아이폰 탈옥 없이 인앱 결제시스템 해킹되다

게임에서 아이템(캐쉬 등)을 구매하거나 특정 앱에서 무료버전을 유료버전으로 전환할 때면 인앱(In-App, 어플 내 결재) 결재를 요구하는 경우가 있습니다. 탈옥의 경우 IAP Cracker라는 트윅(모든 인앱 결재가 해당되지 않으며 거의 안되는 경우가 많음)을 통해 인앱 결재 없이 결재내역을 올릴 수가 있습니다.

그런데, 이번에 ZonD80 러시아 해커가 자신의 블로그인 i-ekb.ru 를 통해서 탈옥 없이 인앱 결재를 해킹하는 방법을 공개했습니다. 이 내용은 유명 웹진인 9to5MAC에서 최초로 보도했고, iDB(via 1, 2), AppleInsider, MAC Rumors, The Loop, TheNextWeb 등 해외 외신들에 의해 일제히 보도됐습니다.

(9to5MAC측이 애플 측으로부터 빠른 조치를 요구하기 위해 보도한 이후, ZonD80이 공개한 동영상은 현재 유투브 http://www.youtube.com/watch?v=iSuo4xEucqE&feature=player_embedded 에서 ban 된 상태입니다.)

이 방법은 iOS 3.x 부터 6.0 까지 모두 해당되며, 두가지 인증(CA and in-appsotre.com)을 거친 후 WiFi 옵션에서 기기의 DNS 기록을 변경하는 단순한 방법으로 인앱 결재를 무력화 합니다. cf. 실질적인 piracy 행위에 관련된 부분은 어떠한 질문도 받지 않습니다.

모든 앱이 이 방법대로 되는 것은 아니지만, 애플과 개발자들에게 공식적으로 부각된 해킹 환경에 관한 첫번째 사건이라는데 의미가 있겠습니다. 이전에도 IAP Cracker가 있었습니다만, 탈옥(jailbreak)을 요구하기 때문에 DRM 버그를 이용하여 DNS 변경을 통한 인앱 결재 해킹만큼 이슈가 되지는 못했습니다.

The official in-app purchasing method with server product delivery.

애플은 이 내용이 보도되자 마자 즉각적인 조치에 들어갔고, ZonD80은 새로운 DNS를 공개했습니다. 오픈소스인 안드로이드OS의 piracy 행위를 보자면 블랙마켓 Alpha, Ndoo Market 처럼 아예 마켓에서 결재 정보를 지워버립니다. 구글의 이같은 골치를 애플도 겪어야 할지도 모르겠습니다. 분명한건, "piracy 행위 = 범죄" 이며 혹시라도 이 방법에 관심이 있다면 애플의 특성상 계정 정지(ID ban) 등 불이익이 있을 수 있다는 것을 반드시 기억하길 바랍니다.

▲ T.B의 SNS 이야기 블로그의 모든 글은 저작권법의 보호를 받습니다. 어떠한 상업적인 이용도 허가하지 않으며, 이용(불펌)허락을 하지 않습니다.

▲ 사전협의 없이 본 콘텐츠(기사, 이미지)의 무단 도용, 전재 및 복제, 배포를 금합니다. 이를 어길 시 민, 형사상 책임을 질 수 있습니다.

▲ 비영리 SNS(트위터, 페이스북 등), 온라인 커뮤니티, 카페 게시판에서는 자유롭게 공유 가능합니다.

T.B의 SNS이야기 소식은 T.B를 팔로윙(@ph_TB) 하시면 실시간으로 트위터를 통해서 제공 받을 수 있습니다.