요약
미국 식당 체인을 사칭한 가짜 주문 사이트 820개가 발견됐고, 일부는 결제 단계에서 카드 정보를 훔쳤습니다.
인포호크 연구진이 11월 초 조사해 발표한 내용입니다. 저지 마이크스를 흉내 낸 도메인 하나에서 출발해 35개 브랜드를 사칭한 도메인망을 찾았고, 그중 808개가 .delivery 최상위 도메인을 썼습니다.
왜 중요한가
- 식당 사이트를 해킹하지 않고도 진짜 메뉴와 가격, 장바구니를 그대로 보여 줘서 주소 말고는 진짜와 가려낼 단서가 거의 없습니다.
- 카드 번호에 더해 은행 문자 인증번호까지 받아 내 3-D Secure(결제 때 은행이 본인 확인을 한 번 더 하는 절차)를 통과하는 것으로 연구진은 보고 있습니다.
- 복제 사이트가 가져가는 페이지 요청은 모두 브랜드 서버에 찍히므로, 식당과 주문 대행 업체가 먼저 잡아낼 여지가 있습니다.
핵심 내용
- 복제 사이트는 리버스 프록시(사용자와 진짜 사이트 사이에서 요청을 대신 전달하는 서버)로 진짜 페이지를 실시간으로 가져오고 결제 창만 바꿔 끼웁니다.
- 가짜 결제 창은 카드 번호, 유효기간, CVV, 이름, 전화번호를 받아 운영자에게 실시간으로 보냅니다.
- 결제를 마치면 진짜 지미 존스 페이지로 넘어가지만, 주문은 식당에 닿지 않아 음식도 확인 메일도 오지 않습니다.
- 피해자를 끌어온 통로는 구글 검색 광고였고, 7월부터 10월까지 광고주 계정 46개 이상에서 광고 47건 이상이 나갔습니다.
- 도메인 820개 중 761개가 클라우드플레어 네임서버를 썼고, 지미 존스 사칭 도메인만 404개였습니다.
HN 반응
- 여러 이용자는 사기 광고로 돈을 버는 구글이 문제의 핵심이라고 비판했고, 신고해도 괜찮다는 답만 돌아왔다는 경험담도 이어졌습니다.
- 새 최상위 도메인이 늘고 브라우저가 주소를 감추는 탓이라는 지적에는, .delivery도 정식 도메인이라 브라우저가 가려낼 방법이 마땅치 않다는 반론이 나왔습니다.
구글 애드센스가 자기네 시스템에 사기 광고를 허용하지 않았다면 이런 건 하나도 통하지 않았을 겁니다. 그런데 허용해요. 매일 수백만 건씩요. (저는 제 웹사이트들에서 매일 이걸 상대하는데, 구글은 신경도 안 씁니다.)
https://en.wikipedia.org/wiki/Racketeer_Influenced_and_Corrupt_Organizations_Act
Cloudflare도 나을 게 없고, 오히려 더 나쁠 수도 있습니다. 신고한 내용과 개인정보(PI)를 문제의 사이트 등록자와, 그 사이트를 서비스하는 호스트(회색이든 검은색이든)에 그대로 넘겨 버립니다. 제 경험상 Cloudflare한테 신고 전달 중개 말고 다른 조치를 하게 만들 방법은 없습니다. 그러면서 정작 불법 행위에는 보호막을 제공하고 있고요.
사이트를 베껴 만든 복제 사이트의 호스트와 등록 대행사 등을 어렵게 추적해서 전부와 구글, Microsoft Safety Scanner 같은 곳에 신고해도 아무도 움직이지 않습니다. 움직인다 해도 쓸모 있을 만큼 제때 움직이는 경우는 없었어요.
한번은 사기꾼이 우리 로고를 우리 쪽에서 바꿔치기할 수 있는 원본 주소에서 그대로 불러다 쓰고 있었습니다. 그래서 Cloudflare 재작성 기능으로, 우리 운영 사이트의 로고는 교체하고 탈취당한 쪽 로고는 "사기 사이트입니다"라고 뜨게 만들었죠.
저는 움직입니다. 오픈소스 DNS 서비스(nip.io/sslip.io)를 운영하는 탓에 매일 삭제 요청을 5건쯤 받거든요. 일종의 저주예요.
지금까지 받은 삭제 요청이 1,000건을 넘는데, Cloudflare나 구글에서 온 건 하나도 없었습니다. 대부분 Netcraft, Phishlabs, doppel.com에서 옵니다.
흥미롭네요… 좀 더 자세히 설명해 주실 수 있나요?
DNS가 어떻게 동작하는지 모르는 사람들이 삭제 요청을 보내는 건가요, 아니면… 정말로 그쪽 DNS 서버에서 특정 결과를 걸러 달라고 요구하는 건가요?
본인이 오라고 초대하는 것 같은데요.
이건 말 그대로 사실이 아닙니다. 제가 상대해 본 호스트 중에서 Cloudflare는 오히려 그렇게 하지 않는 몇 안 되는 곳입니다. 악용 신고 양식에도 원 호스트와 소유자에게 전달할지 선택하는 체크박스가 있고, 체크하지 않으면 아무것도 전달하지 않아요.
