알리익스프레스코리아 판매자 계정 해킹 경찰 수사
2월 정식 수사 전환…“국제 공조 필요해 시간 소요”

중국 이커머스 업체 알리익스프레스코리아의 판매자 계정 해킹 사건에 대한 경찰의 정식 수사가 시작된 지 반년이 지났지만, 아직 해커 신원을 파악하지 못한 것으로 확인됐다.

알리익스프레스. 연합뉴스

21일 인천경찰청 사이버범죄수사대 등에 따르면 경찰은 지난 2월 알리익스프레스코리아 해킹 사건을 입건 전 조사(내사)에서 정식 수사로 전환한 뒤 수사를 이어가고 있다. 하지만 6개월이 지난 현재까지 피의자의 신원은 특정하지 못한 상태다.

경찰 관계자는 “국제 공조가 필요한 사안이라 시간이 소요되고 있다”며 “해커 신원은 아직 파악하지 못했다”고 밝혔다.

해당 사건은 지난해 10월 알리익스프레스 한국 판매자들이 이용하는 비즈니스 온라인 포털에서 발생했다. 당시 해커는 판매자 계정의 비밀번호를 복구할 때 사용되는 일회용 비밀번호(OTP) 인증 절차의 취약점을 이용한 것으로 조사됐다.

조국혁신당 이해민 의원이 한국인터넷진흥원으로부터 확보한 침해사고 신고서를 보면 해커는 타인의 이메일 주소를 이용해 OTP 인증을 통과해 비즈니스 계정의 비밀번호를 재설정했다. 이 방식으로 총 107개 판매자 계정의 비밀번호를 재설정했고, 이 중 83개 계정에서는 정산금 수령 계좌가 해커의 계좌로 변경된 것으로 조사됐다.

이로 인해 판매자들에게 지급돼야 할 정산금 약 600만 달러(약 86억원)가 제때 지급되지 않았다. 알리익스프레스는 미지급 정산금에 가산 지연이자를 더해 판매자들에게 지급했으며, 판매자들은 어떤 금전적 손실도 입지 않도록 보장했다고 보고했다. 당시 알리익스프레스는 일부 판매자로부터 정산금이 미지급됐다는 연락을 받기 전까지 이상 징후를 확인하지 못했다.

경찰은 앞서 관련 언론 보도 등을 통해 사건을 인지하고 내사에 착수했다. 이후 실제 해킹 피해가 발생했는지, 해커가 어떤 방식으로 시스템에 접근했는지 등을 확인했고, 범죄 혐의가 구체화되면서 올 2월 정식 수사로 전환했다.

당시 경찰은 정보통신망법 위반과 컴퓨터 등 사용사기 혐의를 적용해 성명불상의 해커를 피의자로 입건하고 수사를 진행했다. 피해자인 알리익스프레스 측의 진술과 관련 자료도 확보했다. 경찰 관계자는 “알리 측이 정산금을 모두 지급한 만큼 각 판매자의 금전적 피해는 없는 것으로 봤다”며 “알리 측이 피해자인 것으로 보고 수사를 진행 중”이라고 말했다.

정식 수사로 전환된 뒤에도 해커 신원 특정에 시간이 걸리는 배경에는 해외 계좌 등에 대한 확인 작업이 있는 것으로 파악됐다. 해외 금융기관이나 수사기관 등을 통한 확인 절차가 필요해 국내 사건보다 수사 속도가 늦어질 수밖에 없다는 설명이다.

알리익스프레스는 현재까지 추가 피해는 발생하지 않았다는 입장이다.

알리익스프레스 관계자는 “지난해 관련 사안을 확인한 즉시 관계 당국에 신고한 뒤 필요한 조치를 완료했고, 피해 셀러에 대한 정산과 보상 절차도 모두 마무리했다”며 “현재 관련 시스템의 보안과 모니터링 체계를 한층 강화해 운영하고 있다”고 말했다.

김수연 기자 [e-mail]