복도에 하나 더 생긴 사물함 — 가짜 쇼핑몰 11만 9천 곳

학교 복도에 사물함이 죽 늘어서 있습니다. 내 것은 3층 왼쪽에서 네 번째, 번호는 외우고 있습니다.

어느 날 그 옆에 사물함이 하나 더 생겼습니다. 색도 같고 손잡이도 같습니다. 문에 붙은 번호판도 같고, 심지어 이름표에 적힌 담임 선생님 이름까지 진짜입니다. 다른 점은 딱 하나뿐입니다.

뒤판이 없습니다.

내가 문을 열고 지갑을 넣으면, 지갑은 사물함 안에 머무르지 않습니다. 뚫린 뒤로 그대로 떨어집니다. 반대편 복도에 서 있던 사람 손으로요. 문을 닫는 순간까지도 나는 아무것도 모릅니다.

이번 주 공개된 조사는, 인터넷 쇼핑몰에서 이 일이 아주 큰 규모로 벌어지고 있다고 말합니다. 이 글은 그 사물함 이야기로 끝까지 갑니다.

---

먼저, 내 쪽에서 벌어지는 일

SNS나 검색 광고에 브랜드 할인 링크가 뜹니다. 눌러 보니 페이지가 잘 만들어져 있습니다. 상품 사진도 깔끔하고 설명도 자연스럽습니다. 주소창에는 자물쇠 표시도 붙어 있습니다. 그런데 값이 정가보다 크게 쌉니다.

장바구니에 담고 결제창으로 넘어갑니다. 카드번호를 넣고, 유효기간을 넣고, 카드 뒷면의 세 자리 숫자(CVC)를 넣습니다. 이름과 전화번호, 배송 주소까지 채웁니다. 마지막에 은행에서 문자로 온 일회용 확인번호 — 한 번 쓰면 사라지는 임시 비밀번호입니다 — 를 그 화면에 옮겨 적습니다.

결제는 됩니다. 그런데 주문 확인 메일이 오지 않습니다. 물건도 오지 않습니다.

사실 여기서 이 수법의 가장 고약한 부분이 나옵니다. 사이트에 적혀 있던 고객센터 연락처가 진짜 브랜드의 진짜 연락처입니다. 화가 나서 전화를 걸면 사기꾼이 아니라 진짜 회사 직원이 받습니다. 그리고 그런 주문은 없다고 답합니다. 내가 어디서 당했는지를, 진짜 회사에 전화를 걸고 나서야 알게 되는 겁니다.

사물함 이름표에 담임 선생님 이름이 적혀 있던 것과 같습니다. 물건이 없어졌다고 교무실로 달려가면, 선생님은 그런 사물함을 배정한 적이 없다고 합니다.

사실 결제창에 넣은 값이 어디로 가는지에 대해서는, 카드번호·유효기간·CVC·이름·이메일·전화번호·주소에 은행이 보낸 일회용 확인번호까지 모아 공격자 서버로 실시간으로 넘어간다고 BleepingComputer가 보도했습니다. 이 대목은 조사를 낸 업체의 공개 자료에는 없고 이 보도에만 있습니다. 그래서 “그렇다”가 아니라 “그렇게 보도됐다”까지가 지금 말할 수 있는 전부입니다.

추정 보도가 맞다면, 결제 버튼을 누른 다음에 새는 게 아니라 타이핑하는 동안 이미 새는 구조입니다. 취소 버튼을 눌러도 소용이 없다는 뜻이 됩니다. 뒤판 없는 사물함은 문을 닫든 말든 상관이 없으니까요.

왜 이게 통할까 — 진짜에서 통째로 떠 왔으니까

가짜 쇼핑몰이 어설플 거라는 생각은 접는 게 좋습니다.

사실 이 쇼핑몰들은 실제 브랜드의 상품 사진과 상품 설명을 그대로 베껴 옵니다. 그러니 사진이 어색할 리가 없습니다. 원본에서 떠 온 것이니까요. 거기에 값만 크게 깎아 붙입니다.

