"피해액만 150만원이에요. 제가 사놓은 문화상품권 쓰려고 보니 '사용완료'라고 뜨더라고요."

최근 온라인 쇼핑몰 G마켓에서 발생한 가입자 계정 도용 사건으로 A씨는 이같은 금전적 피해를 봤다. 지마켓에서 구매해둔 문화상품권을 한 웹사이트에서 사용하려 했는데, 이미 누군가 사용 완료한 흔적을 발견했다는 것이다. 상품권을 현금화해 빼돌린 날짜는 지난 16일. A씨는 '탈퇴한 회원'으로 나왔다.

"150만원어치 상품권 털렸다"…곳곳서 피해 사례 속출


29일 업계에 따르면 A씨 사례와 유사한 개인정보 도용 피해자들이 상당한 것으로 파악된다. 대부분 지마켓에서 구매한 미사용 상품권이 사용 완료되거나, 지마켓 간편결제 서비스인 '스마일페이'로 결제되는 식이다. 피해는 이달 중순께 동시다발적으로 발생한 것으로 알려졌다.

소셜네트워크서비스(SNS)와 온라인 카페 등을 중심으로 피해를 입었다는 글이 쏟아지고 있다. 피해액은 5만원, 10만원 등 소액부터 150만원 넘는 금액까지 다양한 것으로 추정된다. 한 누리꾼은 "지마켓에서 구매한 상품권이 18시간만에 사용 완료됐다. 50만원은 액땜하기에 너무 (액수가)크다"며 "경찰서에 가서 신고접수했다"고 했다.

200명 가까운 피해자들이 '지마켓 해킹관련 상품권 피해자 모임'을 꾸리고 카카오 단체 채팅방에서 피해 규모 확인 및 보상 신청 방법 등을 공유 중이다. 현재 지마켓은 상품권 도용 사례와 관련해 적극 피해 보상을 하겠다는 입장을 밝힌 상태다



정보기술(IT) 업계에 따르면 지마켓의 계정 도용 사례는 '크리덴셜 스터핑(Credential Stuffing)' 수법을 사용한 것으로 추정된다. 크리덴셜 스터핑이란 해커가 이미 유출됐거나 사전에 탈취한 아이디와 비밀번호를 무차별적으로 대입해 로그인을 시도하는 공격 방식이다. 대개 이용자들은 한 가지 비밀번호를 여러번 재사용하기 때문에 하나 계정과 연계된 비밀번호를 확보하면 여러 사이트에 로그인할 수 있다. 크리덴셜 스터핑 성공 확률은 0.1~0.2% 수준이다.


https://v.daum.net/v/20230129153102237