80억 정산금 멈췄다···알리익스프레스 ‘셀러 계정 해킹’ 내사 착수

알리익스프레스 로고. [사진=알리익스프레스]

[이뉴스투데이 김진영 기자] 중국 전자상거래(e커머스) 업체 알리익스프레스코리아의 판매자(셀러) 계정이 해킹된 사실이 뒤늦게 알려지면서, 경찰이 입건 전 조사(내사)에 착수했다. 이번 사고로 80억원이 넘는 정산금 지급이 일시적으로 지연된 것으로 파악됐다.

인천경찰청 사이버범죄수사대는 알리익스프레스 해킹 사건과 관련해 내사를 시작했다고 27일 밝혔다. 고소·고발은 접수되지 않았지만, 언론 보도와 관계 기관 자료를 토대로 실제 해킹 여부와 침입 경로, 피해 범위 등을 확인하고 있다는 설명이다.

사건은 지난해 10월 발생했다. 이해민 조국혁신당 의원이 한국인터넷진흥원으로부터 확보한 ‘알리익스프레스코리아 침해사고 신고서’에 따르면, 내부 모니터링 과정에서 판매자들이 이용하는 비즈니스 온라인 포털에 제삼자의 비인가 접근 정황을 확인했다.

조사 결과 해커는 비즈니스 계정 비밀번호 복구 절차에 사용되는 일회용 비밀번호(OTP) 시스템의 취약점을 악용해 107개 계정의 비밀번호를 재설정했다. 이 가운데 83개 계정에서는 정산금 지급 계좌가 해커의 계좌로 변경된 것으로 나타났다.

이 계좌를 통해 약 600만달러(약 86억원)가 이동하면서 판매자 정산금 지급이 하루가량 지연됐다. 알리익스프레스는 미지급 정산금에 가산 지연이자와 추가 보상을 더해 판매자들에게 지급했다고 전했다.

다만 신고서에는 일부 판매자들로부터 정산금 미지급 문의가 접수되기 전까지 내부적으로 뚜렷한 이상 징후를 인지하지 못했던 것으로 기재돼 있다. 사고 인지 이후 알리익스프레스는 OTP 시스템을 보완하고, 정산 및 출금 전 과정에 대한 재검증과 모니터링 절차를 강화했다고 언급했다.

보안 관리 체계에 대한 지적도 제기된다. 과학기술정보통신부가 이 의원실에 제출한 자료에 따르면, 알리익스프레스는 사건 발생 당시 정보보호관리체계(ISMS) 인증받지 않은 상태였다. 이에 알리익스프레스 측은 “지난해 인증 신청서를 제출했고 현장 심사까지 완료했다”며 “조만간 KISA 인증위원회에 심사 보고서를 제출할 예정”이라고 말했다.

한편, 경찰은 해킹 경위와 보안 관리상 문제 여부를 중심으로 사실관계를 확인한 뒤, 추가 조치 여부를 판단할 방침이다.