누군가 온라인에서 나로 위장하고 있습니다. 내 이름과 내가 쓴 기사, 그리고 가짜 이메일 주소를 이용해 인스타그램 계정을 해킹하려는 겁니다. 지난 한 달 동안 나는 사칭범에게 속일 뻔했던 사람들로부터 두 통의 이메일을 받았습니다.
여기서 무슨 일이 일어났는지, 그리고 여러분이 이 사건에서 배울 수 있는 점을 정리해 보겠습니다.
사건의 배경
작년에 나는 '지금 바로 팔로우해야 할 11개의 유쾌한 인스타그램 계정'이라는 제목의 글을 썼습니다. 거창한 내용은 아니었고, 다른 사람들도 좋아할 만하다고 생각한 인스타그램 계정 11개를 소개하는 목록형 기사였습니다. 편집자에게 보낸 뒤 별생각 없이 넘겼죠. 매일 반복하는 일상적인 작업이었으니까요. 기사는 무난하게 호응을 얻었고, 그걸로 끝이라고 생각했습니다.
그런데 올해 9월 말, 팔로워 22만 3천 명을 보유한 럭셔리 라이프스타일 인스타그램 계정 'The Exquisite Lifestyle' 운영진으로부터 한 통의 이메일을 받았습니다. 그들 앞에 '나'라고 자칭하는 누군가가 보낸 이메일이 도착했다는 것이었습니다. 내용은 이랬습니다.
운영진은 이것이 명백한 사기라고 확신했고, 친절하게도 우리에게 상황을 알려준 것입니다.
MakeUseOf 팀 내부에서 논의했지만, 딱히 할 수 있는 게 없다는 결론에 도달했습니다. 사기꾼이 정확히 무엇을 노리는지도 알 수 없었죠. 작가라고 해서 남의 인스타그램 계정에 접근할 권한이 생기는 것도 아닙니다. 당시 보안 전문가 중 한 명인 Bruce Epper가 구글에 해당 이메일 주소 차단을 요청했지만 아무런 조치도 이루어지지 않았습니다. 결국 나는 이 일을 마음 한켠에 두고 평소대로 지냈습니다.
두 번째 이메일
11월 초, 또 다른 인스타그램 계정으로부터 이메일을 받았습니다. 사칭범은 이번에도 같은 수법으로 팔로워 13만 1천 명의 패션 계정 'Clothes.Models'에 접촉했습니다. 달라진 것은 이메일 속 인스타그램 계정 이름뿐이었습니다.
하지만 Clothes.Models 운영진은 처음에는 사기를 간파하지 못했습니다. 그들은 "기사에 소개되는 것에 관심 있다"며 답장을 보냈고, 이후 전개된 상황이 사기꾼의 의도를 훨씬 명확하게 드러냈습니다.
사기꾼은 이런 답변을 보냈습니다.
이 부분이 핵심입니다. 잠시 후 다시 짚겠습니다.
며칠 뒤, 사기꾼은 또다른 이메일을 발송했습니다.
링크를 클릭하면 가짜 구글 로그인 페이지로 연결됩니다. 계정 정보를 입력하고 로그인 버튼을 누르면 진짜 Gmail 사이트로 리디렉션되지만, 그 순간 이미 사기꾼 손에 로그인 정보가 넘어간 상태입니다.
다행히 Clothes.Models 운영진은 로그인 시도 직전 사기를 알아차렸고, 로그인하지 않은 채 나에게 진위 여부를 확인해 왔습니다. 물론 진짜일 리 없었고, 그래서 이 글을 쓰게 된 것입니다.
그래서 무슨 일이 벌어지고 있는 걸까?
사기꾼의 수법을 단계별로 분석해 보겠습니다.
- 사기꾼이 작가로 위장해 큰 규모의 인스타그램 계정에 연락하고, "당신을 기사에 소개하고 싶다"고 말합니다.
- 상대가 응답하면 연락 가능한 전화번호를 요구합니다.
- 마지막으로 "기사가 완성됐다"며 초안을 승인해 달라는 명목의 'Google Docs' 링크를 보냅니다.
표면적으로는 그럴듯해 보이지만, 심각한 위험 신호가 곳곳에 있습니다. 이 과정이 끝나면 사기꾼은 여러분의 Gmail 계정을 완전히 장악하고, 인스타그램 비밀번호 재설정에 필요한 모든 정보를 손에 넣게 됩니다. 심지어 2단계 인증(2FA)마저 우회할 수 있는 충분한 정보까지 확보할 수 있습니다.
