달찻잔

#멜론티켓 #EXO #엑소 #암표 #RT EXO 재오픈에서도 대기열 무력화가 가능했습니다. 오픈직후 회차별 잔여석 현황도 함께 첨부해드립니다. 아직 대기열에 갇혀 계신 분들은 예매하실 때 조금이나마 도움이 되었으면 좋겠습니다. 며칠 전 멜론티켓의 문제들을 공개하며 RT/인용등 널리 알려달라고 부탁드렸지만 크게 확산되지 않았고, 결국 패치 없이 이번 EXO 재오픈에서도 같은 문제가 반복됐습니다. 부정예매로 재오픈한 것조차 이상황이면 애초에 멜론티켓은 어떤 방법으로 부정이 이루어지는지 전혀 모르는 것입니다. 로그인하지 않아도 대기열에 진입하여 증폭시킬 수 있고, 팬클럽 선예매 자격이 없는 세션도 선예매 대기열을 점유할 수 있습니다. 정상 팬들은 뒤로 밀린 채 기다리고, 그 사이 업자들은 풀린 좌석을 싹쓸이해갑니다. 대기열 인증 처리 과정도 취약한 부분이 있으며, 좌석 구역 역시 봇이 원하는 구역을 미리 지정해 집중적으로 탐색하기 쉬운 구조입니다. 계정 보인인증에도 문제도 있습니다. 놀티켓처럼 매년 본인인증을 다시 요구하는 방식이 아니라, 멜론티켓은 한번 만들어진 계정을 장기간 별도의 재인증 없이 계속 예매에 사용할 수 있습니다. 정상 팬은 본인 계정 하나로 참여하는데, 업자들은 비정상적인 경로로 확보한 다수의 계정을 계속 동원할 수 있다면 애초에 같은 조건의 경쟁이라고 보기 어렵습니다. 구체적인 URL, 요청값, 인증정보나 재현 방법은 악용될 수 있어 공개하지 않았지만 개발팀이 확인해야 할 부분은 지난 글에서 대부분 짚었습니다. 그렇다면 지난번 대규모 부정예매 단속은 서버 로그를 바탕으로 업자들이 실제 사용하는 취약점을 정확히 타겟팅한 것이 맞았을까요? 결과를 보면 의문이 듭니다. 부정예매 티켓을 사후에 찾아 취소했지만, 정작 업자들이 이용하는 방법 자체는 아무런 조치가 없었습니다. 필요한 조치는 명확합니다. 비로그인 세션의 대기열 진입을 차단하고, 선예매는 자격 확인 후 대기열에 입장시켜야 합니다. 대량 세션을 통한 대기열 점유를 막고 대기열 인증 구조도 점검해야 합니다. 본인인증 역시 일정 기간마다 다시 진행하고, 팬클럽 가입자와 실제 예매 계정의 명의를 대조해야 합니다. 결국 이번에도 똑같았고, 다음번도 이런 환경에서 업자들이 가져가는 것만 보게될겁니다. 지난주에 작성한 멜론티켓 취약점을 알리는 글은 댓글에 다시 달아두겠습니다~ 보실 분들은 확인해보세요. 멜론티켓은 보여주기식 처리만 했고, 어디에 구멍이 뚫려있는지 전혀모르고 있습니다. 어쩌면 누가 잡아가도 수수료는 똑같으니, 굳이 귀찮게 해결할 이유조차 없을 수 있겠네요. ^^