아마존이 최초 결제 카드인 경우 결제 가능한 카드인지를 확인하기 위해 카드사에 우선 1달러 결제 승인을 요청해 승인되면 이를 취소하고 본 결제를 진행하는 점도 이번에 타깃이 됐다.
해커들이 1달러로 결제 시도를 하면 카드사 입장에서는 아마존이 결제 가능 카드인지를 확인하려는 1달러 승인 요청인지 해커들의 빈 공격인지 구분하기가 쉽지 않다.
물론 이번 경우는 조기에 적발돼 추가 피해가 발생하지 않았다.
카드업계는 아마존과 같은 해외 가맹점은 빈 공격에 근본적으로 취약할 수밖에 없다고 보고 있다.
과거 국내 가맹점에서도 이와 유사한 빈 공격 사례가 있어 비밀번호 앞 2자리, 카드 뒷면 서명란에 기재된 CVC 번호 등을 입력하도록 개선 조치가 취해졌다.
한 카드사 관계자는 "빈 공격은 매우 원초적인 공격으로 사전 차단은 불가능하지만 공격 특성상 대량의 승인거절이 발생하므로 모니터링을 통해 대응하고 있다"며 "사용자가 해외에서 카드를 사용할 일이 없을 경우 '해외이용 차단 설정'을 해서 필요한 경우에만 해외결제를 하는 것이 좋다"고 말했다.