레이 장 알리익스프레스코리아 한국대표가 지난 2023년 서울 중구 소공동 롯데호텔에서 AliExpress(알리익스프레스) 지적재산권 및 소비자보호 강화 발표 기자간담회를 갖고 있다. /사진제공=머니S


중국 이커머스(전자상거래) 알리익스프레스에서 지난해 10월 해킹 사고가 발생한 사실이 뒤늦게 알려졌다. 해커는 셀러(판매자) 계정에 접근해 정산 계좌 번호를 바꿔 80억원 이상을 가로챈 것으로 나타났다.
20일 한국인터넷진흥원이 이해민 조국혁신당 의원실에 제출한 '알리익스프레스(이하 알리) 침해사고 신고 접수 내역'에 따르면 지난해 바다이야기부활 10월 16일부터 23일까지 알리 셀러 온라인 포털에 해커가 무단 접근해 계정을 도용한 해킹 사건이 발생했다.
알리 내부 조사에 따르면 해커는 해당 포털 계정 비밀번호 복구에 사용하는 일회용 비밀번호(OTP) 프로세스 취약점을 악용해 일부 판매자 계정에 무단 접근했다. 자신의 이메일 주소를 사용해 OTP 프로세스를 통과하고 피해 계정의 릴게임사이트추천 비밀번호를 재설정한 것으로 파악된다.
해커는 107개 셀러 계정 비밀번호를 재설정했고 이 가운데 83개 계정의 정산금 계좌를 다른 명의로 새로 등록했다. 이런 방식으로 해커는 알리가 셀러에게 지급해야 할 600만달러(약 86억원)를 가로챈 것으로 나타났다.
알리는 셀러 대금 미정산을 인지한 16일부터 23일까지 시스템 전 릴게임다운로드 반을 점검하고 이후 모든 셀러 계정의 OTP 인증 프로세스를 수정했다. 프로세스 수정 기간 셀러 계정 정산금 계좌 변경 기능을 일시적으로 차단하고 모든 셀러 계정을 로그아웃했고 바로 로그인 비밀번호를 업데이트하도록 안내했다.
알리는 지난해 10월 20일 해킹 피해로 정산금을 받지 못한 셀러에게 가산 지연이자를 포함한 정산금을 전액 지급한 모바일야마토 것으로 전해졌다. 알리 관계자는 "정산 지연에 따른 이자 손실에 대해선 10월 27일, 적용 이자율의 2배에 해당하는 추가 보상까지 지급했다"고 설명했다.
알리 측은 이와 동시에 셀러 정산 프로세스 정보 보안 민감도 기준 상향, 최신 보안 공격 기법 분석, 신원 인증과 이상 징후 탐지 체계 고도화 등 재발 방지 후속 대책을 시행했다고 설명 바다이야기예시야마토게임 했다.
알리는 이번 사건으로 셀러 대금 미정산 외에 별도로 고객 정보가 유출·침해된 사실이 없단 입장을 밝혔다.



알리익스프레스 해킹 사고 신고서 내용 일부, 경찰 신고여부 항목에 예로 표기돼 있다. /자료=이해민 조국혁신당 의원실


이번 해킹 사건 보고 과정에서 알리가 한국인터넷진흥원에 허위 정보를 제출했다는 의혹은 남아있다. 알리는 신고서 양식에 포함된 '경찰 신고여부' 항목에 '예'라고 표시했지만 실제로는 수사기관에 피해 사실을 신고하지 않은 것으로 알려졌다. 이에 대해 알리 측은 "경찰 신고 의무가 아니라고 해서 하지 않았다"는 입장을 밝혔다. 알리 측은 이에 대한 근거 조항을 묻는 질문에는 추가 확인한 뒤 입장을 전달하겠다고 했다.
한편 이번 사고로 인해 알리와 합작법인(JV) 형태로 손을 잡은 국내 이커머스 지마켓의 계정 정보 보안 문제도 거론된다. 이에 대해 지마켓 관계자는 "지마켓과 알리는 별개의 플랫폼으로 셀러, 고객 데이터를 완전히 분리해서 관리하고 있다"며 "해당 사건과 지마켓 정보 관리는 관계가 없다"고 말했다. 공정거래위원회는 지난해 9월 양사의 JV 설립을 승인하면서 '국내 소비자 데이터 공유를 금지한다'는 조건을 달았다.
유엄식 기자 usyoo@mt.co.kr 하수민 기자 breathe_in@mt.co.kr