요즘 유행하는 이른바 '나이지리아 사기'에 관한 짧은 이야기입니다. 돌이켜보면 너무나 뻔히 보이는 수법이지만, 정작 그 상황에 빠져 있을 때는 얼마나 그럴듯하게 느껴지는지 모릅니다.
저는 아마존이나 이베이 등에서 자주 쇼핑하는 평범한 온라인 쇼핑족입니다. 크레이그리스트(Craigslist)에서 볼 수 있는 각종 사기 수법과 이베이에서 흔히 마주치는 비슷한 사기들도 잘 알고 있습니다. 중고 거래에서 손해 보지 않는 기본 규칙과 흔한 온라인 사기 패턴 대부분도 숙지하고 있다고 자부합니다. 그런데도 이번 사기에는 거의 넘어갈 뻔했습니다.
사기의 전개 과정
모든 것은 페이스북에서 시작되었습니다. 한 여성이 지역 중고 거래 그룹에 서모믹스(Thermomix)를 350유로에 판매한다는 글을 올렸습니다. 원래 이 제품은 보통 900유로 정도 하니, 정말 파격적인 가격입니다. 저도 한동안 눈여겨봐 온 제품이라 시세를 잘 알고 있습니다. 이건 어디서도 찾기 힘든 초특가였죠.
프로필을 확인해 보니 꽤 믿음직스러워 보였습니다. 오래된 계정에 공개 사진 몇 장이 있었고, 지역의 다른 그룹들에도 가입해 있었습니다. 일단은 문제없어 보였습니다.
메시지에는 특정 이메일 주소로 연락하라고 되어 있었습니다. 게다가 그 이메일 주소는 이름과 맞지 않았지만, 별생각 없이 넘어갔습니다. 여성은 몇 달 전에 이 제품을 구입했지만 업무상 출장을 떠나야 해서 사용할 수 없고, 현금이 더 좋다고 했습니다. 서모믹스는 형부에게 맡겨 두었으니 제가 편한 시간에 가져다주겠다는 것이죠. 들으면 그럴듯하죠?
저는 여전히 괜찮은 거래라고 생각하고 있었습니다. 결제 방식을 물어보았습니다. 이 지역 사람들은 수표를 선호하지만, 제가 판매자라면 현금을 받겠죠. 그래서 물어본 결과, 그녀는 우체국이나 온라인으로 처리할 수 있는 웨스턴 유니온(Western Union) 송금을 원했습니다. 저는 물건을 직접 보기 전에 돈을 보내고 싶지 않다고 말했습니다. 온라인 결제가 가능하다면 형부가 지켜보는 앞에서 바로 처리하거나, 아니면 형부에게 현금을 주고 그가 판매자에게 송금하면 된다고 제안했습니다. 훨씬 합리적인 방법이었죠.
하지만 그녀는 웨스턴 유니온에 '비밀번호 보호' 기능이 있다며 고집했습니다. 제가 비밀번호를 정하고, 물건을 확인한 후에 그 비밀번호를 형부에게 알려주면(혹은 이메일로 보내면) 된다는 것입니다. 저는 그게 꽤 괜찮은 에스크로 시스템이라고 생각했습니다. 심지어 남편과도 상의했고, 우리 부부는 웨스턴 유니온이 훌륭한 시스템을 갖추고 있다는 데 동의했습니다. 잠시 멈춰서 생각해 볼 여유가 생기기 전까지, 저는 거의 진행할 뻔했습니다.
잘 생각해 보세요. 모르는 사람에게 송금하는데, 그 사람이 돈을 받느냐 못 받느냐를 가르는 것이 단 하나의 비밀번호뿐이라면? 그들이 접수원에게 뇌물을 주거나 떼쓰면서 돈을 받아내는 것을 무엇이 막을 수 있을까요? 사실상 아무것도 없습니다.
문제는 웨스턴 유니온에 있다
분명히 말해두겠습니다. 웨스턴 유니온도 이 문제를 인지하고 있습니다. 소비자 보호에 관한 안내와 실제로 알지 못하는 사람에게는 절대 송금하지 말라는 경고를 게시해 두고 있습니다. 하지만 이런 소비자 대상 경고에도 불구하고, 정작 이런 사기가 재발하는 것을 막지는 못하고 있습니다.
웨스턴 유니온에 비밀번호 시스템이 없었다면, 영리한 사람들조차 이것을 신뢰할 만한 정당한 에스크로 시스템으로 착각하는 일은 없었을 겁니다. 전 세계 대리점들이 비밀번호 시스템을 효과적으로 시행할 수 없다면, 차라리 그 시스템을 폐지해야 합니다. 비밀번호 시스템이 없었다면 저도 이 사기에 끌리지 않았을 테니까요.
