지난달 스타벅스 로열티(멤버십) 카드의 보안 취약점이 세상에 알려지면서 큰 파장을 일으켰습니다. 이 취약점은 침투 테스트, 소스 코드 감사, 취약점 평가를 전문으로 하는 보안 회사 사큐리티(Sakurity)에서 일하는 해커 에고르 호마코프(Egor Homakov)가 발견하고 악용한 것입니다.
이 허점 덕분에 에고르는 스타벅스 기프트카드의 잔액을 복제하는 데 성공했고, 복제한 금액을 매장에서 아무런 의심 없이 사용했습니다. 놀랍게도 회사는 그의 활동을 전혀 감지하지 못했습니다.
이 뉴스는 전 세계 언론의 헤드라인을 장식했습니다. 취약점 자체의 존재도 화제가 됐지만, 더 큰 논란이 된 것은 스타벅스의 무성의한 대응이었습니다. 커피 업계의 거물은 해커에게 감사의 인사는커녕 오히려 그의 행위를 '사기'와 '악의적인 행동'으로 규정하며 몰아붙였습니다.
스타벅스의 홍보 실패는 표면적으로는 웃음거리일 수 있지만, 소비자 입장에서는 결코 가볍게 넘길 일이 아닙니다. 오히려 심각하게 경계해야 할 신호입니다.
문제는 얼마나 광범위할까?
범죄자들이 데이터를 탈취하고 가치 있는 정보를 손에 넣기 위해 갈수록 교묘한 방법을 찾으면서, 로열티 카드와 기프트카드는 이 끝없는 전쟁의 최신 공격 대상으로 떠오르고 있습니다.
작년 말에는 아메리칸항공과 유나이티드항공이 비슷한 해킹 피해를 입었습니다. 1만 명이 넘는 이용자의 항공 마일리지가 도난당했고, 범죄자들은 훔친 마일리지로 자신들의 좌석을 상향하거나 무료 여행을 예약했습니다. 여러 사이트에서 같은 비밀번호를 사용하던 이용자들은 다른 서비스까지 침해당하기도 했습니다.
스타벅스 역시 과거에 공격받은 적이 있습니다. 에고르 호마코프의 '무료 커피' 해킹 외에도, 범죄자들은 소비자들의 멤버십 계정을 탈취해 잔액을 인출한 뒤, 자동 충전 기능을 악용해 연결된 직불카드와 신용카드 정보까지 빼내는 수법을 자주 사용해 왔습니다.
가트너(Gartner) 보안 분석가 아비바 리탄(Avivah Litan)은 이러한 수법이 새로운 트렌드의 일부라고 지적합니다. 그녀는 “사기 행위가 은행에서 대형 이커머스 기업으로 이동하고 있다”며 “범죄자들은 보상 프로그램, 포인트, 선불카드를 현금화하는 방법을 배우고 있다”고 말했습니다.
왜 이렇게 취약할까?
스타벅스 같은 기업의 시스템과 보안 조치는 은행, 신용카드사 등 금융기관에 비해 해킹이 훨씬 쉬운 경우가 많습니다.
리탄은 은행과 유통업체의 사기 방지 소프트웨어를 예로 들었습니다. 이런 소프트웨어는 보통 비정상적인 구매 패턴(예: 해외에서의 고액 결제)을 감지하지만, 기프트카드 자동 충전에는 이런 경고가 작동하지 않습니다.
범죄자들에게 이것은 잠재적인 금광입니다. 스타벅스 모바일 결제 시스템은 1,600만 명이 넘는 사용자를 보유하고 있으며, 지난 한 해 동안만 20억 달러 이상의 모바일 거래를 처리했습니다.
범죄자들은 왜 리워드 카드를 노릴까?
자동 충전 기능이 있거나 직불카드·신용카드와 직접 연결된 카드가 범죄자들에게 매력적인 이유는 쉽게 이해할 수 있습니다. 스타벅스 카드처럼 곧바로 금전적 이익으로 이어질 수 있기 때문입니다. 하지만 단순 포인트는 어떨까요?
