넥슨 문자해킹, 피해자만 있고 가해자는 없네

게임머니 30만원 결제에 결제대행사·통신사 모르쇠

[아시아경제 조유진 기자]#. 직장인 A씨는 최근 자신도 모르는 사이 30만원이 결제되는 소액결제 피해를 당했다. 안드로이폰 사용자인 그는 '안드로이드를 2월2일 업데이트했습니다. 새로운 버전을 설치해주세요'라는 문자를 받고 무심코 다운로드 링크를 클릭했다. 그리고 며칠 뒤 우연찮게 통신사를 통해 요금을 조회했더니 게임 머니 구입으로 30만원이 빠져나간 것을 확인하고 깜짝 놀랐다. 전자 결제대행사를 통해 여러 차례 결제가 이뤄진 것이다. 건당 3~5만원으로 총 피해액은 30만원이었다. 일명 트로이 목마형 악성 앱이 설치되면서 해커들이 미리 확보한 사용자의 개인정보를 토대로 온라인 결제를 시도한 것이다.

15일 업계에 따르면 모바일 애플리케이션 시장이 급성장하면서 A씨와 같은 소액결제 피해 사례가 최근 속출하고 있다. 해커(제3자)가 피해자의 스마트폰에 악성 앱을 유포시켜 결제 금액을 가로채는 식이다. 안드로이드 운영체제를 사용하는 스마트폰이 주요 타깃이다.

피해 유형도 다양하다. 사용자 모르게 해킹 앱을 설치해 개인정보를 빼가는 '트로이 목마형'부터 PC시스템이나 언어 취약점을 악용하는 '익스플로잇형', 컴퓨터 사용시 자동으로 광고 사이트가 나오게 하는 '애드웨어형' 등 점차 지능화되고 있다.

피해 방지를 위해서는 모바일 앱을 내려받을 때 사용자가 주의를 기울어야 한다는 지적이다. 하지만 결제대행 업체나 게임사가 인증 방식이나 본인 확인에 더욱 주의를 기울여야 한다는 목소리도 높다. A씨는 "결제대행업체가 인증 전에 악성 앱 유포를 방지하는 백신 프로그램 설치를 권장하거나 소액결제라는 취지에 맞게 한도를 낮추는 등의 조처를 취해야 한다"고 꼬집었다.

현재로선 A씨와 같은 피해자가 구제받을 수 있는 길은 없다. A씨의 항의에 결제 대행업체인 다날은 "취소 환불의 권한이 없다"며 "게임 업체에 문의하라"고 책임을 미뤘다. 게임사인 넥슨도 "결제대행업체를 통해 승인이 이뤄졌는지에 관한 정보만 전달받기 때문에 실시간으로 (피싱 사실을) 분별할 수 없다"면서 "이같은 피해를 방지하기 위해 이통사와 결제 대행업체와 적극적으로 대응하는 방안을 논의 중"이라고 덧붙였다.

보안전문업체인 잉카인터넷이 발표한 '3분기 모바일 악성 애플리케이션 동향'에 따르면 올해 3분기 총 51종 4500여개의 안드로이드 악성 앱이 발견됐다. 이는 전분기 8000여개보다는 절반 가까이 줄어든 규모지만 악성 앱의 지능화 추세가 뚜렷해지는 추세다. 보안 업계 관계자는 "모바일 앱 시장이 커지면서 악성 앱도 늘어나고 있다"며 "사용자들이 주의를 기울이는 것은 가장 중요하다"고 조언했다.

조유진 기자 tint@