그룹아이비(Group-IB), 역대 최대 규모 월드컵 사이버 사기 '고스트 스타디움' 탐지

디지털 범죄를 조사, 예방 및 대응하기 위한 사이버 보안 기술 분야의 글로벌 선도적 기업인 그룹아이비(Group-IB, www.group-ib.com 지사장 김기태)는 오늘, 6월 11일 개막하는 2026 FIFA 월드컵을 겨냥하여 전 세계 600만 명의 팬을 표적으로 삼은 정교한 피싱 작전의 배후로 ‘고스트 스타디움(GHOST STADIUM)’을 지목됐다.

GHOST STADIUM은 중국어권 기반의 금전적 동기를 가진 위협 행위자로, 지금까지 기록된 것 중 가장 정교한 월드컵 피싱 작전을 수행 중이다. 이번 조사는 다크웹 마켓, 도메인 인프라, 지하 사기 공급망을 대상으로 수개월에 걸쳐 진행됐다.

숫자로 보는 위협의 실체

4,300개 이상

2025년 8월 이후 등록된 FIFA 공식 웹사이트를 사칭한 사기 도메인

300개 이상

‘GHOST STADIUM’ 위협 행위자가 운영하는 활성 피싱 도메인

6

축구 팬들을 대상으로 동시에 진행 중인 서로 다른 사기 수법

4

사기 생태계에서 확인된 독립적인 위협 행위자 수

7,100만~4억 7,400만 달러

프리미엄 티켓 사기만으로 추정되는 금전적 손실 (캠페인의 25%)

2,513

다크웹 시장에서 이미 유통 중인 FIFA 계정 인증 정보 쌍

130,000

이미 수집된 FIFA 관련 데이터가 포함된 정보 탈취 로그

11

GHOST STADIUM의 픽셀 단위 정밀 피싱 키트가 지원하는 언어

GHOST STADIUM: 300개 이상 도메인에서 피싱 캠페인 운영

GHOST STADIUM(Dragon Ticket으로도 추적됨)은 2025년 11월 처음 포착됐다. 중국 오픈소스 UI 라이브러리인 Layui 프레임워크 기반의 맞춤형 React 피싱 키트를 활용해 300개 이상의 도메인에서 중앙 집중식 피싱 캠페인을 운영하고 있으며, FIFA 공식 웹사이트는 물론 PingIdentity 싱글 사인온(SSO) 인증 흐름까지 픽셀 단위로 복제했다.

고스트 스타디움의 주요 특징은 다음과 같다.

• 눈으로는 구별이 불가능하다: FIFA 로그인, 회원가입, 결제 과정을 완벽하게 재현한다. 계정 정보를 탈취한 뒤 피해자를 실제 FIFA 사이트로 자동 전환해 침해 사실 자체를 감춘다.

• 300개 이상의 도메인이 하나의 키트로 운영된다: 동일한 HTML 구조와 공유 SSL 인증서를 통해 중앙에서 일괄 관리되는 대규모 인프라다.

• 페이스북 광고로 팬들에게 직접 접근한다: 300개 이상의 도메인 전체에 3개의 메타 픽셀 ID가 삽입돼 있다. 공격자는 메타 플랫폼에서 유료 광고를 집행 중이며, 공식 가격 대비 최저 60달러짜리 위조 티켓을 노출하고 카운트다운 타이머로 인위적인 긴박감을 조성한다.

• 5가지 결제 수단으로 어디서든 금전을 탈취한다: 직접 카드 결제, 제3자 결제 게이트웨이, P2P 앱(Chime, Nequi), 지역 결제 시스템(멕시코 FIXYD), 암호화폐(Alchemy Pay)까지 — 지역과 피해자 유형에 상관없이 전환율을 극대화하는 구조다.

• 피해 규모는 수십억 달러에 달할 수 있다: 티켓 사기에 신원 정보 탈취, 2차 사기까지 더하면 총 피해액은 가늠하기 어려운 수준이다.

동시에 진행 중인 6가지 사기 수법

GHOST STADIUM은 빙산의 일각이다. 그룹아이비는 이번 대회를 동시에 겨냥한 6가지 독립적인 사기 수법을 추가로 확인했다.

