Steam은 정말 훌륭한 플랫폼이죠. GabeN에게 찬양을 보냅시다. PC 마스터 레이스의 행진은 멈추지 않고, 울고 있는 것은 오직 학대당하는 내 지갑뿐입니다. 저도 생계용으로 모아뒀던 나방들을 팔아 Tropico 4를 구매할 정도였으니까요. 그만큼 '필요했으니까'요. Steam은 신작부터 고전까지 다양한 게임을 공급하고, 평생 고려하지 않았을 게임들에 미친 할인가를 제안하며, 수많은 기능과 거대한 멀티플레이 커뮤니티까지 갖춘 독보적인 플랫폼입니다.
유일한 단점은 – 지갑 습격을 제외하면 – 게임, 아이템, 아니면 현금을 노리는 사기꾼들의 위협이라는 점입니다. 가장 흔한 Steam 사기 수법과 이를 예방하는 방법을 살펴보겠습니다.
피싱(Phishing)
피싱 사기는 Steam 관련 도난의 대부분을 차지하며, 사기꾼의 숙련도에 따라 공격 양상도 달라집니다. Steam에서 거래되는 막대한 양의 게임과 더불어 CS:GO, Dota 2, TF2 같은 글로벌 인기 게임의 수백만 개에 달하는 인게임 아이템을 감안하면, 피싱의 잠재적 피해 규모가 얼마나 큰지 쉽게 짐작할 수 있습니다.
능숙한 사기꾼들은 TF2Backpack, csgolounge, dota2lounge, SteamGameSwap, GlobalOffensiveTrade 등 주요 거래 커뮤니티와 덜 알려진 키 거래 사이트들을 표적으로 삼습니다. 다행히도 대부분 비교적 쉽게 식별할 수 있습니다:
"안녕하세요 [닉네임]님, 제 친구는 정말 좋은 사람인데 친구 추가가 되지 않습니다. '하루 친구 추가 한도 초과'라는 오류가 뜬다고 하네요. 그런데 꼭 당신과 거래하고 싶어합니다. 대신 친구 추가를 부탁드려도 될까요? 사용자 이름은 staemcommunnity.com/id/imstealinyoshizfool/ 입니다."
대략 이런 식입니다. 위 사용자 이름에서 굵게 표시된 부분에 주목하세요. 바로 이런 작은 철자 차이가 피싱 사기를 의심해야 하는 경고 신호입니다. 참고로 Steam의 공식 도메인은 steamcommunity.com 하나뿐입니다.
또한 모든 공식 Steam 페이지는 확장 유효성 검증 SSL 인증서로 보호됩니다. HTTPS와 함께 Valve Corporation이 명시된 녹색 자물쇠 아이콘이 보이면 안전한 것으로 생각하면 됩니다. 철자가 어긋나 있거나, 문법이 엉망이거나, 파일 업로드를 요구한다면 사기일 가능성이 매우 높습니다. 즉시 물러서세요!
기억하세요. Steam도 현실 세계와 마찬가지입니다. 너무 좋아서 믿기 어려운 일은 실제로 일어나지 않는 경우가 많습니다. 방금 출시된 AAA 게임을 모르는 사람이 무료로 준다고 한다면, 왜 그러는지 의심해야 합니다. 사람을 믿는 것이 중요하지만, 인터넷에서는 상대가 누구인지 아무도 알 수 없습니다.
파일 업로드 요구
최근 피싱 사기 중에는 사기꾼이 Steam 직원을 사칭하여 특정 파일을 찾아 업로드하라고 요구하는 수법이 있습니다.
SSFN 파일은 로그인할 때마다 Steam 인증을 반복하지 않아도 되게 해주는 파일입니다. 이 파일을 사기꾼에게 넘겨주면 Steam Guard 같은 보안 장치를 우회할 수 있습니다. 이 공격은 가짜 또는 탈취된 프로필과, 비밀번호를 훔치기 위한 가짜 로그인 화면을 결합해 진행됩니다. 짐작하셨겠지만, 이 파일을 건네주는 것은 성문의 열쇠를 선물하는 것과 다름없습니다.
