스타벅스, Credential Stuffing 공격으로... 일부 고객 충전금 탈취

지난 8월 19일(월) 오후에, 스타벅스의 홈페이지에서 Credential Stuffing 공격을 받은 것으로 확인됐으며, 성공한 ID의 'My 스타벅스 카드'에서 충전된 금액을 옮기는 수법으로 사용자의 돈을 훔쳤다.

 

스타벅스 카드는 1개의 ID에 여러 장을 등록할 수 있으며, 1장의 카드에 최대 550,000원까지 충전이 가능하다. 또한, 전용 카드 사용자에게는 12잔 구입 시 1잔의 음료를 무료로 제공하는 '별 적립' 제도를 운영하고 있는데 일부매장에서는 '현금 없는 매장'을 운영하며 신용카드나 스타벅스 카드 사용을 장려하고 있어 많은 사용자가 이용중인데 일부 고객은 수십만원씩 충전하여 사용하는 것으로 알려졌다.

 

스타벅스는 공격 대상이 된 계정의 패스워드를 초기화하고, 공격 사실을 피해자의 메일과 앱(Push 알람)으로 알렸다면서, 공격 피해사실을 관계당국에 알리고 수사에 최대한 협조하고 있다고 강조했다. 또한, 실제 금전적 피해를 입은 고객들에게는 100% 피해금액을 복구하겠다고 밝히며, 아직 수사가 진행중으로 피해자 수와 피해금액 규모는 밝힐 수 없다고 말을 아꼈다.