정보를 어디서 얻으셨는지 모르겠지만 현실과 말 그대로 정반대입니다.
신고에 실제로 조치를 하느냐는 Cloudflare가 그 사이트를 프록시하고 있는지, 아니면 권한 있는 DNS만 제공하고 있는지에 달려 있습니다. DNS만 제공하는 경우에는 계속 DNS를 제공하고 신고도 거부하는데, 저는 이게 어리석고 답답하다고 생각해요. 프록시하는 경우에는 사이트 앞에 차단 페이지를 띄우는데, 뭐 그저 그렇죠.
대기업의 신고 시스템은 효과가 있지만 회사 입장에서 처리하기 비싼 경로(소송)에서 당신을 떼어 놓고, 대신 /dev/null에다 대고 항의하게 만들려고 설계된 겁니다.
메타와 구글에 사기 신고하는 건 포기했어요. "검토해 봤는데 문제없습니다"라는 답장을 받으면 이것들이 한패라는 확실한 느낌이 듭니다.
FTC와 주 법무장관에게 신고하세요. 변호사에게도 알리시고요.
주 법무장관실에는 네, 꼭 하세요. 소비자 보호 부서 같은 걸 둔 곳이 많습니다.
연방 법무장관 토드 블랜치가 이런 일에 크게 신경 쓸 거라고는 믿기 어렵지만, 시도해서 손해 볼 건 없겠죠.
자기 유튜브 영상에 직접 추천 눌러 보세요. 바로 벽돌 한 트럭 맞은 듯 들이닥칠 겁니다.
사기 광고를 올리면요? 문제없습니다.
식당 브랜드 하나의 사이트를 사칭한 가짜 도메인이 무려 404개라니요!
규모가 어마어마합니다. 숫자 404도 시적이고요. 이 브랜드 이름을 어떻게 (잘못) 철자하든 "의도한" 사이트가 열리니, 404 오류를 볼 일이 없겠네요 :D 말 그대로 스테로이드 맞은 자동 수정이군요.
이런 일이 미국만이 아니라 수백 개 시장에서 벌어지고 있을 거라고 생각합니다. 음식 배달뿐 아니라 다른 종류의 전자상거래에서도 그럴 테고요.
이 미친 듯한 최상위 도메인 난립이 문제의 일부임이 분명합니다. 새로운 게 하나 만들어질 때마다, 사기꾼이 어김없이 채 가서 사기를 치기 전에 정당한 기업과 단체가 부랴부랴 먼저 사들여야 하니까요.
그리고 웹 브라우저가 미친 듯이 도메인 이름과 경로를 눈에 띄지 않게 숨기려 드는 것도 도움이 안 됩니다. https://totallylegitjerseymikes.delivery/ 가 https://www.jerseymikes.com/ 과 시각적으로 똑같이 취급돼서는 안 돼요.
그래서 브라우저가 어떻게 하길 바라시는 건데요? ICANN이 상당히 결함 있는 해법이고 gTLD로 돈 긁어모으기가 터무니없는 수준까지 갔다는 건 맞습니다. 그래도 브라우저 업체한테 뭘 기대하시는 거죠? 예를 들어 .net, .de, .delivery는 관할 기관과 모든 인프라 제공자 기준으로 전부 똑같이 정당한 TLD입니다.
일단 URL 숨기는 짓부터 그만두는 거죠. 그게 아직도 있다는 게 믿기지 않습니다.
이메일 스팸 차단 시스템은 크라우드소싱 등으로 도메인의 평판을 쌓을 수 있습니다. "조직 X의 정식 도메인을 고르는 일"쯤은 분명 계산 가능한 영역 안에 있을 거예요.
물론 도메인 체계가 이중 구조가 될 위험이 있다는 건 인정합니다. "큰 손"은 브라우저에서 초록색 정당성 체크 표시인지 뭔지를 받고, mypersonalwebsite.org를 포함한 나머지는 손해를 보는 구조요. 저도 모든 답을 아는 건 아니지만, 적어도 알려진 사기 사이트 목록을 크라우드소싱해서 브라우저 차원에서 띄워 주는 정도는 우리가 분명 할 수 있습니다.
지역 업체 디렉터리를 브라우저에 불러오게 하면 재미있겠네요.
동네에 banana.tw가 있다면, banana.delivery를 열 때 "banana.tw를 찾으셨나요?" 하고 묻는 팝업이 뜨게 할 수 있을 겁니다.
여기서는 구글이 문제의 전부입니다. 돈만 내면 말 그대로 사기 사이트가 검색 결과에서 진짜 사이트 위에 올라갈 수 있어요.
구글은 왜 사람들을 말 그대로 사기 사이트로 안내해도 되는 겁니까? 왜 말 그대로 사기로 돈을 벌어도 되는 거죠?
제가 일하는 회사가 이 피해를 보고 있습니다. 검색 광고 링크를 눌러 들어갔다가 사기를 당한 사람들의 항의 전화가 매일같이 옵니다. 우리 사이트를 찾으려던 사람들이요.
