.
• 연구의 필요성: 기존 연구는 제한된 소스에서 수동으로 수집된 악성코드 샘플에 의존하여 전체 그림을 파악하는 데 한계가 있었습니다. 따라서 일본 내 가짜 이커머스 사기를 수행하는 위협 행위자 (Threat Actor) 그룹의 규모와 활동 패턴을 체계적으로 규명할 필요가 있었습니다.

2. 연구 방법론 (Methodology)

이 연구는 일본 사이버 범죄 통제 센터 (JC3) 가 수집한 방대한 데이터를 기반으로 다음과 같은 단계를 거쳤습니다.

• 데이터셋:

  • 기간: 2022 년 5 월 20 일 ~ 2024 년 12 월 31 일 (약 2 년 6 개월).
  • 규모: 692,865 개의 가짜 이커머스 사이트 (105,286 개의 도메인).
  • 수집 방식: 검색 엔진 크롤러와 피해자 행세를 하여 리디렉터 (해킹된 사이트) 를 통해 수집된 데이터를 JC3 내부 검증 프로세스 (수동 분석 포함) 를 거쳐 정제함.
  • 분석 대상 엔티티: 도메인, 이메일 주소, Matomo 서버 (웹 분석 도구), 51.la ID (중국 기반 웹 분석 도구).

• 링크 분석 (Link Analysis):

  • 도구: Maltego 및 맞춤형 Python 스크립트 사용.
  • 연결 규칙:
    1. 도메인 → 이메일: 여러 사이트가 동일한 이메일을 공유하면 연결.
    2. 도메인 → Matomo 서버: 여러 사이트가 동일한 Matomo 서버를 공유하면 연결.
    3. 도메인 → 51.la ID: 여러 사이트가 동일한 51.la ID 를 공유하면 연결.
  • 그룹화 알고리즘: 그래프 기반의 연결성을 분석하여 초기 1,118 개의 그룹을 식별한 후, 도메인 수 200 개 이상, 사이트 수 2,000 개 이상의 임계값을 적용하여 17 개의 주요 그룹으로 필터링.
  • 세부 그룹 분리: 약한 연결 (단일 링크) 로 인해 하나의 그룹으로 합쳐진 경우를 분리하기 위해 엔티티 제거 알고리즘을 적용하여 하위 그룹 (Subgroups) 을 재분류.

• 시계열 분석 (Time Series Analysis):

  • 식별된 17 개 그룹의 활동 기간 (도메인 수 변화) 을 월별 단위로 추적하여 그룹의 지속성, 소멸, 그리고 새로운 그룹의 등장 패턴을 분석.

3. 주요 기여 (Key Contributions)

1. 대규모 데이터 기반 그룹 추정: 일본 내 블랙햇 SEO 기반 가짜 이커머스 사기를 수행하는 위협 행위자 그룹의 수를 대규모 데이터셋과 심층 분석을 통해 추정함.
2. 활동 그룹 식별 및 시계열 추적: 식별된 그룹들을 기반으로 최근 활동 중인 그룹과 소멸한 그룹을 구분하고, 그룹 간의 계승 관계나 활동 패턴 변화를 규명.
3. 새로운 사기 기법 연관성 입증: 소비자청 (CAA) 의 경보 사례를 통해, 기존 가짜 이커머스 사기 그룹들이 새로운 '환불 사기 (Refund Scam)' 기법을 공유하여 활용하고 있음을 사례 연구로 증명.

4. 연구 결과 (Results)

• 그룹 식별: 초기 1,118 개 그룹 중 규모가 큰 17 개의 주요 그룹을 최종 식별.
  • 이 중 G1-1 과 G2-1 이 가장 대규모로 활동 중이었으며, 전체 데이터의 약 80% 이상을 차지함.
  • 일부 그룹 (예: G1-1) 은 전체 기간 동안 지속적으로 활동했으나, 다른 그룹들은 4 개월 미만으로 단기간 활동 후 소멸함.
• 기술적 특징:
  • Matomo vs 51.la: 대형 그룹은 Matomo 서버를 주로 사용하는 반면, 소규모 그룹은 51.la ID 를 더 많이 사용하는 경향이 있음.
  • 공유 인프라: 여러 그룹이 동일한 Matomo 서버 도메인 (예: la51[.]xyz) 을 공유하는 경우가 발견되어, 그룹 간의 연관성이나 동일한 행위자일 가능성을 시사.
• 시계열 분석 결과:
  • G1-1 은 전체 기간 동안 활동 지속.
  • G2-1, G2-2 등 일부 하위 그룹은 장기 활동.
  • G3 하위 그룹들은 4 개월 미만의 단기 활동 패턴 보임.
  • 2024 년 말까지 G2-3, G9, G11 등 새로운 그룹들이 활성화됨.

5. 사례 연구: 환불 사기 (Refund Scam)

• 배경: 2025 년 2 월 일본 소비자청 (CAA) 이 공개한 '주문 상품 품절 후 환불 사기' 경보 사이트 4 개 분석.
• 분석 결과:
  • 경보에 오른 4 개 사이트 중 2 개는 데이터셋에서 정확히 매칭되었고, 2 개는 도메인 기반 연결성을 통해 G1-1과 G2-1 그룹에 속함이 확인됨.
  • 이 그룹들은 기존에 알려진 SEO 악성코드 (Malware B, E 등) 와도 연관성이 있음.
• 의미: 대형 가짜 이커머스 사기 그룹들이 새로운 사기 수법 (결제 앱 코드를 이용한 금전 이체 사기) 을 공유하고 있음을 시사하며, 새로운 사기 기법이 발생했을 때 이를 특정 그룹으로 귀속 (Attribution) 할 수 있음을 입증.

6. 의의 및 시사점 (Significance)

• 법 집행 지원: 식별된 17 개 그룹의 정보는 법 집행 기관이 사기 조직을 추적하고 단속하는 데 중요한 기초 자료로 활용 가능.
• 대응 전략:
  • Matomo 서버 모니터링: 대형 그룹들이 특정 Matomo 서버를 공유하므로, 의심스러운 Matomo 도메인 목록을 생성하여 가짜 사이트 탐지 지표로 활용 가능.
  • 51.la 한계: 51.la ID 는 수천 개로 급증하여 목록化管理가 어렵고, 대시보드 앱 등을 통해 통합 관리될 가능성이 있어 대응이 어려움.
• 연구 윤리: 개인 식별 정보 (PII) 는 모두 마스킹 처리되었으며, 리디렉터 (해킹된 사이트) 는 피해자 관점에서 접근하여 추가 피해를 방지함.

이 연구는 기존에 단편적이었던 블랙햇 SEO 기반 사기 조직의 구조를 대규모 데이터와 링크 분석을 통해 체계적으로 규명했다는 점에서 의의가 큽니다.