추정 자물쇠 표시도 판단 근거가 되지 못합니다. 주소창의 자물쇠는 “이 사이트는 믿을 만한 곳”이라는 도장이 아닙니다. “나와 이 사이트 사이에 오가는 내용을 옆에서 훔쳐볼 수는 없다”는 뜻일 뿐입니다. 사물함에 튼튼한 자물쇠가 달려 있다고 해서 그게 내 사물함이라는 증명이 되지 않는 것과 같습니다. 자물쇠는 상자를 지켜 주지, 상자 주인이 누구인지는 말해 주지 않습니다.

사실 찍어내는 방식이라는 정황도 보도됐습니다. 확인된 쇼핑몰의 96%가 똑같은 뼈대 파일로 만들어졌고, 접속하는 서버도 27개 묶음으로 모인다고 합니다. 한 곳에서 틀을 찍어 복도마다 갖다 놓는 셈입니다. 이 역시 보도에만 있는 내용입니다.

사실 미끼는 할인 폭입니다. 최대 65%까지 깎아 주는 것처럼 보이게 한다고 보도됐습니다. 10만 원짜리가 3만 5천 원으로 보인다는 얘기입니다. 이 정도로 싸면 좋은 기회를 잡은 게 아니라, 내가 미끼 앞에 서 있을 확률이 더 높습니다.

숫자로 본 크기

숫자를 먼저 보겠습니다. 셋째 칸(어디서 나온 수인지)을 같이 봐 주세요. 확인된 것과 보도에만 있는 것이 섞여 있습니다.

수집 기준일은 2026-09-05입니다.

11만 9천이라는 수가 잘 안 잡힐 겁니다. 하루에 100곳씩 문을 닫게 해도 3년이 넘게 걸리는 양입니다. 그동안 새 주소는 계속 열리고요. 그래서 “이 주소는 사기래” 하고 하나씩 외워서 피하는 방식은 처음부터 성립하지 않습니다. 복도에 가짜 사물함이 하나 놓인 게 아니라, 매일 아침 새로 놓입니다.

사실 4만 4천 곳이라는 브랜드 수도 같이 봐야 합니다. 하루에 한 브랜드씩 확인해도 120년이 넘게 걸리는 목록입니다. 여기서 나오는 결론은 하나입니다. 내가 아는 브랜드 이름이 걸려 있다는 건, 그 사이트가 진짜라는 근거가 전혀 되지 못합니다. 이름을 아는 브랜드일수록 오히려 도용 목록에 올라 있을 가능성이 큽니다. 참고로 이 목록에 오른 브랜드들은 가해자가 아니라 이름을 빼앗긴 쪽입니다.

사실 .shop으로 끝나는 주소 100곳 가운데 3곳에 가까운 수가 이 무리입니다. 주소 맨 끝에 붙는 .com, .co.kr 같은 부분을 최상위 도메인이라고 부르는데, 여기서는 대부분이 .shop을 씁니다.

추정 그렇다고 “.shop이면 사기”는 아닙니다. 멀쩡한 .shop 사이트가 97%가 넘습니다. 다만 주소 끝이 평소에 보던 것과 다르면, 넘어가지 말고 한 번 더 들여다볼 이유는 됩니다.

사실 전에 알려진 비슷한 가짜 쇼핑몰 무리는 7만 5천 곳 규모였다고 합니다. 이번 건이 공개된 것 중 가장 크다는 것이 보도의 설명입니다.

그래서 지금 할 일

할 일은 두 가지입니다. 어렵지 않습니다.

하나. 카드번호를 넣기 직전에, 주소창을 본다.

