- FIFA 공식 사이트 복제한 ‘고스트 스타디움’ 운영…최대 4억7400만 달러 피해 우려

 

디지털 범죄 대응 기업 그룹아이비(Group-IB)가 2026 FIFA 월드컵을 노린 대규모 피싱 캠페인 ‘고스트 스타디움(GHOST STADIUM)’을 적발했다. FIFA 공식 사이트를 사칭한 도메인 4300개 이상이 운영 중이며, 프리미엄 티켓 사기만으로도 최대 4억7400만 달러 규모의 피해가 발생할 수 있다고 밝혔다. 이번 조사는 다크웹 마켓과 도메인 인프라, 지하 사기 공급망을 대상으로 수개월 동안 진행됐다. 그룹아이비는 고스트 스타디움을 중국어권 기반의 금전적 목적 위협 행위자로 분석했으며, 현재까지 확인된 월드컵 관련 사이버 범죄 가운데 가장 큰 규모의 피싱 작전으로 평가했다.

 

FIFA 로그인 화면까지 복제한 피싱 인프라

고스트 스타디움은 2025년 11월 처음 포착됐다. 공격자는 리엑트(React) 기반 맞춤형 피싱 키트를 활용해 300개 이상의 활성 도메인을 운영하고 있으며 FIFA 공식 웹사이트와 핑아이덴티티(PingIdentity) 기반 싱글사인온(SSO) 인증 화면을 정교하게 복제했다. 이 피싱 키트는 로그인과 회원가입, 결제 과정을 실제 사이트와 유사하게 구현한 뒤 사용자가 입력한 계정 정보와 결제 정보를 공격자 서버로 전송한다. 정보 수집이 끝나면 사용자를 실제 FIFA 사이트로 이동시켜 침해 사실을 알아차리기 어렵게 만든다.  그룹아이비는 동일한 HTML 코드와 SSL 인증서가 여러 도메인에서 반복적으로 확인된 점을 근거로 단일 조직이 중앙에서 대규모 인프라를 운영하는 것으로 분석했다.

 

페이스북·인스타그램 광고로 피해자 유입

공격자는 소셜미디어 광고를 주요 유입 경로로 활용하고 있다. 조사 결과 300개 이상의 피싱 도메인에 동일한 메타 픽셀 ID가 삽입됐으며, 이를 통해 페이스북과 인스타그램에서 유료 광고를 집행한 정황이 확인됐다. 광고에는 공식 판매 가격보다 저렴한 티켓이 노출됐으며 카운트다운 타이머를 적용해 구매를 유도했다. 결제 단계에서는 신용카드와 제3자 결제 게이트웨이, P2P 결제 앱, 지역 결제 서비스, 암호화폐 결제까지 지원하며 국가별 사용자를 대상으로 금전을 탈취했다.

 

티켓 판매·계정 탈취·악성코드 유포 동시 진행

그룹아이비는 월드컵을 노린 6개 유형의 사기 캠페인이 동시에 진행되고 있다고 설명했다. 인증 정보 피싱과 가짜 티켓 판매를 비롯해 위조 스트리밍 서비스, 위조 상품 판매, 사기성 베팅 사이트, 정보 탈취형 악성코드 유포가 확인됐다. 특히 정보 탈취 악성코드 운영자는 FIFA 관련 데이터가 포함된 약 13만 건의 로그와 2513쌍의 인증 정보를 수집한 것으로 조사됐다. 위조 스트리밍 사이트는 악성코드와 원격제어 악성 프로그램(RAT) 감염을 유도하고 있으며, 위조 상품 판매 사이트는 카드 정보와 개인 식별 정보를 수집해 불법 거래 시장으로 유통하는 것으로 나타났다.

 

대회 개막 전 이미 사기 생태계 구축

그룹아이비는 고스트 스타디움 외에도 143개의 의심 도메인을 선점한 도메인 스쿼터 조직과 정보 탈취 악성코드 운영자, 피싱 키트 판매자를 추가로 확인했다. 피싱 키트와 자동 티켓 구매 도구, 이메일 템플릿이 다크웹에서 거래되면서 개별 사이트가 차단되더라도 사기 활동이 계속 이어질 수 있는 환경이 형성됐다는 설명이다. 공격자들은 페이스북과 인스타그램 광고 외에도 텔레그램·왓츠앱 채널, 검색 엔진 조작, 우회용 리디렉션 도메인을 활용해 피해자를 유인하고 있다. FIFA를 사칭한 일부 도메인은 검색 결과에서 공식 사이트와 함께 노출되는 것으로 확인됐다.

 

그룹아이비는 FIFA 티켓을 구매할 경우 공식 웹사이트에서만 진행하고 암호화폐 결제를 요구하는 판매 제안은 모두 의심해야 한다고 권고했다. 또한 FIFA 계정에 다단계 인증(MFA)을 적용하고 로그인 전 도메인 주소를 반드시 확인해야 한다고 밝혔다.

 

#그룹아이비 #GroupIB #고스트스타디움 #FIFA월드컵 #사이버보안 #피싱 #가짜티켓 #사이버사기 #월드컵보안 #FIFA #MFA