Shopify 이메일 인증 계정 탈취 사례 분석

보안 연구자 NullSecurityX는 Shopify에서 낮은 심각도 결함 두 개를 이어 붙여, 별도의 Shopify ID를 만든 적 없는 스토어를 통째로 탈취할 수 있는 경로를 찾았습니다. 보고된 포상금은 22,500달러로 알려져 있습니다. 핵심은 "한 곳에서 확인된 이메일"이라는 상태를 다른 곳에서도 그대로 믿어버린 신뢰 경계 설계였습니다.