음식 배달 서비스에 대한 수요가 폭발적으로 증가하면서 DoorDash 같은 앱은 우리 일상에서 빼놓을 수 없는 존재가 되었습니다. 문 앞까지 음식을 배달해 주는 서비스는 편리할 뿐만 아니라 선택의 폭도 넓어 많은 사람들이 애용하고 있습니다.
하지만 이런 앱들은 사용자로부터 상당히 민감한 개인정보를 수집합니다. 과연 얼마나 안전할까요? 실제로 발생한 DoorDash 데이터 유출 사건은 이러한 서비스가 얼마나 많은 개인정보를 보관하고 있는지 잘 보여줍니다. 그렇다면 어떤 사기 수법들을 주의해야 할까요?
DoorDash 데이터 유출 사건, 무엇을 알아야 할까?
DoorDash는 2019년 공식 블로그를 통해 2019년 5월 4일에 발생한 데이터 유출 사실을 사용자들에게 경고했습니다. 이 사고로 2018년 4월 5일 이전에 플랫폼에 가입한 소비자, 배달 기사(대셔), 그리고 가맹점주 약 490만 명의 정보가 유출되었습니다.
'허가받지 않은 제3자'가 접근한 민감한 정보에는 이름, 이메일 주소, 배송 주소, 주문 내역, 전화번호, 해시 처리된 비밀번호 등이 포함되어 있었습니다.
또한 일부 고객의 신용카드 정보와 일부 가맹점 계좌번호 관련 숫자도 유출되었으며, 약 10만 명의 배달 기사 운전면허 번호까지 노출된 것으로 밝혀졌습니다.
이 유출 사건이 나에게 미치는 영향은?
DoorDash는 유출된 신용카드 및 은행 계좌 정보만으로는 부정한 결제가 어렵다고 주장했지만, 이름이나 주소 같은 개인 식별 정보(PII)는 그대로 흘러나왔습니다. 해커들이 이미 수년간 여러분의 계정 정보를 거래하고 있을 가능성도 충분합니다.
유출된 정보의 성격상 신원 도용의 표적이 될 위험이 큽니다. 범죄자들은 이 정보를 활용해 각종 금융 사기를 저지를 수 있습니다. 또한 '크리덴셜 스터핑(credential stuffing)' 공격에 노출될 수 있는데, 이는 한 곳에서 유출된 계정 정보를 다른 사이트의 로그인에 무작위로 대입하는 공격 방식입니다.
실제로 다크웹에서는 신용카드 정보가 연결된 DoorDash 계정이 건당 4.49달러에 판매되고 있다는 보도도 있습니다.
반드시 알아야 할 DoorDash 관련 5가지 사기
일부 아마추어 해커는 이렇게 구한 계정으로 공짜 음식을 주문하는 데 그치지만, 더 교활한 이들은 타깃 피싱 캠페인, 보이스피싱(vishing), 스미싱(smishing)에 활용합니다. 이런 피싱 공격은 시스템 침입이나 랜섬웨어 감염으로 이어질 수 있습니다.
지금부터 특히 조심해야 할 다섯 가지 사기 수법을 살펴보겠습니다.
1. DoorDash 스미싱 사기
DoorDash는 유출된 결제 카드 정보가 마지막 네 자릿수에 불과하다고 밝혔습니다. 하지만 전화번호와 주소 등 다른 민감한 정보가 함께 유출되었기 때문에, 완전한 금융 계좌 정보를 빼내려는 사기에 노출될 위험은 여전히 남아 있습니다.
실제로 일부 사용자들은 DoorDash를 사칭한 해커에게서 스미싱 문자를 받았다고 커뮤니티에 신고했습니다. 이 문자는 마치 본인이 주문한 것처럼 꾸며진 음식 주문 내역과 함께, '계정 정보를 확인하려면 링크를 클릭하라'는 내용을 담고 있습니다.
또한 "배달을 확정해 달라"며 링크를 누르도록 유도하기도 합니다. 앱으로 아무것도 주문하지 않았다면 오히려 취소하려고 링크를 클릭하고 싶어질 것입니다. 하지만 그 링크는 신용카드 정보를 수집하는 가짜 피싱 사이트(파밍 사이트)로 연결됩니다.
2. DoorDash 이메일 설문조사 사기
배달 서비스 이용자에게 다음 주문 대폭 할인만큼 매력적인 제안은 없습니다. 바로 이 심리를 파고드는 것이 피싱 이메일입니다.