또한 웨스턴 유니온은 거래가 이루어지는 시점에 사용자에게 경고를 표시해야 합니다. 예를 들어, 자신이 거주하는 국가가 아닌 곳으로 송금할 때라면, 이 비밀번호 시스템이 사실상 무용지물이며 모르는 사람에게 송금해서는 안 된다는 점을 상기시키기 좋은 타이밍입니다.
놓쳤던 위험 신호들
사기꾼들의 문제는 무해해 보이게 만드는 기술을 완벽하게 다듬었다는 점입니다. 모든 위험 신호가 한 번에 드러나지 않고 조금씩 흘려보내졌기 때문에, 한눈에 의심스럽게 보이지 않았습니다.
첫 번째 위험 신호는 역시 가격이었어야 합니다. 두 번째는 이름과 맞지 않는 이메일 주소. 그다음은 집까지 배달해 주겠다는 제안, 그리고 복잡한 결제 시스템과 형부라는 인물이었죠. 어차피 올 거라면 도착했을 때 결제하면 안 됐을까요? 그리고 왜 이 사람은 발신번호를 숨긴 채 전화를 걸었을까요?
결제 정보가 담긴 이메일을 받았을 때, 송금지가 베냉(Benin)이라는 것을 깨달았습니다. 베냉이 어디지? 아, 나이지리아 바로 옆나라. 또 하나의 위험 신호입니다. 수취인 이름도 그녀의 이름과 맞지 않았습니다. 아주 커다란 위험 신호죠. 그리고 송금 정보가 복사-붙여넣기 한 듯 어색하게 보인 것도 위험 신호였습니다.
마지막 위험 신호는 그 '형부'가 도착하기도 전에 송금 거래번호를 요구하기 시작한 것이었습니다. 처음에는 그럴듯하게 들렸습니다. 하지만 곰곰이 생각해 보니, 그가 거래 코드를 손에 넣는 순간 내 돈을 막을 수 있는 것은 모르는 나라의 모르는 접수원 하나뿐이고, 그 사람이 비밀번호를 물어볼지 어떨지도 보장이 없습니다. 전혀 안전하지 않습니다. 전혀요. 그렇다면 굳이 거래 코드조차 필요 없을지도 모릅니다. 친절한 접수원이면 조회해 줄 수도 있으니까요.
결국 사기였습니다!
그제야 깨달았습니다. 저는 페이스북 프로필과 이메일 주소 외에 그들의 어떤 정보도 가지고 있지 않았습니다. 경찰이 쉽게 확인할 수 있는 실제 주소나 전화번호가 전혀 없었죠. 완벽한 사기 구조였습니다.
'웨스턴 유니온 사기 베냉'을 검색해 보았습니다. 놀랍게도 수십 건의 똑같은 사기 피해 사례가 나왔고, 많은 글에서 송금 정보에 적혀 있던 그 도시 '코토누(Cotonou)'를 언급하고 있었습니다. 다시 생각해 보니 이 모든 게 수상했습니다. 그냥 기다려 보기로 했습니다. 혹시 그 남자가 서모믹스를 들고 나타나면 현금으로 지불하면 되니까요. 그는 결국 나타나지 않았습니다.
다시 강조합니다. 이 사기가 반쯤 믿음직스러워 보인 유일한 이유는 모든 위험 신호가 서로 다른 시점에 제시되었기 때문입니다. 지역 내 일반적인 물품 거래의 관점에서 보면, 이런 것들이 그렇게 이상해 보이지 않았습니다. 뇌가 '현지 누군가에게 송금하는 것'이라고 생각하는 순간, 작은 국가 변경(그녀는 출장 간다고 했죠)은 거의 잊어버리게 되고, 송금되는 국가의 접수원이 우리 주변과 같은 신뢰 기준을 적용하지 않을 수 있다는 사실도 놓치게 됩니다.
교훈
다행히 위기를 넘겼습니다. 350유로는 그대로 제 것이 되었고, 무서운 이야깃거리 하나를 얻었습니다. 하지만 다시 한번 강조합니다. 인터넷으로 모르는 사람에게 큰돈을 송금하지 마세요. 설령 비밀번호 보호 시스템이 있다고 해도 마찬가지입니다.
또한 페이스북 계정이 진짜처럼 보인다고 해서 사기가 아니라고 믿을 근거는 없습니다. 실제 계정 주인이 해킹당했을 수도 있고, 사기꾼이 정말 능숙할 수도 있습니다. 페이스북 요소는 사기를 더욱 위험하게 만듭니다. 요즘 우리는 프로필 뒤에 있는 신원이 실제 그 사람이라고 믿기 쉽기 때문입니다.
그리고 웨스턴 유니온은 비밀번호 기능을 제대로 시행할 수 없다면 반드시 없애야 합니다. 그것이 이런 사기에 생명을 불어넣는 장치이기 때문입니다.
페이스북이나 다른 곳에서 사기를 당해 본 적이 있으신가요? 속아 넘어갔나요, 아니면 때맞춰 알아차리셨나요?