Steam 사용자들의 경각심이 높아지면서 이 공격은 조금씩 줄어들고 있지만, 여전히 알아두는 것이 좋습니다. 앞서 말했듯이 Valve와 Steam은 절대 파일 업로드를 요구하지 않습니다. 요구하는 사람이 있다면 경보음이 울려야 합니다.
악성 소프트웨어
소프트웨어 사기는 여전히 사기꾼들에게 엄청난 수익을 안겨주는 수단입니다. 이런 공격은 주로 키로거(keylogger)를 이용해 비밀번호를 탈취하는 데 초점을 맞춥니다. 인기 유튜브 게임 채널의 댓글은 이런 것들로 도배되어 있으며, "완전 무료 Steam 선물 복제 핵 확인!!111" 같은 문구가 곳곳에 넘쳐납니다. 여기 있는 링크는 스파이웨어, 멀웨어, 키로거, 바이러스 등 각종 악성 코드의 온상입니다.
이런 공격을 피하는 방법이 있을까요? 물론입니다. 어리석게 굴지 않으면 됩니다. Steam 아이템 복제 트릭 같은 것은 존재하지 않습니다. 무료 아이템이 기다리고 있지 않습니다. 현명하게 판단하고 이런 것들을 역병처럼 피하세요. 최악의 경우 Steam 계정과 게임 이상의 것을 잃을 수 있습니다.
물론 반드시 외부 사이트를 통하는 것은 아닙니다. 소프트웨어 사기는 탈취된 계정을 통해 Steam 내부에서도 나타납니다. 좋은 Steam 평판, VAC 밴 없는 기록, 건실한 플레이 시간과 게임 보유량을 갖춘 정상적인 계정에서 친구 추가가 됩니다. 이후 전송되는 파일은 바이러스에 감염된 사이트로 연결되는 미끄이거나, 감염된 .exe, .bat, .dll, .scr 파일일 수 있습니다.
모르는 사람에게 갑자기 친구 추가가 되었는데 대화 초반에 파일을 전송하려 한다면 경계하세요. 어쨌든 누군가 파일을 보내려 할 때는 항상 조심하는 것이 좋습니다!
사칭(Impersonation)
커뮤니티 활동을 하는 모든 Valve 직원에게는 Valve Employee 배지 또는 Volunteer Steam Community Moderator 배지가 표시됩니다. 개인 프로필을 통해 확인할 수 있습니다. 배지가 있다면 정품이고, 없다면 창을 닫으면 됩니다.
Steam이나 Valve 직원은 절대로 비밀번호나 그 외 어떤 파일도 요구하지 않습니다. 정보를 주지 않는다고 협박하는 일도 결코 없습니다. Valve 직원을 사칭하는 사람들은 종종 사용자 이름에 [Valve], [Steam], [Verified] 같은 표시를 붙이는데, 클릭해보면 실제 프로필이 드러나므로 진짜 신원을 확인할 수 있습니다.
사기꾼은 친구 목록을 조사해 친구를 사칭하기도 합니다. 닉네임을 살짝 다르게 철자하여 복제하는 방식입니다. 신뢰를 얻은 뒤에는 "잠깐 빌리겠다"며 아이템을 요구하고, 거래가 끝나면 그 아이템은 두 번 다시 돌아오지 않습니다.
금전 관련 사기
이 수법은 일반적인 사기와 거의 동일하게 작동합니다. 누군가 Steam을 통해 접근해서 그 멋진 희귀 TF2 모자나 비슷한 아이템을 교환하고 싶냐고 묻습니다. 동의하고 Steam 거래창으로 들어가면, 상대는 거래가 끝난 후 PayPal로 Steam 밖에서 지불하겠다고 말합니다.
이 순간 이미 경보음이 울려야 합니다!
어떤 이유로든 Steam 밖에서 거래를 완료해야 한다면, 중개인(middleman)을 활용하는 것을 권합니다. 물론 이 경우에도 주의가 필요합니다.
