[생활보안 2] 12. 반값에 판다고?
그들이 개인정보를 훔치는 방법
최근 주변의 지인이나 친구들과 대화하다 보면 꼭 보안조직에서 근무하지 않더라도 확실히 예전에 비해 해킹문자나 피싱메일에 대한 대응이 좋아진 것을 느낄 수 있다. 몇 번씩은 직접 이상한 문자나 메일을 받아본 경험도 있을 것이고, 언론에서 발표하는 사고사례를 통한 간접 경험이 많으며, 직장에서도 교육을 통해 다양한 피해사례를 전파하고 있기 때문으로 짐작된다.
이런 변화는 피해를 예방한다는 측면에서는 좋은 일이나 악의적 해커나 피싱조직('그들'로 칭한다)에게는 굉장히 달갑지 않은 상황이다. 그들의 목적을 달성하기가 점점 어려워지고 있음을 뜻하고, 이미 노출된 수법을 버리고 새로운 방법을 개발해야 함을 의미하기 때문이다. 그런데 최근 상황을 보면 그들이 새로운 수법의 개발에 성공한 것으로 보인다. 그것도 아주 효과적이고 달콤한 수법으로 말이다.
인터넷을 통한 구매의 가장 큰 특징은 다양한 구매사이트 비교를 통해 한 푼이라도 싸거나 혹은 배달비를 받지 않는 등 구매자에게 유리한 조건의 쇼핑몰에서 구매할 수 있다는 점이다. 이런 구매방식은 이미 대중화되어 같은 제품의 쇼핑몰별 가격을 비교해 주는 사이트도 있고, 각 쇼핑몰들도 좀 더 저렴한 가격에 팔기 위해 사투를 벌이고 있기도 하다. 이왕이면 다홍치마라고 같은 물건을 더 싸게 살 수 있다면 누가 마다하겠는가. 그런데 한 푼이라도 더 아껴보고자 하는 사람들의 소망을 틈새시장으로 노리고 그들이 뛰어들었다. 엄청 저렴한 가격의 제품을 미끼로 던진 사기수법을 통해서다.
그들의 방식은 아주 간단하다. 쇼핑몰 입점판매자(물건의 판매를 목적으로 쇼핑몰에 등록된 개인사업자)로 등록한 뒤 다른 입점판매자가 등록하여 팔고 있는 제품의 정보를 통째로 복사한 뒤 같은 제품을 반값에 등록하여 판매하는 것이다. 물론 실제 제품을 보유하고 있지 않으므로 구매자(고객)에게 제품 배달은 이루어지지 않는다. 이런 판매방식을 통해 그들이 노리는 것은 두 가지다.
첫째, 제품 구매대금을 갈취하는 것이다. 최근에는 안전결제 방식을 통해 구매자의 물품 수령 확인 후 대금지불이 이루어지는 곳이 많아 실제 대금갈취까지 이어지기는 어렵다. 그러나 지불방식이 아직 취약한 작은 쇼핑몰이라면 대금 갈취에 성공할 가능성도 있다. 이 경우 제품은 받지도 못하고 돈만 지불되는 것이므로 명백한 사기행위에 해당한다.
둘째, 제품을 구매한 고객에 대한 배송을 명목으로 이름, 주소, 전화번호 등 고객의 최신 개인정보를 획득하는 것이다. 고객의 개인정보 탈취가 실제 그들의 주 목적인 셈이다. 이의 목적달성을 위해 사람들이 구매에 관심을 보이는 제품들을 조사하여 판매정보를 복사한 뒤 반값으로 재등록하는 방식을 통해 제품구매를 유도하고 있다. 고객의 제품구매 과정에서 제공된 개인정보는 실시간으로 해외에 위치한 그들의 서버로 넘어가게 되며, 설사 사기행위가 확인되어도 회수가 어렵다. 이렇게 수집된 개인정보는 다른 피싱공격 등에 활용되거나 여러 해커집단에게 판매되어 공격을 위한 도구로 사용된다.
안타깝지만 이런 그들의 사기행위 근절은 상당히 어렵다. 쇼핑몰 측에서 입점판매자에 대한 검증을 강화하는 것이 현재로서는 가장 안전한 방법이지만 이 역시 한계가 있다. 수많은 입점판매자들을 일일이 검증할 수 없기도 하거니와 해외에 위치한 입점판매자는 아예 확인이 불가능한 경우도 많다.
싼 게 비지떡인 경우에는 비지떡이라도 남는다. 요즘 반값에 팔리는 싼 것은 싸다고 그냥 덥석 사다가는 속아서 돈 날리고 개인정보 털리고 속상함만 남는다.
혹시 누군가가 반값에 팔겠다고 올린 것을 발견하였는가? 그렇다면 할 일은 하나, 의심하는 것이다.
