설명: 낯선 가게가 문의를 접수했다며 답장했는데, 내용은 거액의 암호화폐와 수상한 링크. 내 메일이 해킹된 것인지, 문의 양식이 어떻게 악용되는지 정리했다.
답: 제3자가 남의 이메일 주소와 사기 문구를 문의 양식에 넣고, 가게의 자동 회신을 배달 수단으로 이용했을 수 있다. 이 메일 하나만으로 계정 침입을 단정할 수 없다.
문의 감사합니다. 그런데 누가 문의했죠?
연락한 적 없는 식당이 정중하게 접수 확인을 보낸다. 곧 답변을 준단다. 잠깐, 메뉴판도 안 물어봤는데 무슨 답변?
이름은 뜻 없는 알파벳이고 내용은 거액의 USDT 잔액을 확인하라는 링크다. 음식은 없고 미끼만 있다. 이 패턴은 자동 회신 악용과 맞지만 발신자의 신원, 봇 사용 여부, 주소 입수 경로는 확인되지 않았다. 가게가 공범이라는 근거도 없다.
가게가 무료 배송원이 되는 과정
- 제3자가 공개 문의 양식을 연다.
- 다른 사람의 주소를 답장 칸에 넣고 이름이나 본문에 유인 문구를 쓴다.
- 사이트가 입력 내용을 포함한 확인 메일을 자동 발송한다.
- 수신자는 가게 이름이 붙은 사기 문구를 받는다.
가게: “문의 감사합니다.” 수신자: “안 했는데요.” 사기꾼: “배송 완료.” 대화는 엉망인데 배송은 정확하다.
일본 정보처리추진기구는 2020년 별개 사건에서 자동 회신을 통해 악성 메일 10만 통 이상이 발송된 사례를 공개했다. 이번 메일의 규모를 나타내는 수치는 아니다.
내 이메일이 해킹된 걸까?
그 메일만으로는 알 수 없다. 공개 양식은 주소의 실제 소유자인지 확인하지 않을 수 있다. 누군가 주소만 알아도 답장을 유도할 수 있다는 뜻이다.
주소는 공개 정보나 과거 유출 목록 등에서 왔을 수 있지만 출처는 불명이다. 다만 알 수 없는 로그인 알림, 보낸 편지함의 수상한 메일, 설정 변경이 있다면 계정 보안을 별도로 확인하자.
받은 사람과 운영자의 대응
받은 사람은 링크를 열거나 돈을 받으려 하지 말고 스팸·피싱으로 신고한 뒤 삭제하면 된다. 실제 서비스를 확인할 때는 원래 알고 있던 공식 경로를 이용한다. 반복된다면 시각과 제목 등을 간단히 기록하자.
운영자는 사용자가 작성한 이름, 메시지, 링크를 자동 회신에 그대로 넣을 필요가 있는지 점검하고, 자동 제출 방지와 발송 제한을 고려해야 한다. Contact Form 7의 공식 경고도 이런 설정의 위험을 설명하지만, 이 가게가 해당 프로그램을 사용했다는 뜻은 아니다.
반품하고 싶은 결말
수신자는 귀찮고 가게는 평판까지 위험하다. 무료 배송을 얻으려는 사람은 사기꾼뿐. 시킨 적 없는 배달이 왔는데 내용물이 피싱이라니. 음식보다 반품 버튼이 먼저다.