이보다 더 나쁜 상황은 없습니다.
반드시 알아야 할 위험 신호 5가지
다행히 두 인스타그램 계정 모두 늦기 전에 사기를 눈치챘습니다. 이메일 곳곳에는 커다란 경고 신호가 있었는데, 하나씩 살펴보겠습니다.
1. 작가는 당신의 '승인'을 필요로 하지 않습니다
저 같은 작가는 당신에 대해 글을 쓰는 데 허락이나 승인을 받을 필요가 없습니다. 사실만을 말한다면 세계 대부분의 국가에서 언론의 자유 법률로 보호받습니다. 특히 '모두가 팔로우해야 할 인스타그램 계정 15선' 같은 글이라면 더욱 그렇습니다. 순수한 홍보성 글이라면 작가가 굳이 승인을 요청할 리 없습니다. 실제로 저는 예전에 쓴 재미있는 인스타그램 계정 목록 기사에서 어떤 계정에도 사전 연락을 하지 않았습니다. 그냥 썼을 뿐입니다.
2. 대형 매체는 일반 Gmail 주소를 사용하지 않습니다
MakeUseOf 같은 사이트의 작가들은 각자 고유한 AuthorName@MakeUseOf.com 형식의 이메일을 사용해 독자에게 연락합니다. 작가의 이메일을 확인하려면 해당 작가 페이지를 방문하면 됩니다.
3. 목록형 기사로는 전화번호를 요구할 이유가 없습니다
기본적인 목록형 기사는 작가가 개별 사이트에 일일이 연락하기에는 보수가 너무 적습니다. 특히 전화로요. 온라인 글쓰기는 좋은 수입원이 되지만, 그만큼 많은 글을 써야 합니다. 대형 인터뷰나 취재 기사라면 이야기가 다르겠지만, 인스타그램 계정 15개를 소개하는 글에 작가가 전화번호를 요구할 일은 절대 없습니다.
4. 편집 가능한 Google 문서로 초안을 공유하지 않습니다
예외적인 경우 초안을 검토해 달라고 부탁할 수는 있지만, 절대 '편집 가능한' Google 문서 형태로는 보내지 않습니다. 인터뷰를 했다면 사실관계 확인이나 발언이 정확히 반영됐는지 점검을 요청할 수는 있어도, "원하는 내용을 자유롭게 추가하세요"라고 하지 않습니다.
5. 구글 외부로 연결되는 로그인 페이지는 100% 가짜입니다
구글 로그인 페이지로 보이는데 구글 도메인으로 연결되지 않는다면 무조건 가짜입니다. 절대로 계정 정보를 입력하지 마세요. SSL 인증서(https) 여부도 확인할 가치가 있습니다. 사기꾼이 사용한 가짜 로그인 페이지에는 SSL 인증서조차 없었고, 이것 역시 뭔가 수상하다는 강력한 단서였습니다.
온라인에서 안전하게 지내는 법
대형 소셜 미디어 계정을 탈취하는 행위는 하나의 산업으로 성장하고 있습니다. 계정에는 실제로 상당한 금전적 가치가 있기 때문입니다. 계정을 운영한다면 연락처 정보를 공유할 때 각별히 조심해야 하며, 일반 사용자도 언제든 해킹당할 수 있습니다.
온라인 안전은 어렵지 않습니다. 자신이 하는 행동에 주의를 기울이기만 하면 됩니다. 너무 좋아서 믿기 힘든 제안이라면 아마도 사기일 가능성이 높습니다. 상대방에게서 위험 신호가 느껴진다면 사기를 시도하고 있을 공산이 큽니다. 사기꾼이 보낸 이메일에도 수상한 징후가 곳곳에 있었습니다. 이런 신호들을 잘 살피고, 불안감이 든다면 즉시 모든 연락을 차단하세요.
이번 건은 특정 대상을 겨냥한 스피어 피싱(표적형) 공격이었기 때문에 모든 사람이 같은 피해를 입을 가능성은 낮지만, 교훈은 누구에게나 통용됩니다.
온라인에서 신원을 도용당하는 것은 정말 기묘한 경험입니다. 아직도 어떻게 느껴야 할지 모르겠네요. 비슷한 공격을 당해본 적이 있다면 댓글로 알려주세요. 여러분의 이야기를 듣고 싶습니다.