중개인은 양측 모두가 신뢰하는 검증된 인물이어야 합니다. 거래 당사자 각자가 자신의 물건을 중개인에게 전달하고, 중개인이 상대방에게 전달하는 방식입니다. 그러나 어떤 사기꾼들은 이를 파고들어 특정 "Steam 검증 중개인"을 제안하기도 합니다. 해당 중개인 사용에 동의하면, 극히 유사한 닉네임을 가진 사람이 친구 추가를 해옵니다. 자신의 몫을 넘겨주는 순간 삭제되고, 아이템·게임·현금을 모두 잃게 됩니다.
누군가 먼저 연락해오면서 중개인을 제안한다면 경계하세요. 커뮤니티 사기 방지 사이트인 SteamRep.com이 검증된 중개인 목록을 제공하지만, 해당 사이트와 완전히 제휴된 것은 아닙니다.
SteamRep의 검색 기능으로 상대방 계정 정보를 조회할 수도 있습니다. 계정 상태, 밴 기록, 친구 목록, 친구 목록 밴 여부 등을 확인할 수 있습니다. 거래를 시작하기 전에 한 번쯤 확인해볼 가치가 있습니다.
레딧 장기 사기(Long-Con)
엄밀한 의미의 롱콘(long-con)은 아니지만, 이 사기에는 상당한 공이 들어갑니다. 사기꾼 한 명 또는 여럿이 특정 게임의 거래 전용 서브레딧(subreddit)을 만듭니다. 가짜 계정을 운영하고 댓글 스레드를 채워 넣고, 심지어 커스텀 CSS를 활용해 진짜처럼 보이게 만듭니다.
그 가짜 서브레딧 곳곳에는 사기꾼의 피싱 사이트로 향하는 링크가 여러 개 숨어 있습니다. 앞선 피싱 섹션에서 살펴본 살짝 틀린 철자의 이름들이 이 서브레딧에 넘쳐나기 때문에, 공격을 피하기가 무척 까다롭습니다.
이 Steam 사기에 대한 자세한 내용은 관련 커뮤니티 글을 참고하시기 바랍니다.
차지백(Chargeback)
또 하나 비교적 흔한 Steam 사기 시도로, PayPal을 이용해 거래 상대를 속이는 방식입니다. 보통 다음과 같이 진행됩니다:
- 사기꾼이 Steam에서 거래 상대에게 친구 추가를 합니다.
- 대화를 시작하며 아이템을 요구하고, 거래는 반드시 PayPal로 처리하라고 주장합니다.
- 사기꾼이 실제로 PayPal로 지불합니다. 상대는 이를 확인하고 아이템을 넘겨줍니다.
- 사기꾼은 PayPal의 차지백(지불 취소) 기능을 이용해 돈을 되돌려 받으면서, PayPal에는 "상품을 받지 못했다"고 허위 신고합니다.
- 사기꾼은 거래 상대를 삭제하고 차단합니다. 결과적으로 피해자는 아이템도 돈도 잃습니다.
이 수법을 조심하세요. 실행이 쉽고 특별한 기술 지식이 필요 없어서 상대적으로 자주 발생합니다.
마무리
디지털 무기를 들고 Steam으로 연락해오는 모두를 쏴버리세요.
농담이고, 그냥 항상 조심하면 됩니다. 낯선 사람이 접근해온다면 어느 정도 경계심을 유지하세요. 모두가 당신의 아이템을 노리는 것은 아니며, 많은 이들은 생계를 위해 혹은 게임을 위해 정당하게 거래하려는 진짜 트레이더입니다. 현실 세계와 마찬가지로, 이 거래가 진짜라는 확신이 들 때까지는 어떤 서명도 하지 말고, 아무것도 주지 말고, 아무것도 넘기지 말고, 어떤 대금도 지불하지 마세요.
Steam에서 사기를 당해본 적이 있나요? 아이템을 되찾았나요? 신고는 했나요? 도난 이후 Valve의 대응은 도움이 되었나요? 아래 댓글로 알려주세요!