알리익스프레스코리아의 한국 판매자 계정 해킹 사건에 대해 경찰이 입건 전 조사에서 정식 수사로 전환했다. 해커의 신원은 아직 확인되지 않은 가운데 경찰은 국제 공조가 필요한 사건인 만큼 수사에 상당한 시간이 걸릴 수 있다는 입장이다.
OTP 취약점 악용해 판매자 계정 침해
27일 인천경찰청 사이버범죄수사대 등에 따르면 경찰은 지난 2월 알리익스프레스코리아 해킹 사건에 대한 내사를 정식 수사로 전환했다. 현재까지 해커의 신원은 특정되지 않은 것으로 전해졌다.
이번 사건은 지난해 10월 알리익스프레스에서 국내 판매자들이 사용하는 비즈니스 온라인 포털에서 발생했다. 경찰은 해커가 판매자 계정의 비밀번호를 복구할 때 활용되는 일회용 비밀번호(OTP) 인증 절차의 취약점을 이용한 것으로 파악하고 있다.
이 과정에서 판매자들에게 지급돼야 할 정산금 약 600만 달러, 우리 돈으로 약 86억원 규모의 금액이 제때 지급되지 않는 피해가 발생했다.
경찰 “국제 공조 필요해 수사에 시간 걸려”
경찰은 이번 사건의 특성상 해외 수사기관과의 국제 공조가 필요해 수사에 시간이 걸릴 수 있다고 설명했다. 해킹에 사용된 계정과 접속 경로 등을 추적하고 공격 주체를 특정하기 위해서는 해외 사업자 및 관계 기관과의 협력이 필요한 상황이다.
반면 알리익스프레스 측은 판매자들의 정산금 피해액에 대해서는 이미 보상이 이뤄졌다는 입장이다. 이에 따라 일각에서는 금전적 피해가 보상된 이후 플랫폼 측의 대응이 상대적으로 소극적이었던 것이 수사 진행에 영향을 미친 것 아니냐는 해석도 나오고 있다.
다만 실제 수사 지연의 원인이 알리익스프레스 측의 대응 때문인지는 현재 확인되지 않았다.
EU에서는 알리익스프레스에 대규모 과징금
알리익스프레스를 둘러싼 논란은 국내 해킹 사건에만 그치지 않는다. 유럽연합 집행위원회는 지난달 20일 중국 알리바바그룹 산하 알리익스프레스에 5억5000만 유로, 약 9300억원 규모의 과징금을 부과한다고 밝혔다.
EU 집행위는 알리익스프레스가 디지털서비스법(DSA)을 위반했다고 판단했다. 특히 플랫폼 자체의 모니터링에도 불구하고 위조 티셔츠와 신발, 안전하지 않은 어린이 장난감, 유해한 화장품 등 불법·가짜 상품이 플랫폼에서 대량으로 유통되고 있다고 지적했다.
해당 과징금은 EU가 DSA를 시행한 이후 부과된 과징금 가운데 최대 규모인 것으로 전해졌다.
국내에서도 허위 할인율 표시로 제재
알리익스프레스는 국내에서도 상품 할인율을 허위로 표시한 사실이 적발돼 공정거래위원회의 제재를 받은 바 있다.
공정위는 지난해 8월 알리익스프레스 계열사 오션스카이와 MICTW에 표시광고법 위반을 이유로 20억9300만원의 과징금을 부과했다. 이와 별도로 판매중개자로서 온라인몰에 필요한 정보를 제공하지 않은 알리바바 싱가포르와 알리코리아에는 시정명령과 과태료 200만원을 부과했다.
공정위에 따르면 알리익스프레스 측은 실제 판매가격보다 높은 가격을 과거 판매가격인 것처럼 표시한 뒤 큰 폭으로 할인하는 것처럼 보이게 하는 방식으로 7000여 개 상품의 할인율을 허위 표시한 것으로 조사됐다.
해외 직구 상품 품질 논란도 이어져
서울시가 실시한 해외 온라인 플랫폼 판매 제품 조사에서도 알리익스프레스 등을 통해 판매되는 일부 상품의 정품 여부가 논란이 됐다.
서울시는 8개 브랜드의 10개 제품을 대상으로 국가공인시험기관인 KATRI시험연구원에 분석을 의뢰했다. 조사 결과 대상 제품 10개 모두 정품과 일치하지 않는 것으로 확인됐다.
이처럼 알리익스프레스를 둘러싸고 국내 판매자 계정 해킹과 정산금 피해, 허위 할인율 표시, 해외 플랫폼 내 불법·위조 상품 유통 문제 등이 잇따라 제기되고 있다. 특히 온라인 상거래 규모가 커지는 상황에서 판매자 계정과 개인정보, 결제 관련 정보의 보안 수준을 강화해야 한다는 지적도 나온다.
알리익스프레스 보안 관리와 책임론 주목
이번 해킹 사건의 핵심은 단순히 피해 금액의 보상 여부를 넘어 판매자 계정 인증 과정에서 취약점이 발생했다는 점이다. 피해 금액은 보상됐더라도 동일한 유형의 공격이 재발하지 않도록 인증 시스템과 계정 보안 체계를 강화할 필요가 있다는 것이다.
경찰 수사가 정식 수사 단계로 전환된 만큼 앞으로 해커의 신원과 구체적인 공격 경로, OTP 인증 취약점이 어떻게 악용됐는지 등이 밝혀질지 관심이 쏠린다. 또한 국내외에서 이어지고 있는 각종 규제와 제재가 알리익스프레스의 플랫폼 운영 및 보안 관리 체계에 어떤 변화를 가져올지도 주목된다.