사기 수법

규모 / 영향

2차 피해

인증 정보 피싱 (가짜 SSO)

300개 이상의 도메인

FIFA 계정 탈취, 세션 탈취, 신원 도용

가짜 티켓 판매

추정 손실액 7,100만~4억 7,400만 달러 (프리미엄 등급)

암호화폐 수취 — 지불 거절 없음; 개인 식별 정보(PII) 수집

가짜 스트리밍 플랫폼

약 55개 도메인

구독료 수취; 악성코드/RAT 감염

위조 상품

약 56개 도메인 + 텔레그램

카드 정보 및 개인 식별 정보(PII)를 카드 사기 시장에 판매

사기성 베팅 및 카지노 사이트

약 32개 도메인

입금금 도난; 신원 도용을 위한 KYC 문서 판매

정보 탈취형 자격 증명 파이프라인

약 130,000건의 로그; 2,513쌍의 인증 정보

비밀번호, 쿠키, 암호화폐 지갑 대량 수집

배후의 4개 위협 행위자

• TA-1 — GHOST STADIUM: 주요 피싱 키트 운영자. 300개 이상의 활성 도메인에서 인증 정보 피싱과 가짜 티켓 판매를 동시 집행 중.

• TA-2 — 사전 등록 웨이브: 대회 개막에 맞춰 활성화할 목적으로 143개의 의심 도메인을 선점해 둔 대량 도메인 스쿼터. 스트리밍·상품·베팅 사기를 준비 중.

• TA-3 — 정보 탈취 운영자: Vidar, Lumma 등 악성코드를 활용한 대규모 감염 캠페인으로 FIFA 관련 인증 정보 약 13만 건을 이미 수집.

• TA-4 — 다크웹 키트 판매자(PhaaS): 2025년 중반부터 다크웹 포럼에서 사전 제작된 피싱 키트, 자동 티켓 구매 봇, 이메일 템플릿을 판매하는 지하 공급망. 개별 운영자가 차단돼도 캠페인이 계속 이어질 수 있는 구조다.

팬들에게 접근하는 경로

• 3개의 공유 메타 픽셀 ID를 활용한 페이스북·인스타그램 유료 광고 — 공격자의 핵심 트래픽 확보 수단

• 피싱 링크와 가짜 티켓을 유포하는 텔레그램·왓츠앱 채널

• 검색 엔진 포이즈닝 — fifa[.]tax, fifa[.]party, fifa-web[.]co 등 사기 도메인이 구글 검색 결과에 공식 사이트와 나란히 노출

• 리디렉터 도메인 — 주요 도메인이 차단될 경우 우회 경로로 기능하는 football-ticket[.]top, football-ticket[.]shop, football-game[.]shop, football-tickets[.]top 등 4개 도메인 운영 중

경기 시작 전에, 사기 인프라 구축 완료

단 한 경기도 시작되지 않은 시점에 이 규모의 사기 인프라가 이미 구축됐다는 사실은, 스포츠 이벤트 관련 사이버 범죄 역사에서 전례가 없다. 2026 FIFA 월드컵은 역대 최대 규모다. 미국·캐나다·멕시코 3개국 16개 도시에서 104경기가 열리며, 개막 후 15일 만에 티켓 예약만 1억 5,000만 장을 넘어섰다. 극심한 수요, 전 세계 관중, 높은 티켓 가격이 맞물리면서 사기꾼들에게 최적의 환경이 만들어진 것이다.

그룹아이비는 브랜드 보호 팀, 은행, 결제 서비스 업체, 법 집행 기관, 플랫폼 운영자 중 그 어느 단일 기관도 이 생태계를 혼자 해결할 수 없다고 강조한다. 그룹아이비의 ‘사이버 사기 융합(CFF, Cyber Fraud Fusion)’ 프레임워크는 탐지, 위협 인텔리전스, 사기 방지, 기관 간 정보 공유, 수사를 하나로 조율해 범죄의 속도와 규모에 맞서는 통합 대응 체계를 구축하도록 설계됐다.

그룹아이비는 월드컵 사이버 사기에 대응할 수 있도록 다음과 같은 권장 사항을 발표했다.

• 티켓은 fifa.com 공식 포털에서만 구매한다. 그 외 어떤 경로도 믿지 않는다.

• 암호화폐 결제를 요구하는 FIFA 티켓 제안은 100% 사기다. 공식 포털은 암호화폐 결제를 지원하지 않는다.

• 페이스북, 인스타그램, 텔레그램, 왓츠앱의 FIFA 티켓 광고는 절대 클릭하지 않는다.

• FIFA 계정에서 즉시 다단계 인증(MFA)을 활성화한다.

• 로그인 전 도메인 주소가 정확한지 반드시 확인한다.

• 의심스러운 사이트에 정보를 입력했다면, 즉시 FIFA 계정 비밀번호를 변경하고 은행에 연락한다.

원문 보도자료: https://www.group-ib.com/blog/ghost-stadium-football-fraud/