2024-03-19 11:50 (화)
[정보보안 현장] CJ오쇼핑 “쇼핑몰에 최적화된 FDS 개발…고객과 서비스 안전 강화”
상태바
[정보보안 현장] CJ오쇼핑 “쇼핑몰에 최적화된 FDS 개발…고객과 서비스 안전 강화”
  • 길민권 기자
  • 승인 2017.08.07 17:09
이 기사를 공유합니다

최병훈 팀장 “FDS 개발, 궁극적으로는 정상적인 이용자 보호하기 위한 것”

▲ 최병훈 CJ오쇼핑 정보보안팀장. "FDS 도입을 통해 전체 서비스 리스크를 줄이고 2차 피해를 예방할 수 있을 것이다. 궁극적으로는 정상적인 이용자를 보호하기 위한 것”
▲ 최병훈 CJ오쇼핑 정보보안팀장. "FDS 도입을 통해 전체 서비스 리스크를 줄이고 2차 피해를 예방할 수 있을 것이다. 궁극적으로는 정상적인 이용자를 보호하기 위한 것”
금융기관에서 고객들의 전자금융 사기 피해를 실시간으로 예방하기 위해 도입하고 있는 이상거래탐지시스템(FDS. Fraud Detection System)을 인터넷쇼핑몰에 최적화된 시스템으로 개발, 도입해 사용하고 있는 기업이 있다. 바로 국내 대표 홈쇼핑 기업 ‘CJ오쇼핑’(대표 허민회)이다.

최병훈 CJ오쇼핑 정보보안팀장은 “쇼핑몰 전용 FDS는 지난해부터 자체 개발에 착수했고 현재 적용해 사용하고 있으며 계속 고도화 작업을 진행하고 있다. 해킹공격을 탐지한다기 보다는 CJ오쇼핑이 운영하는 인터넷쇼핑몰 ‘CJ몰’과 대표 전문몰들의 온라인 고객들의 금전적 피해를 줄이기 위해 개발하게 됐다”며 “쇼핑몰은 금융기관과 달리 장소와 시간에 상관없이 다양한 리스크들이 발생할 수 있다. 예를 들어 중국에서 떠도는 한국인 계정 정보를 사용해 오쇼핑 고객들에게 피해를 줄 수 있는 리스크를 사전에 차단하기 위함이다. 이를 위해 금융권 FDS를 참고했지만 온라인 쇼핑몰에 특화된 관점에서 개발하게 됐다”고 설명했다.

CJ오쇼핑 정보보안팀이 개발한 FDS는 프로파일링 기반으로 화이트리스트 및 행위기반으로 사전에 리스크를 차단하는데 초점을 맞췄다. 이용자의 페이지뷰와 접속시간을 비롯해 로그인, 주문, 결제 등 모든 영역에서 어뷰징될 수 있는 부분을 프로파일링해서 의심되는 이용자를 리스크 고객으로 구분하고 특별 모니터링 및 결제단계에서 다양한 인증을 요구하며 허들을 설치해 실제 고객이 입을 수 있는 피해를 사전에 예방하기 위한 목적으로 설계됐다.

최 팀장은 “현재 현업에서 계속 활용하며 고도화 작업을 진행하고 있다. 다른 곳에서 유출된 계정을 이용해 접속을 하는 이용자를 추적해 실제 고객에게 피해가 가지 않도록 예방을 하고 있다”며 “현재 1단계 수준이지만 최종적으로 3단계 수준까지 끌어올릴 계획”이라고 밝혔다.

▲ CJ오쇼핑 사옥 전경
▲ CJ오쇼핑 사옥 전경
CJ오쇼핑 FDS는 관리자가 원하는 영역에서 원하는 목록을 자유롭게 뽑아 볼 수 있도록 액티브뷰 형태의 데시보드로 구성돼 있다. 이벤트 통계, 행동코드, 로그인 통계, 구매통계, 페이지뷰, 환불, 최소, 구매 등 관리자가 필요한 것을 자유롭게 구성해서 볼 수 있도록 돼 있다.

또한 군집화 시나리오도 만들 수 있다. 정상적인 군집 시나리오를 만들고 이를 벗어난 이상행위를 하는 군집들을 별도로 뽑아내 관리할 수 있다. 그리고 구매시간, 접속이력 등 이전 행위와 차이점을 찾아내고 주 단위로 어떻게 변화하는지 등 구매패턴을 분석해 종합적인 리스크 스코어를 적용하고 리스크 스코어가 높은 이용자는 이상행위자로 판단해 블랙리스트에 올릴 수 있다. 리스크가 높은 행위나 이용자가 발생하면 각 분야 관리자 및 보안관제팀도 함께 공유하도록 돼 있다.

최 팀장은 “해외에서 한 명이 여러 개 계정으로 접속을 하는 등 대입DB를 활용한 접속이 이루어질 경우 이를 자동으로 찾아내 관리자와 보안팀에 즉각 알람이 갈 수 있도록 준비하고 있다”며 “이런 과정을 통해 전체 서비스 리스크를 줄이고 2차 피해를 예방할 수 있을 것이다. 궁극적으로는 정상적인 이용자를 보호하기 위한 것”이라고 말했다.

이어 그는 “IP만 차단한다고 해결될 문제들이 아니다. ID기반으로 차단할 수 있어야 한다. 선량한 이용자들은 더 편리하고 안전하게 이용할 수 있도록 하고 악의적 이용자는 이용을 할 수 없도록 하는 것이 정보보안 팀이 FDS를 개발해 운영하는 최종 목적이다. CJ오쇼핑의 모든 고객들이 안전하게 사용할 수 있도록 가이드 역할을 해 나갈 것이다. 정보보안팀의 존재 가치는 바로 회사가 안전하게 서비스를 할 수 있도록 비즈니스 영속성을 유지시키는데 있다고 생각한다. 안전한 서비스를 위한 지속적인 코디네이터 역할을 보안팀이 해 줘야 한다”고 강조했다.

★정보보안 대표 미디어 데일리시큐!★


■ 보안 사건사고 제보 하기

▷ 이메일 : mkgil@dailysecu.com

▷ 제보 내용 : 보안 관련 어떤 내용이든 제보를 기다립니다!

▷ 광고문의 : jywoo@dailysecu.com

★정보보안 대표 미디어 데일리시큐 / Dailysecu, Korea's leading security media!★