[단독] 티빙·29CM·강남언니 계정, 중국 쇼핑몰서 판매 중

[해커들의 쇼핑몰, 다크웹 추적기] ④오픈웹도 위험하다

중국 온라인 쇼핑몰 타오바오에서 판매되고 있는 티빙(TVING) 계정. 홍보 이미지에는 ‘한국 실명 인증’이라는 문구가 적혀 있다. 300건 이상의 누적 판매 건수, 별점 5점의 후기 등도 표시돼 있다. 타오바오 캡처

최근 개인정보가 대규모로 유출된 티빙과 29CM, 강남언니 등 국내 사이트의 계정들이 중국 온라인 쇼핑몰에서 판매되고 있는 것으로 파악됐다. 다크웹과 같은 은밀한 공간이 아닌 평범한 ‘오픈웹’에서도 한국인들의 개인정보가 버젓이 판매되고 있는 것이다. 판매 중인 계정들의 정확한 출처를 확인할 수는 없지만, 이미 개인정보 유출 사고를 겪은 사이트여서 불안감이 커지고 있다.

1일 국민일보가 한국인터넷진흥원(KISA)이 운영하는 ‘화이트햇스쿨’ 출신 위협분석그룹 ‘다크넷즈’와 함께 중국 오픈마켓 타오바오와 시엔위를 조사한 결과, 개인정보 유출 이력이 있는 국내 8개 사이트의 계정 판매글이 최소 33건 올라와 있는 것으로 확인됐다. 타오바오는 알리바바 그룹이 운영하는 중국의 대표적인 온라인 쇼핑몰이다. 시엔위도 알리바바 그룹이 운영하는 온라인 중고거래 플랫폼이다. 판매자들은 티빙, 넥슨, 인터파크, 올리브영, 무신사, 29CM, 강남언니, 예스24 등의 ‘한국 완제품 계정’을 판매한다고 올렸다. 완제품 계정이라는 건 본인 인증까지 마쳐 곧바로 사용할 수 있는 계정이라는 의미다.

타오바오에서는 모두 28건의 판매글이 확인됐다. 이들의 누적 판매 건수는 약 2000건으로 조회된다. 기존 판매글이 삭제됐거나 텔레그램 등으로 거래 장소를 옮겨가는 경우가 많기 때문에 실제 판매 건수는 그 이상일 것으로 추정된다. 거래 1건에서 여러 개의 계정을 대규모로 살 수도 있다. 시엔위에서 검색되는 판매글 5건의 총 조회수는 4000여회에 달한다. 한국 계정들은 최소 4.5위안(약 900원)부터 최대 388위안(약 7만8000원) 선에서 거래됐다.

기업별로는 넥슨이 11건으로 가장 많았다. 넥슨은 2011년 게임 이용자 1320만명의 개인정보가 유출됐었다. 올리브영·CGV 계정(CJ)이 7건, 인터파크 4건, 티빙과 무신사·29CM 각 3건, 예스24 3건, 강남언니 1건 순이었다. 누적 판매 건수도 넥슨이 1000건 이상으로 가장 많았다. 최근 대규모 유출로 논란이 된 티빙도 300건 이상의 판매 기록이 있었다. 티빙 판매글에는 ‘한국 실명 인증 계정’, 무신사·29CM 판매글에는 ‘로그인 보장’ 등의 문구가 적혀 있었다.

해당 계정들이 실제 유출된 계정인지는 알 수 없다. 하지만 대규모 개인정보 유출 이후 중국 오픈마켓에 유출 기업 계정의 판매가 급증하는 패턴은 반복되고 있다. 지난해 11월에도 쿠팡 대규모 개인정보 유출 사태 직후 타오바오와 시엔위 등의에 쿠팡 계정을 판매한다는 게시글이 올라와 정부가 직접 중국 측에 차단 요청까지 했었다.

이외에도 개인정보 유출 이력이 확인되지 않는 여러 한국 사이트의 계정들이 활발하게 거래되고 있었다. 네이버, 카카오 등 포털 사이트나 메신저의 계정을 판매하는 글도 쉽게 볼 수 있었다. 시엔위에서 판매되는 네이버 계정 판매글에는 “개인정보가 포함돼 있다”는 문구가 적혀있기도 했다. 사이트가 해킹돼 유출된 게 아니더라도, 대부분 한국인 명의를 불법으로 도용했을 가능성이 큰 것으로 의심된다.

‘실명인증’ 계정 수백개 진열대에

중국 온라인 쇼피몰 판매자들은 ‘한국 실명인증‘과 ‘휴대전화 번호 인증’이 완료됐다는 점을 강조했다. 곧바로 로그인 후 제한 없이 사용할 수 있다는 의미다. 인증이 완료된 계정은 값이 더 비쌌다. 인증이 되지 않은 넥슨 계정은 개당 4.5위안(약 900원)이면 구할 수 있었다. 반면 인증이 완료된 넥슨 계정의 가격은 최대 약 250위안(약 5만원)까지 뛰었다. 판매글 중 가장 비싼 계정은 올리브영 계정으로 건당 388위안(약 7만8000원)이었다.

