[못참겠다] 어느 날 날아온 해외 카드 결제 문자…애플 연락했더니 답변이?

애플 아이튠즈에서 뭘 산 적도 없는데, 갑자기 해외에서 카드 결제가 됐다는 알림 문자 메시지가 연속으로 쏟아졌습니다.

애플 이메일을 열어보니, 웬 영어로 된 상담 메일이 와 있었습니다. 게임 아이템 구매가 안 된다고 하자, 상담원이 ID를 물어본 뒤 결제되도록 도와준 내용이었습니다.

'본인 확인도 없이 ID만 물어보고 결제 처리를 해 준 건가?' 의문이 들어 급히 애플 지원센터에 연락해 따졌는데, 애플은 이메일 내용도 제대로 확인하지 않은 채 "다른 곳에서 유출된 고객님의 정보로 본인 확인을 다 한 뒤에 상담이 이뤄진 것"이라고 단정 지었습니다.

근거가 뭔지, 정말 애플은 아무 책임도 없는 것인지 계속 물어봤지만, "구체적으로 확인하려면 사법기관에 신고하라"는 말만 되풀이했습니다.

경기도 이천에 사는 직장인 25살 임서영 씨가 겪은 속 터지는 상황입니다.

■갑자기 쏟아진 아이튠즈 해외 결제 승인 문자

임 씨가 출근을 준비하던 지난 3월 17일 오전. 쓰고 있는 아이폰에서 문자 메시지 알림음이 연달아 쏟아졌습니다. 뭔가 하고 봤습니다.

'ITUNES.COM/BILL'이란 사이트 이름과 함께 '해외 KRW 119,000 승인거절 한도초과', '해외승인 KRW 65,000', '해외 KRW 65,000 승인거절 한도초과', '해외승인 KRW 25,000' 등의 문구가 담긴 6개의 문자 메시지.

애플 아이튠즈에서 일부 결제 요청은 승인이 됐고, 다른 일부는 카드 한도가 초과해 거절됐다는 내용이었습니다.

눈앞이 캄캄해진 임 씨, 혹시나 하고 그 앞의 문자를 봤는데, 역시였습니다. '해외승인 KRW 26,200', '해외승인 KRW 119,000', '해외승인 119,000'. 이미 3건의 결제 승인이 끝난 상태였습니다.

놀란 임 씨는 급히 카드사에 연락해 결제 정지부터 시켰습니다. 확인해 보니, 5건의 결제가 승인돼 36만 원가량의 무단 결제가 이뤄진 것으로 파악됐습니다.

그나마도 평소 낮게 설정해뒀던 카드 한도 덕분에 어느 시점부터 한도 초과에 걸린 덕분이었습니다. 카드 한도가 높았더라면 대체 얼마의 금액이 결제됐을지 생각만 해도 아찔했습니다.

■영어 이메일 열어봤더니, ID 도용범과 애플 상담원의 대화

대체 무슨 일이 벌어진 건지, 앱스토어 앱을 열어봤습니다. 해 본 적도 없는 게임의 아이템이 구매된 내역이 떴습니다.

애플 계정에 접속해 봤더니, 메일도 와 있었습니다. 발신인은 'Apple Support', 제목은 'Thanks for contacting us'. 애플 지원센터가 연락해줘서 고맙다는 내용으로 보낸 것이었습니다.

연락한 적도 없는데 뭐가 고맙다는 건지, 메일을 열어봤습니다.

'Case ID: 1007********', '당신과 애플 서포트의 대화 기록이 여기 있습니다'란 내용 아래, 'Chris'라는 애플 상담원과 'lucy tom'이란 사람이 12분 26초 동안 나눴다는 영어 대화 내용이 담겨 있었습니다. 주요 내용은 다음과 같았습니다.

Chris:
"아이튠즈에 연락해주셔서 감사합니다. 당신의 정보를 살펴보도록 잠시만 기다려 주세요."

lucy tom:
"게임에서 그것(게임 아이템으로 추정)을 살 수가 없어요. 어떻게 된 건지 알 수 있게 도와주세요. 고마워요."

Chris:
"구매하는 데 문제를 겪고 있다니 유감입니다. 기꺼이 무슨 일인지 알 수 있도록 하겠습니다. 시작하기 위해 당신의 Apple ID를 주시겠어요?"

lucy tom:
" sy***@gmail.com "

Chris:
"계정을 확인할 수 있도록 몇 분만 기다려주세요."

lucy tom:
"네."

Chris:
"다 됐습니다. 기다려 주셔서 감사합니다. 당신의 계정에서 한 가지를 수정할 수 있었습니다. 똑같은 메시지가 오는지 확인할 수 있게 다시 시도해 봐 주실래요?"

lucy tom:
"네."

Chris:
"구매가 가능하던가요?"

lucy tom:
"감사합니다. 안녕히 계세요."

외국인으로 보이는 'lucy tom'이란 사람이 임 씨 ID를 도용한 뒤 여기 등록된 임 씨 카드로 애플 아이튠즈 앱스토어 게임 속의 뭔가를 구매하려다가 안 되자 애플 측에 연락했고, 애플 상담원은 애플 ID를 물어본 뒤 결제 승인이 되도록 조치한 내용이었습니다.