지금 보고 있는 페이지의 주소를, 그 브랜드의 공식 사이트 주소와 직접 맞춰 봅니다. 눈으로 대충 훑지 말고, 공식 사이트를 따로 한 번 열어서 나란히 놓고 비교하세요. 그리고 이게 핵심인데 — 광고 링크를 눌러 바로 들어간 곳에서는 카드번호를 넣지 않습니다. 사고 싶은 게 생겼으면 그 링크를 닫고, 브랜드 이름을 직접 검색하거나 평소 쓰던 공식 앱으로 들어가서 거기서 사면 됩니다. 사물함에 물건을 넣기 전에 번호판을 확인하는 것, 딱 그만큼의 일입니다.

둘. 이미 넣었다면, 오늘 카드사에 연락한다.

넣은 카드를 정지시키고 재발급을 요청하세요. 그리고 최근 결제 내역을 훑어보세요. 물건이 안 왔다는 걸 확인하고 나서 움직이는 게 아니라, 넣었다는 걸 안 시점에 바로 하는 일입니다. 창피해할 일도 아닙니다. 사진도 설명도 전화번호도 진짜에서 떠 온 페이지였으니까요.

우리가 모르는 것

이 블로그는 확인되지 않은 걸 확인된 것처럼 쓰지 않습니다. 이번 건에서 아직 모르는 것들입니다.

• 한국에서 몇 명이 당했는지 모릅니다. 국내 피해 규모도, 국내 유입 경로도 이번 조사에 나오지 않습니다.
• 누가 운영하는지 모릅니다. 어느 나라 조직인지도 밝혀지지 않았습니다. 그래서 이 글에는 국적도 조직 이름도 붙이지 않았습니다.
• 실제 피해 건수를 모릅니다. 11만 9천은 사이트 수이지 피해자 수가 아닙니다. 이 둘은 완전히 다른 값입니다.
• 가로챈 은행 일회용 확인번호를 실제로 어떻게 쓰는지 모릅니다. 보도에 설명이 없습니다. 결제 승인에 곧바로 쓴다고 단정할 수 없습니다.
• 사람들이 이 사이트에 어떤 경로로 주로 닿는지 모릅니다. 광고인지 검색인지 SNS인지, 확정된 설명이 없습니다.
• 조사 보고서의 정확한 발행일이 명시돼 있지 않습니다. 이 글의 수치 기준일은 데이터 수집일인 2026-09-05입니다.

여기에 더해, 결제창 입력값 실시간 전송과 “10만 5천 곳이 아직 살아 있다”는 수치는 1차 자료에 없고 BleepingComputer 보도에만 있습니다. 이 글에서 후자는 아예 쓰지 않았고, 전자는 보도라고 밝히고 썼습니다.

출처

1차 출처부터 적습니다.

• nebty, “DoppelCart: 119,000 Domains in What May Be the Largest Documented Fake-Shop Network” (데이터 기준 2026-09-05) — https://nebty-id.com/en/doppelcart-fake-shop-network/
• nebty, “DoppelCart Fake-Shop Database” (데이터 기준 2026-09-05) — https://investigations.nebty-id.com/doppelcart
• BleepingComputer, “DoppelCart fraud network uses 119,000 fake shops to steal credit cards” (2026-09-08) — https://www.bleepingcomputer.com/news/security/doppelcart-fraud-network-uses-119-000-fake-shops-to-steal-credit-cards/

---

이 글은 우리 관측이 아니라 남의 취재를 재료로 씁니다. 그래서 공격 타임라인·MITRE·IOC 블록이 없습니다 — 없는 자료를 만들어 넣지 않습니다. 수치는 1차 조사 자료(2026-09-05 기준)를 우선으로 삼았고, 1차 자료에 없이 보도에만 있는 내용은 본문에서 “보도됐습니다”로 구분해 적었습니다. 브랜드 수는 1차 데이터베이스 44,783개와 보도 44,182개가 다른데, 데이터베이스가 계속 갱신되는 것으로 보여 1차 수치를 썼습니다. 공격 주체의 국적·소속과 국내 피해 규모는 확인되지 않았으므로 이 글에 적지 않았습니다. 따라 할 수 있는 명령어·주소·절차는 싣지 않습니다. 발행일 2026-09-10.