이 사기는 설문조사에 응답하면 다음 DoorDash 주문에 적용되는 할인 혜택을 주겠다고 제안합니다. UberEats 같은 다른 배달 서비스 할인이 함께 제시되기도 합니다. 그리고 참여자에게 계정 로그인을 요구합니다.
문제는 이 이메일이 실제 배달 업체에서 온 것이 아니라는 점입니다. 연결된 사이트는 겉보기에 진짜처럼 보이지만 해커가 만든 가짜 페이지이며, 입력하는 모든 정보는 그대로 수집됩니다.
3. 가짜 DoorDash 배달 사기
더욱 음흉하고 위험한 사기로, 집 앞에 가짜 DoorDash 배달이 도착하는 수법이 있습니다.
미국 오하이오주의 한 여성은 자신의 집으로 DoorDash 배달을 왔다고 주장하는 수상한 무리를 목격했다고 신고했습니다. 한 사람이 "주문하신 음식을 가져왔다"고 말했지만, 그녀는 DoorDash에서 아무것도 주문한 적이 없었습니다.
단순히 잘못된 주소로 찾아온 배달 기사라고 생각하기 쉽지만, 문제는 그 '배달 기사'가 혼자 오지 않았다는 점입니다.
집의 보안 카메라를 통해 그녀는 손에 물건을 들고 마당으로 다가오는 두 명의 남자를 발견했습니다. 이후 "숨어, 숨어", "내가 너를 엄호할게"라는 대화가 들려왔고, 그녀는 즉시 911에 신고했습니다.
기억하세요. 2019년 유출 사건에는 배송 주소 같은 개인정보도 포함되어 있었습니다. 즉, 범죄자들은 당신이 DoorDash를 사용한다는 사실, 계정에 등록된 이름, 그리고 그 사람이 사는 곳까지 알고 있는 것입니다.
4. 배달 기사를 노린 DoorDash 사기
긱 이코노미를 통해 정직하게 돈을 버는 사람들조차 사기꾼들의 표적이 되고 있습니다. 실제로 많은 배달 기사들이 DoorDash 수익을 사기당했다고 호소하고 있습니다.
사기꾼들은 번호 위장(cloaking) 도구를 사용해 자신의 전화번호가 DoorDash 공식 번호처럼 보이도록 만듭니다. 그런 다음 "다른 기기에서 귀하의 계정 접속이 시도되었다"며 배달 기사에게 연락하고, 신원 '확인'을 명목으로 PIN 번호와 로그인 정보를 요구합니다.
며칠 후 배달 기사는 자신이 완료한 모든 배달에 대한 대금을 받지 못했다는 사실을 깨닫게 됩니다. 해커가 이미 DoorDash 계정의 은행 계좌 정보를 변경해, 수익금이 사기꾼의 계좌로 입금되도록 해둔 것입니다.
5. 가맹점을 노린 사기: 사이버 절도(차지백 사기)
차지백(chargeback) 제도는 원래 소비자를 보호하기 위해 마련되었습니다. 특히 신용카드 도난 후 승인되지 않은 결제가 발생했을 때 유용하며, 소비자는 은행에 전화 한 통으로 해당 결제를 취소할 수 있습니다.
그러나 이 소비자 보호 장치를 역이용하는 사기꾼이 늘고 있습니다. 보도에 따르면 차지백의 최대 86%가 사기성이라고 합니다.
해커들은 처음부터 환불(차지백)을 요청할 목적으로 상품을 구매해 무료로 제품을 얻습니다. 이 수법은 '사이버 절도(cyber shoplifting)' 또는 '차지백 사기'라고 불리며, 외식업계를 포함한 수많은 가맹점들을 괴롭히고 있습니다.
공짜 음식 하나를 노리고 개인적으로 이런 행동을 하는 사람도 있지만, 조직적인 리테일 사기 그룹에 소속된 경우도 많습니다.
스스로를 지키는 방법
개인정보 유출로 인한 문제들 외에도, DoorDash 같은 서비스의 이름을 사칭하는 사기꾼들을 항상 경계해야 합니다.
내 정보가 유출되었거나 침해되었다고 의심된다면 즉시 보호 조치를 취하세요. 은행 거래 내역에서 수상한 결제를 꼼꼼히 확인하고, 모든 계정에 다중 인증(MFA)을 설정하며, 거래 시 SMS 알림을 활성화하세요. 필요하다면 신용정보 동결(credit freeze)도 고려해야 합니다.