선결제로 구매만 하고 보관 중이던 미사용 상품권 ‘사용 완료’ 확인
지마켓, 아이디와 비밀번호를 무작위로 대입해 개인정보 도용 추정
피해 예상 고객 계정 일시적 '블록'처리...사이버수사대 신고 안내
◆…사진:지마켓 로그인 화면 캡처
온라인 쇼핑몰인 지마켓에서 구매한 상품권이 도용된 것으로 확인되면서 이용자들의 피해가 잇따르고 있다.
19일 지마켓과 온라인 커뮤니티에 따르면 지마켓을 통해 구매한 미사용 상품권이 ‘사용 완료’됐거나, 지마켓 간편결제 서비스인 스마일페이를 통한 결제가 시도됐다는 피해 사례가 속출하고 있다.
현재 온라인 커뮤니티와 SNS에는 피해 글들이 계속해서 올라오고 있다. 피해를 입은 한 누리꾼은 "지마켓에서 샀고 50만원 컬쳐랜드 구입해 충전 전이다. 핀번호 노출한적도 없었는데 오늘 사라졌다"며 "컬쳐랜드 전화했더니 아이디 정지도 안되고 신고하란 소리만 한다. 실제로 잘 안쓰는 아이디라 도용될 비밀번호도 아닌데 지마켓 관리에 문제있는 거 아니냐"고 하소연했다.
◆…이용자들이 온라인 커뮤니티에 피해 글을 올리고 있다. 사진:온라인 커뮤니티 캡처
피해자 대부분은 지마켓에서 선결제로 구매만 하고 보관 중이던 미사용 상품권들이 ‘사용 완료’라고 뜬다고 호소하고 있다. 일부 이용자들은 온라인 쇼핑몰을 신뢰할 수 없다며 지마켓을 비롯해 다른 전자상거래 플랫폼을 탈퇴하거나 비밀번호를 바꾸면서 추가 피해를 막기 위한 대응에 나섰다.
이에 지마켓은 "외부 세력에 의한 의심스러운 서버 접근은 없었다"며 '크리덴셜 스터핑'을 원인으로 지목하고 있다. '크리덴셜 스터핑'은 아이디와 비밀번호를 무작위로 대입해 개인정보를 도용한 사이버 공격이다. 대다수 이용자들이 서비스에 동일한 아이디와 비밀번호를 쓴다는 사실을 악용한 것으로 보안업계에서는 수년 전부터 크리덴셜스터핑을 경고했다.
앞서 지난 2016년 '크리덴셜 스터핑'으로 인해 한 e커머스업체 고객들의 적립금이 모두 사라진 사례가 있었다. 2018년에도 5일간 우리은행 인터넷뱅킹 웹사이트에서 총 85만회 로그인을 시도해 우리은행 고객 5만6000명이 피해를 입기도 했다.
일각에선 2단계 인증단계가 없는 지마켓의 보안에 문제가 있다는 의혹을 제기하고 있다. 2차 인증이란 기존 ID와 비밀번호 외에 추가적인 방식으로 본인을 인증하는 방식이다. 예를 들어 로그인을 시도할 경우, 사용자가 사전에 등록해둔 스마트폰이나 이메일로 1회용 비밀번호를 발송하고, 이를 함께 입력해야 최종적으로 로그인이 되는 방식이다.
지마켓 측은 수사기관과 협조해 피해 정도를 파악하는 중이라며 피해를 입은 이용자에게는 사이버수사대 신고를 안내하고 있다. 또 피해가 예상되는 고객 계정을 일시적으로 '블록'처리해 로그인을 못하도록 조치하고 있다.