■"경찰에 신고하라"는 말만 반복한 애플

아이디와 비밀번호가 어떻게 유출됐는지도 의문이었지만, 더 큰 문제는 상담 내용이었습니다. 'ID 사용자가 본인이 맞는지 확인도 없이 ID만 물어보고 결제가 되도록 해 준 것인가?' 임 씨는 강한 의문이 들었고, 곧바로 국내에 있는 애플 지원센터에 연락했습니다.

애플은 일단 결제된 것들은 카드사에 취소 요청을 해 주겠다고 했습니다. 다만 실제 결제 취소까지는 길면 한 달까지 걸릴 수 있고, 카드 사용 한도 제한 역시 결제 취소가 완료된 뒤에야 이뤄질 것이라고 했습니다.

하지만 임 씨가 가진 근본적인 의문에는 "그럴 리가 없다. 경찰에 신고해서 알아보라"는 말만 되돌아왔습니다.

임 씨는 "메일 내용을 보니, 애플 상담원이 다른 확인도 없이 ID만 물어보고 결제가 되도록 도와준 것 아니냐"고 따졌습니다.

하지만 상담원은 "애플에서는 고객의 신원 확인 절차 없이 아이디에 대한 어떠한 사항도 변경할 수가 없다. ID 도용범은 아이디와 비밀번호는 물론, 보안 질문 답변이라든지 카드번호 등 신원 확인 정보까지 이미 다른 곳에서 습득했고, 이걸로 본인 확인을 받은 뒤에 상담을 진행한 것"이라고 못 박았습니다.

이 설명대로라면 ID 도용범은 애초에 본인 확인을 다 받고서 상담을 시작했다는 것인데, 그럼 메일 속의 상담원은 왜 또다시 ID를 물어본 것인지, 논리적으로 의문이 남지 않을 수 없었습니다. 애플 측에서 문제의 상담 기록만 조회해 봐도 어느 정도 알 수 있을 거라고 생각했습니다.

이에 임 씨는 구체적인 경위 파악을 요구했지만, "우리는 임의로 조사할 권한이 없다. 문제를 확인하려면 사법기관에 신고하라"는 말만 반복했습니다.

■전문가 "이메일 기록 있는데도 수사기관 거쳐라? 이해 안 가"

임 씨는 애플의 응대가 부당하다고 호소하며 KBS에 제보했습니다. 취재진은 애플코리아에 ▲최초에 임 씨의 ID와 비밀번호가 어떻게 해킹된 것인지 ▲애플 상담원이 본인 확인 없이 ID만 제시받고 결제 가능 조치를 해 준 것인지 등에 대한 사실관계 확인을 요청했습니다. 애플은 닷새 만에 "내부적인 확인 절차를 밟느라 늦었다"면서 이메일 답변을 보내왔는데, 임 씨가 받은 상담 내용과 다를 게 없었습니다.

애플 측은 "문의하신 고객 개별 사례를 확인해드리긴 어려우나, 참고하실 수 있는 내용을 보내드린다"면서 '애플 ID 및 계정의 보안을 극대화하기 위한 권장사항', '개인정보를 관리할 수 있는 도구 및 방법', '피싱 및 사기로부터 계정을 보호할 수 있는 방법'이 담긴 인터넷 링크들만 보내왔습니다.

전문가의 견해는 어떨까요? 이번 사건과 관련해 애플 스스로 할 수 있는 것은 없는 것인지 물어봤습니다.

국내의 주요 보안업체 관계자는 "수사기관을 통해서만 조사할 수 있다는 건 논리적이지 않다"고 했습니다. "이 사건의 경우는 ID 도용범의 상담 이메일과 같이 사건을 해석할 수 있는 근거가 남아 있지 않으냐"는 것입니다.

이 관계자는 "아이디의 주체로서 상담이 이뤄진 경위와 어떤 국가에서 접속이 이뤄졌는지 등의 기록은 당연히 확인할 수 있는 것인데, 무조건 안 된다, 경찰을 통하라고 하는 것은 이해가 안 간다"고 평가했습니다.

■지난해 중국 사용자 ID 도용 사건 때는 "깊이 사과"

애플은 지난해 10월, 중국에서 일부 애플 사용자들의 ID가 도난돼 앱스토어 무단 결제에 이용된 사건이 발생했을 때는 공식 사과 성명을 냈습니다.

애플은 "고객들에게 불편함을 끼친 것에 대해 깊이 사과한다. 수상한 움직임을 적극적으로 알아보고 있고, 피해를 본 고객들에게 연락하고 있다"고 밝혔습니다.

다만, ID 도용은 가짜 사이트에서 고객 정보를 빼내는 등의 피싱 사기에 따른 것이며, 자신들의 보안에 문제가 있는 것은 아니라고 설명했습니다.

임 씨가 바랐던 것도 이런 진정성 있는 응대였습니다.

애플은 경찰에 신고하라는 말만 할 게 아니라, 자신들의 서비스 이용 과정에 벌어진 일인 만큼 정중히 유감의 뜻부터 표명할 수는 없었을까요?

그리고 ID 도용범의 상담 내역을 분석해 접속 경로를 역추적하고 당시 상담원이 구체적으로 어떤 조치를 해 줬는지 파악하는 등, 수사기관이 아니더라도 스스로 얼마든지 할 수 있는 조치를 해서 임 씨에게 설명해 줄 수는 없었을까요?