미국 우정검사국(USPS Postal Inspection Service)이 연방 기관들과 공조해 위조 우편 라벨을 대량으로 판매해 온 웹사이트를 폐쇄하고 도메인을 압수했다. 플로리다주 마이애미에서 발표된 이 사건에서 파키스탄 국적의 33세 남성이 기소됐으며, 그가 운영한 것으로 알려진 사이트는 500만 장이 넘는 위조 USPS 배송 라벨을 판매해 1억 2,600만 달러 이상의 손실을 초래한 것으로 조사됐다. 언뜻 물류 범죄처럼 보이지만, 그 구조를 들여다보면 결제·인증 체계를 다루는 IT 실무자에게 시사하는 바가 적지 않다.
정액제로 위장한 위조 배송 라벨
법원 기록에 따르면 문제의 사이트는 배송 라벨을 무게나 크기, 목적지와 관계없이 대개 장당 2달러라는 고정 가격에 팔았다. 정상적인 USPS 요금은 소포의 무게와 배송 거리에 따라 산정되기 때문에, 이런 정액제는 그 자체로 정품일 수 없는 신호였다. 하지만 5,000명이 넘는 고객이 이 사이트에서 510만 장이 넘는 라벨을 구매했다. 즉 명백히 시세보다 싼 가격에도 상당한 수요가 존재했다는 뜻이며, 이는 이용자들이 '너무 싸면 의심하라'는 원칙보다 눈앞의 할인을 우선했음을 보여준다.
위조 라벨의 작동 원리는 결국 인증 체계의 허점을 파고드는 것이다. USPS의 배송 라벨에는 요금 납부 정보를 담은 바코드가 인쇄되는데, 발송 시점에 라벨의 유효성이 실시간으로 완전히 검증되지 않으면 위조 라벨이 물류망에 흘러 들어갈 여지가 생긴다. 검사국이 밝힌 손실 규모가 1억 달러를 넘는다는 점은, 개별 소포 단위에서 라벨 진위를 걸러내는 방어선이 대량 악용 앞에서 취약했을 가능성을 시사한다. 이는 QR·바코드 기반 티켓, 쿠폰, 전자 요금 납부 시스템을 설계·운영하는 개발자라면 누구나 마주하는 문제와 본질적으로 같다.
국경을 넘는 단속과 도메인 압수
이번 사건에서 눈여겨볼 또 다른 대목은 집행 방식이다. 기소와 동시에 법원은 도메인 압수와 사이트 폐쇄를 승인하는 명령을 내렸다. 서버나 운영자가 해외에 있더라도, 도메인이라는 접근 경로 자체를 차단함으로써 서비스를 무력화한 것이다. 마이애미 지부의 우편검사 책임자는 "우리의 관할은 국경을 넘어선다"며 우편 서비스를 상대로 사기를 벌이고 미국 소비자를 겨냥하면 끝까지 추적하겠다고 밝혔다. 플로리다 남부지검 검사 역시 이 수법을 "단순하지만 대규모"라고 규정했다.
운영자는 미국을 상대로 한 사기 및 위조 우표 제작·판매 공모 1건, 위조 우편 라벨 제작·판매 5건, 전신 사기(wire fraud) 4건 혐의로 기소됐다. 다만 형사 기소는 어디까지나 혐의일 뿐이며, 모든 피고인은 유죄가 확정되기 전까지 무죄로 추정된다는 점은 기사에서도 분명히 하고 있다. 국내 언론이 해외 사건을 다룰 때 흔히 놓치는 이 원칙은, 확정 판결 전 단계임을 독자에게 정확히 전달하기 위해 반드시 유지되어야 한다.
실무적으로 무엇을 읽을 것인가
한국 IT 실무자 입장에서 이 사건은 세 가지 층위에서 참고할 만하다. 첫째, 요금이나 권리를 표상하는 바코드·라벨은 발급 시점의 검증만으로는 부족하며, 사용 시점에 서버 측에서 재검증하고 중복·위조 사용을 탐지하는 구조가 필요하다는 점이다. 정액제처럼 '경제적으로 말이 안 되는' 가격 패턴은 그 자체로 이상 거래 탐지의 신호가 될 수 있다. 둘째, 5,000명 이상이 510만 장을 구매했다는 수치는 이상 징후가 오랜 기간 누적됐음을 암시한다. 대량·반복 발급 패턴을 모니터링하는 것이 사후 피해 규모를 좌우한다.
셋째, 도메인 압수라는 집행 수단이 실제로 작동했다는 사실이다. 결제·인증을 다루는 서비스가 악용될 경우, 운영 주체가 해외에 있더라도 도메인 차원의 차단이 유효한 대응책이 될 수 있다. 다만 이번 발표만으로는 위조 라벨이 구체적으로 어떤 기술적 취약점을 이용했는지, USPS가 검증 절차를 어떻게 보완할지가 드러나지 않는다. 손실 추정액과 판매량 역시 수사 기관이 제시한 기소 단계의 수치라는 한계를 안고 있다. 결국 이 사건은 완결된 기술 분석이라기보다, 요금 인증 시스템을 다루는 이들이 자사 방어선을 점검하도록 자극하는 하나의 경고 신호로 읽는 편이 정확하다.