우리 사이트는 10년이 넘었습니다. 모든 식료품점과 상인이 아는 브랜드가 어떻게 같은 이름을 사칭하는 야반도주 사기 업체 밑에 뜨는지, 정당화될 이유가 없습니다. 용납할 수 없어요.
제 여동생도 바로 지난주에 똑같은 수법에 당했습니다.
저는 잘 모르는 분야의 물건을 볼 때 구글 쇼핑을 자주 씁니다. 그러면 절반쯤은 다른 곳보다 훨씬 싸게 파는 가게가 하나 있어요. 그럴 때 새 탭을 열어서 구글 검색 AI에게 그 사이트가 믿을 만한지 물어보면, 95%는 유명한 사기 사이트라는 답이 나옵니다. 그러니까 허약한 검색 AI는 사기인 줄 아는데, 구글 쇼핑은 사람들을 거기로 보내는 데 아무 거리낌이 없는 겁니다. (아마 제휴 코드를 붙여서겠죠.)
다른 사람보다 광고비를 적게 내고 계신 것 같네요. 세상의 통화는 관심이고, 더 내면 사이트가 위에 올라갈 겁니다. 분명 그 제품을 원하는 고객이 있다는 얘기니까요.
명백히 사기를 치는 자보다 더 내야 하는 일이 있어서는 안 됩니다. 명백히 사기를 치는 자들과 손잡기로 결정한 구글 직원들이야말로 감옥에 가야 하니까요.
네, 그리고 집값도 감당할 만해야 하고, 세상에 전쟁도 없어야 하고, 사람들이 욕심을 부리지 않아야겠죠. 동화 같은 "~해야 한다"가 아니라 지금 눈앞에 있는 사실과 인센티브를 봅시다.
구글은 소송을 걸 수 있는 어느 누구보다 돈이 많습니다.
당신은 브랜드 평판이 훼손되는 걸 원치 않습니다.
그러니 불평하면서 질 게 뻔한 무의미한 법적 절차에 큰돈을 쓰든가, 아니면 지금 광고비를 내든가 둘 중 하나를 고르게 됩니다. 광고비를 내면 사람들이 그 제품에 관심이 있으니 결국 최소한 일부는 회수할 수 있고요.
그러니 지금 할 수 있는 완전히 합리적인 선택은 이렇습니다. 브랜드 훼손 비용이 광고비보다 크면 광고를 사세요. 그렇지 않으면 괜찮은 거고, 사람들이 사기당하는 건 당신 손을 떠난 일이니 어쩔 수 없는 겁니다.
물론 둘 다 할 수 있죠. 보호비를 뜯는 조직에 돈을 내면서, 동시에 사기에 직접 가담하는 대기업을 정부가 단속하도록 인식을 퍼뜨리고 합의와 요구를 만들어 가는 겁니다.
그렇게 할 수는 있죠. 하지만 그럼 그건 보호비라고 불러야 합니다.
회사에서 일하신다면서요? 이 문제를 만든 구글을 상대로 회사는 왜 아직 소송을 안 걸었습니까?
젠장. 가끔 이런 플랫폼 중간상인을 빼 버리는 연합형(federated) 디지털 배달 인프라를 상상하곤 하는데, 이런 악용과 관리 문제 때문에 그 아이디어는 여전히 뜰 수가 없습니다. 중앙집중화가 당신(그리고 식당)에게 주는 건 결국 이런 겁니다.
원래 웹사이트 주인이 로그를 보고 요청이 대부분 어디서 오는지 확인할 수 없나요? 그리고 리퍼러(referrer)도 결정적 단서가 될 텐데요? 누군가 가끔
access.log파일을 들여다본다는 전제에서요.주거용 프록시(residential proxy)를 쓸 수 있잖아요.
그리고 주거용 프록시는 과도한 AI 차단 때문에 점점 더 정당한 것이 되어 가고 있고요.
IP 대역과 User-Agent를 차단하는 건 "AI"와 아무 상관 없습니다. 인프라를 고치기보다 사용자를 차별하는 쪽을 택하는 게으른 시스템 관리자들의 나쁜 관행이에요. 저는 구글과 Reddit에서 IP 대역이 차단된 비영리 ISP(fdn.fr)에서 이 글을 쓰고 있는데, 왜 차단됐는지, 어떻게 풀어야 하는지 아직도 아무도 모릅니다 [0].
반면 주거용 프록시는 정당한 용도가 하나도 없다고 생각해요. 유튜브를 우회해서 흥미로운 영상을 BitTorrent로 내보내는 사람들이라면 지지하겠습니다. 하지만 실제로 벌어지는 일은 악의적인 행위자들이 속도 제한을 피해 작은 사이트들에서 행실 나쁜 스크레이퍼를 돌리는 겁니다. 그리고 그보다 훨씬 나쁜 게 주거용 프록시 경제 그 자체고요.
[0] https://www.fdn.fr/the-fdn-and-gitoyen-networks-are-blocked-by-amazon-web-services-aws-youtube-and-engie-and-no-one-knows-why/