범죄자들이 리워드 카드를 노리는 가장 큰 이유는 바로 '소비자 개인정보'입니다.
소비자 개인정보는 신용카드 정보보다 범죄자에게 실제로 더 가치가 높습니다. 해킹을 당한 기업들은 늘 빠르게 “개인정보는 유출되지 않았다”고 안심시키지만, 현실적으로 이는 잘못된 안도감에 불과합니다.
해커가 신용카드 정보를 입수하면 온라인 쇼핑에 사용하거나 다른 범죄자에게 되파는 정도가 피해의 전부입니다. 하지만 이름, 주소, 생년월일 등 공식 정보를 확보한 해커는 온라인 사기를 저지르고, 피해자 명의로 신용카드 발급, 대출, 휴대폰 요금제 가입, 심지어 주택 담보 대출 신청까지 할 수 있습니다. 궁극적으로 신원 확인이 필요한 모든 일을 할 수 있게 되는 것입니다.
걱정해야 할까?
이 질문에 대한 답은 “그렇다”입니다. 에고르 호마코프 사건에 대한 스타벅스의 미온적인 대응이 우려를 낳는 이유이기도 합니다. 기업은 훨씬 더 관심을 가지고 고객을 보호하기 위해 철저히 경계해야 합니다.
물론 모든 비밀번호를 다르게 설정하고, 공용 네트워크 접속에 주의하고, 효과적인 백신 소프트웨어를 사용하는 등의 기본적인 온라인 보안 수칙은 여전히 중요합니다. 하지만 이것만으로는 여러분을 충분히 보호할 수 없습니다.
개인정보 도난 여부를 통제하는 것은 극히 어렵고, 일단 도난당하면 피해를 제한하는 것은 거의 불가능합니다. 사람들은 신용카드를 정지하는 것만큼 쉽게 이름, 주소, 주민등록번호를 변경할 수 없기 때문입니다.
로열티 카드, 위험을 감수할 가치가 있을까?
위험과 보상을 저울질한다면, 모든 로열티 카드를 정리해야 한다는 주장도 나올 만합니다.
로열티 프로그램은 운영 기업에게 엄청난 가치를 제공합니다. 고객의 구매 습관 데이터를 알려주고, 고객 이탈을 막고, 브랜드 옹호자를 만들며, 프로모션과 광고 비용까지 줄여줍니다.
반면 소비자 입장에서는 더 이상 좋은 거래가 아니라는 연구 결과가 늘고 있습니다. 영국 코스타 커피(Costa Coffee)의 경우, 무료 커피 한 잔에 필요한 195포인트를 모으려면 아메리카노 39잔을 구매해야 합니다. 즉, 1.95파운드(3달러 남짓)를 절약하기 위해 76.05파운드(100달러 이상)를 지불해야 하는 셈입니다.
이는 커피 한 잔당 5펜스의 절약에 불과합니다. 재정적으로 현명한 소비자라면, 근처 다른 커피숍에서 1.90파운드보다 저렴하게 커피를 살 수 있는지 먼저 확인하는 것이 훨씬 나은 선택일 것입니다.
결국 스스로에게 던져야 할 질문은 다음과 같습니다. “5펜스 절약을 위해 내 모든 개인정보, 이메일 주소, 신용카드 번호를 걸 가치가 있는가?”, “이렇게 작은 혜택을 위해 커져가는 사이버 범죄와 사기에 노출되고, 내 모든 쇼핑 성향을 기업에 넘겨주는 것이 가치 있는가?”
대답은 '아니오'여야 합니다.
여러분은 로열티 카드를 사용하시나요?
로열티 카드를 사용하면서 어떤 경험을 하셨나요? 돈을 잃은 적이 있으신가요? 아니면 반대로 큰 절약 효과를 보셨나요?
여러분의 생각을 듣고 싶습니다. 아래 댓글란에 의견과 피드백을 남겨주세요.