셀러 정산금 86억원 '해킹 사고' 당한 알리..."피해액 전액 보상"

해커, 83개 셀러 계좌 정보 바꿔 정산금 가로채
알리익스프레스 "재발 방지책 시행…고객정보 유출 없어"

레이 장 알리익스프레스코리아 한국대표가 지난 2023년 서울 중구 소공동 롯데호텔에서 AliExpress(알리익스프레스) 지적재산권 및 소비자보호 강화 발표 기자간담회를 갖고 있다. /사진제공=머니S

중국 이커머스(전자상거래) 알리익스프레스에서 지난해 10월 해킹 사고가 발생한 사실이 뒤늦게 알려졌다. 해커는 셀러(판매자) 계정에 접근해 정산 계좌 번호를 바꿔 80억원 이상을 가로챈 것으로 나타났다.

20일 한국인터넷진흥원이 이해민 조국혁신당 의원실에 제출한 '알리익스프레스(이하 알리) 침해사고 신고 접수 내역'에 따르면 지난해 10월 16일부터 23일까지 알리 셀러 온라인 포털에 해커가 무단 접근해 계정을 도용한 해킹 사건이 발생했다.

알리 내부 조사에 따르면 해커는 해당 포털 계정 비밀번호 복구에 사용하는 일회용 비밀번호(OTP) 프로세스 취약점을 악용해 일부 판매자 계정에 무단 접근했다. 자신의 이메일 주소를 사용해 OTP 프로세스를 통과하고 피해 계정의 비밀번호를 재설정한 것으로 파악된다.

해커는 107개 셀러 계정 비밀번호를 재설정했고 이 가운데 83개 계정의 정산금 계좌를 다른 명의로 새로 등록했다. 이런 방식으로 해커는 알리가 셀러에게 지급해야 할 600만달러(약 86억원)를 가로챈 것으로 나타났다.

알리는 셀러 대금 미정산을 인지한 16일부터 23일까지 시스템 전반을 점검하고 이후 모든 셀러 계정의 OTP 인증 프로세스를 수정했다. 프로세스 수정 기간 셀러 계정 정산금 계좌 변경 기능을 일시적으로 차단하고 모든 셀러 계정을 로그아웃했고 바로 로그인 비밀번호를 업데이트하도록 안내했다.

알리는 지난해 10월 20일 해킹 피해로 정산금을 받지 못한 셀러에게 가산 지연이자를 포함한 정산금을 전액 지급한 것으로 전해졌다. 알리 관계자는 "정산 지연에 따른 이자 손실에 대해선 10월 27일, 적용 이자율의 2배에 해당하는 추가 보상까지 지급했다"고 설명했다.

알리 측은 이와 동시에 셀러 정산 프로세스 정보 보안 민감도 기준 상향, 최신 보안 공격 기법 분석, 신원 인증과 이상 징후 탐지 체계 고도화 등 재발 방지 후속 대책을 시행했다고 설명했다.

알리는 이번 사건으로 셀러 대금 미정산 외에 별도로 고객 정보가 유출·침해된 사실이 없단 입장을 밝혔다.

알리익스프레스 해킹 사고 신고서 내용 일부, 경찰 신고여부 항목에 예로 표기돼 있다. /자료=이해민 조국혁신당 의원실

이번 해킹 사건 보고 과정에서 알리가 한국인터넷진흥원에 허위 정보를 제출했다는 의혹은 남아있다. 알리는 신고서 양식에 포함된 '경찰 신고여부' 항목에 '예'라고 표시했지만 실제로는 수사기관에 피해 사실을 신고하지 않은 것으로 알려졌다. 이에 대해 알리 측은 "경찰 신고 의무가 아니라고 해서 하지 않았다"는 입장을 밝혔다. 알리 측은 이에 대한 근거 조항을 묻는 질문에는 추가 확인한 뒤 입장을 전달하겠다고 했다.

유엄식 기자 usyoo@mt.co.kr 하수민 기자 breathe_in@mt.co.kr

Copyright ⓒ 머니투데이 & mt.co.kr. 무단 전재 및 재배포, AI학습 이용 금지.