상품권 쓰려고 하니 '사용완료'…G마켓, '크리덴셜 스터핑' 피해 속출

G마켓에서 선결제로 구매만 하고 보관 중이던 미사용 상품권들이 '사용 완료'로 뜬다 등의 피해 사례가 속출하고 있다. 사진=G마켓 홈페이지 캡쳐

[스포츠한국 임현지 기자] "G마켓에서 구입한 상품권 사용하려고 봤더니 이틀 전에 누가 다른 캐시로 충전했다고 뜨네요", "저도 G마켓 상품권 쓰려고 하니 '사용 완료'라고 나와요", "저는 G마켓 컬처랜드 50만원이 털렸어요. 비밀번호 바꾸세요"

19일 온라인 커뮤니티 등에 따르면, G마켓에서 선결제로 구매 후 보관 중이던 미사용 상품권들이 '사용 완료'로 뜨는 등 피해 사례가 속출하고 있다. 사건 초반에는 해킹으로 추측됐으나, 정보를 도용하는 '크리덴셜 스터핑(Credential Stuffing)' 공격을 받은 것으로 나타났다.

커뮤니티에 피해 사실을 공유한 한 누리꾼은 "1월 초에 G마켓에서 구입한 5만원권을 사용하려고 보니, 이틀 전 누가 컬쳐캐시로 충전했다고 뜬다. 핀 번호를 노출한 적이 없는데 난감하다"고 토로했다.

G마켓 측은 해킹이나 개인정보 유출이 아닌 크리덴셜 스터핑 공격을 받은 것으로 보고 있다. 크리덴셜 스터핑 공격은 사전에 탈취한 사용자 계정(ID)과 비밀번호를 다른 웹사이트 등에 무작위로 대입해서 로그인이 성공하면 해당 사용자 정보를 빼가는 공격 수법이다.

G마켓 관계자는 "해커가 목적을 가지고 시스템 침투를 하는 해킹이나 개인정보 유출과는 다르다"며 "관련 계정에 대해 '블록' 처리해 로그인을 못 하도록 조치를 취했다"고 말했다.

이어 "고객들이 피해를 본 만큼 규모 파악, 보상 등 후속 조치를 논의 중"이라고 덧붙였다.

이번 사건과 관련해 개인정보보호위원회는 크리덴셜 스터핑 등이 확인된 쇼핑몰에 대해 조사를 진행하기로 했다. 위법사항 발견 시 개인정보 보호법에 따라 엄정히 처리할 예정이다.

양청삼 개인정보위 조사조정국장은 "온라인쇼핑몰 사업자들은 계정정보 도용 피해가 발생하지 않도록 도용 의심 사례가 없는지 사용자 접속기록 및 이용 현황을 철저히 점검해야 한다"며 "가능하다면 비밀번호 변경 안내, 2차 인증 등 계정정보 도용 방지를 위한 추가 조치를 취해 줄 것"을 당부했다.

 

스포츠한국 임현지 기자 limhj@hankooki.com