판매자들은 ‘비밀번호 변경 지원’, ‘계정 정지 시 환불’ 같은 홍보 문구도 앞세웠다. 한 판매자는 자신을 ‘한국 실명 전문가’라고 소개했다. 강남언니 계정의 판매자는 ‘업계 경력 5년, 신용 보증’이라는 광고 문구를 달았다. 불법 계정 판매자의 신용은 확실한 A/S에서 나왔다. 티빙 계정 판매자 A에게 ‘로그인이 막히면 어떻게 되느냐’고 묻자 그는 “그런 문제는 걱정할 필요가 없다. 저희 계정은 최소 200개 이상 있다. 로그인이 안 되면 교환해주겠다”고 말했다. 

실명인증을 위해선 한국인 명의 개인정보가 필수적이다. 하지만 계정의 출처는 불분명했다. 티빙 계정 판매자 A에게 계정의 출처를 묻자 “가족 명의로 직접 가입한 것”이라고 주장했다. 하지만 ‘가족의 명의로 어떻게 200개의 계정을 만들 수 있느냐’는 질문에는 “정상적인 구매자가 아닌 것 같다”며 대화를 차단했다. 인터파크 계정 판매자 B는 “이 상품은 완성 계정이라 이미 인증이 완료돼 바로 로그인해서 쓰면 된다”며 “제 명의로 연동된 건 아니다”고 밝혔다.

개인정보 거래 및 명의도용을 통해 계정을 생산한다는 업자도 있었다. 판매자 C는 자세한 대화는 텔레그램에서 하자며 외부거래를 유도했다. 그는 “제휴 업체를 통해 실명 자료를 구매하고 있다. 매일 대략 수십개씩 구매한다”며 “실명 자료 때문에 계정을 원래 명의자가 되찾아가는 일이 생길 수는 있지만 그럴 가능성은 높지 않다”고 말했다. 그러면서 “첫 거래이니만큼 계정 하나를 만들어 보내주겠다. 확인해서 문제가 없으면 거래해도 된다“고 제안하기도 했다. 취재팀은 실제 계정은 받지 않았다.

개인정보 유출 이력이 있는 기업 외에도 여러 한국 기업의 계정이 판매 중이었다. 가장 많이 팔린 것은 온라인방송 플랫폼의 계정이었다. 판다TV 계정의 누적 판매수는 7000건이 넘었다. 숲 계정 판매글엔 700개가 넘는 리뷰가 달려 있고 그중 99.5%가 긍정적인 반응이었다. 한 구매자는 지난 18일 “나쁘지 않다. 성인방송도 볼 수 있다”고 적었다. ‘할인 행사’도 진행했다. 한 판다TV 계정 판매글은 원래 19.99위안(약 4000원)에서 8.99위안(약 1800원)으로, 숲 계정 판매글은 15.99위안(약 3200원)에서 7.99위안(약 1600원)으로 반값 세일 중이었다.

판매글에서 일부 개인정보가 유출되기도 했다. 인터파크 계정 판매글에는 본인인증을 진행하는 과정이 영상으로 담겨 있었다. 화면에는 누군가의 이름과 주민등록번호 앞자리, 휴대전화 번호가 고스란히 드러났다. 다만 해당 계정이 누구의 계정인지, 실제 존재하는 개인정보인지 등은 확인되지 않는다.

타오바오 계정 판매자들과의 대화 중 채팅방에는 ‘플랫폼은 인터넷 사용자 계정류 상품·서비스 거래를 금지하며, 위반이 확인되면 엄격히 처분한다’는 내용의 경고문이 떴다. 하지만 경고문은 아무 효력도 발휘되지 않았다. 판매자 D는 해당 경고 문구 뒤에 곧바로 “계정이 남아있다”고 말했다. 판매자들은 위법 여부를 개의치 않고 판촉을 이어가며 구매를 종용했다. 왜 한국 계정을 판매하냐는 글에 한 판매자는 “당신과 상관없는 일이다. 사람마다 각자의 선택이 있다”고 말했다. 

정부는 이런 위법적인 판매글을 모니터링하고 삭제 요청을 하고 있지만 불법 거래를 원천 차단하기에는 역부족인 상황이다. 김장겸 국민의힘 의원실이 KISA로부터 제출받은 자료에 따르면 30명의 인력이 500만개가 넘는 사이트를 모니터링하고 문제가 있는 경우 삭제 조치 등을 요청하고 있다. 타오바오와 시엔위는 그중 일부에 불과하다. KISA는 지난해부터 올해 8월까지 타오바오와 시엔위에서 약 3313개의 판매글을 탐지해 삭제를 요청했고, 이 가운데 3240건이 삭제됐다.

하지만 불법이 의심되는 계정 판매글은 꾸준히 올라온다. 삭제를 강제할 수 있는 수단도 사실상 없다. 개인정보보호위원회 관계자는 “문제가 되는 글을 발견해서 플랫폼에 삭제 요청을 하고는 있지만 삭제 의무가 있는 건 아니기 때문에 글이 안 지워지는 경우도 있다”며 “플랫폼과의 협력 관계를 통해서 판매글 삭제가 진행되고 있는 상황”이라고 밝혔다.

테크이슈팀=양한주 기자 1week@kmib.co.kr, 김혜지 기자 heyji@kmib.co.kr, 김판 기자 pan@kmib.co.kr

GoodNews paper ⓒ 국민일보(www.kmib.co.kr), 무단전재 및 수집, 재배포 및 AI학습 이용 금지