“결제는 했는데, 돈은 안 냈습니다”
만화 앱 수익이 조용히 사라지는 인앱결제(IAP) 위·변조 이야기
“결제 로그는 정상인데… 매출이 이상합니다.”
월말 정산을 확인하던 어느 날, 플랫폼 운영팀의 회의실 분위기가 묘하게 가라앉았습니다. 인기 작품의 조회 수는 꾸준히 늘고 있었고, 유료 회차 오픈 시간마다 트래픽도 분명히 증가하고 있었습니다.
그런데 매출 그래프만 조금씩, 아주 조용히 내려가고 있었죠.
대규모 해킹도 아니었고, 서버 장애도 아니었습니다. 눈에 띄는 사고는 하나도 없었습니다.
문제는 나중에야 드러났습니다.
“결제는 됐는데, 실제로는 돈을 안 낸 사용자들이 있었어요.”
실제 발생한 문제 – 인앱결제는 어떻게 뚫렸을까?
조사 결과, 공격은 생각보다 교묘했습니다.
- 결제 완료 값을 앱 내부에서 조작
- 인앱결제(IAP) 성공 응답을 후킹으로 위조
- 코인·이용권을 무제한 생성
- 유료 회차를 무료처럼 반복 열람
이 공격의 무서운 점은 서버를 공격하지 않는다는 것이었습니다.
해커는 변조된 앱이나 루팅·에뮬레이터 환경에서 앱 실행 중 결제 로직만 살짝 건드렸습니다.
서버 입장에서는 “정상 결제 요청 → 정상 응답”처럼 보였고, 운영자는 눈치채기 전까지 매출이 새고 있다는 사실조차 몰랐습니다.
해커 입장에서는 ✔ 위험 낮고 ✔ 반복 가능하며 ✔ 장기간 수익을 낼 수 있는 아주 효율적인 공격 구조였습니다.
보안 붕괴 지점 – 서버는 정상인데 왜 문제가 생겼을까?
핵심 원인은 명확했습니다.
- 결제 검증을 서버만 믿고 있었음
- 앱 실행 환경이 변조됐는지 확인하지 않음
- 런타임 후킹·메모리 조작 탐지 부재
- 비정상 앱에서도 결제 로직이 그대로 동작
즉, “결제는 서버 문제”라는 고정관념이 앱 보안을 완전히 비워둔 셈이었습니다.
하지만 현실에서는 결제 버튼을 누르고, 응답을 처리하는 곳은 모두 사용자 단말의 앱 실행 환경입니다.
이 환경이 신뢰되지 않으면 결제는 언제든지 조작될 수 있습니다.
LIAPP 기반 인앱결제(IAP) 방어 전략
이 문제를 해결하기 위해 적용된 핵심은 LIAPP이었습니다.
LIAPP – 결제 로직 보호의 핵심
LIAPP은 결제를 “기능”이 아니라 “보호해야 할 자산”으로 다룹니다.
- 앱 위·변조 탐지
- 리패키징 앱 실행 차단
- 루팅·에뮬레이터 환경 탐지
- 런타임 후킹 프레임워크 감지
- 결제/구독 로직 변조 시 앱 종료
결제 로직이 변조된 순간, 앱 자체가 실행되지 않도록 차단
이 구조에서는 결제 완료 값을 조작할 기회 자체가 사라집니다.
적용 이후, 플랫폼에 생긴 변화
보안 적용 이후 결과는 매우 명확했습니다.
- 무료 이용권·코인 이상 증가 현상 사라짐
- 유료 회차 매출 정상 회복
- 장기적으로 누적되던 “설명 안 되던 손실” 제거
- 작가 정산 신뢰도 회복
- 내부 감사 대응 간소화
특히 인상 깊었던 점은 “큰 사고 없이 새던 돈이 멈췄다”는 것이었습니다.
이전에는 몰라도 손해, 알아도 증명하기 어려운 문제였다면 이제는 구조적으로 발생할 수 없는 상황이 된 것입니다.
운영팀의 솔직한 한마디
“해킹 당했다는 느낌이 아니라, 그냥 매출이 조금씩 줄어드는 느낌이어서 더 무서웠어요.”
“LIAPP 적용 후에는 ‘돈을 안 내고 보는 구조 자체가 불가능해졌습니다.’”
교훈 – 수익 보호는 선택이 아니라 전제 조건
만화 앱에서 수익은 단순한 결제 기능 위에 존재하지 않습니다.
- 앱이 변조되지 않았는지
- 실행 환경이 신뢰 가능한지
- 결제 로직이 런타임에서 보호되는지
이 모든 조건이 충족되어야 비로소 유료 콘텐츠 비즈니스가 유지됩니다.
수익 보호 없이는, 아무리 인기 있는 작품도 오래 갈 수 없습니다.
#만화앱보안 #웹툰수익보호 #인앱결제보안 #IAP보안 #결제위변조 #무료결제차단 #코인무한생성 #유료회차보호 #앱위변조 #런타임후킹 #에뮬레이터차단 #루팅차단 #모바일보안 #콘텐츠비즈니스 #플랫폼수익 #LIAPP #앱보안솔루션 #웹툰플랫폼
