사기꾼들이 단돈 249달러짜리 웹사이트 제작 툴킷을 이용해 연간 최대 2,000달러짜리 가짜 AI 구독 서비스를 판매하는 사기 네트워크가 발견됐습니다. 이 사이트들은 GPT-6 Astra, PixAI 등 실존하는 AI 서비스 이름을 도용하고, 진짜 Google 로그인 화면을 연결해 이용자들이 정식 서비스로 착각하게 만듭니다. Malwarebytes는 이런 방식으로 구축된 사이트 100개 이상을 확인했으며, 모두 동일한 개발자 정보와 파일 구조를 공유해 단일 운영자나 연계 집단의 소행으로 추정됩니다. Google 로그인이 성공했다고 해서 그 서비스가 신뢰할 수 있다는 뜻은 아니며, 실제로 구독 비용을 지불한 후 환불이나 분쟁 해결이 매우 어렵습니다. 사이트 URL이 원하는 제품의 공식 주소와 일치하는지 반드시 직접 확인하는 것이 중요합니다.
사기 집단이 249달러짜리 상용 웹사이트 킷으로 100개 이상의 가짜 AI 서비스 사이트를 구축해 연 최대 2,000달러의 구독료를 편취하고 있다. GPT-6 Astra, DaVinci Resolve, PixAI, Omegle 등 유명 브랜드를 사칭한다.
피해자는 실제 AI 서비스를 구매했다고 믿고 고액을 결제하지만 검증되지 않은 서비스를 받거나 아무것도 받지 못할 수 있다. 사이트에 문서·녹음 파일을 업로드하도록 유도해 민감 정보가 유출될 위험도 있다.
Google OAuth 로그인은 Google이 인증을 처리했다는 사실만 확인할 뿐, 서비스의 정당성을 보증하지 않는다. 동일 킷 기반의 사이트들은 공통 파일과 무료 이메일 계정을 개발자 연락처로 사용해 신뢰를 위장한다.
Malwarebytes가 100개 이상의 사이트를 공개하고 사용자 주의를 권고했다. 공식 앱스토어 등록 여부·공식 URL 일치 여부 확인, Google 동의 화면의 앱 이름 및 개발자 정보 검증을 권장한다.
임직원 보안 교육 시 'Google 로그인 = 신뢰' 오해를 반드시 짚어야 한다. AI 도구 도입 전 구독 서비스의 공식 사이트·사업자 정보를 독립적으로 검증하는 절차를 수립할 것.
본문
사기꾼들이 249달러짜리 웹사이트 툴킷을 이용해 연간 최대 2,000달러에 달하는 미검증 AI 구독 서비스를 판매하고 있으며, 진짜 Google 로그인 화면이 사이트를 그럴듯하게 보이도록 만드는 핵심 수단으로 활용되고 있다.
Malwarebytes는 이 방식으로 구축된 사이트를 100개 이상 발견했으며, 모두 동일한 툴킷과 밀접하게 연관된 개발자 정보를 공유한다.
이 네트워크에는 GPT-6 Astra, DaVinci Resolve, PixAI, OpenCut 등 실존 제품 이름을 베낀 사이트들이 포함돼 있다. 한 사이트는 2023년 서비스를 종료한 영상 채팅 서비스 Omegle의 이름을 사용한다. 그 외 사이트들은 공개된 이력이 전혀 없는 브랜드명을 내세운다.
가짜 PixAI 생성기 사이트 (출처: Malwarebytes)
"우리가 조사한 사이트들은 가짜 비밀번호 입력 폼을 사용하거나 악성코드 다운로드를 유도하지 않았습니다. 대신 세련된 제품 페이지와 진짜 Google 로그인 화면을 제시한 뒤 방문자를 유료 플랜으로 유도했습니다. 모방 사이트를 방문한 사람은 실제 공급업체에서 구매한다고 믿을 수 있습니다. 낯선 브랜드의 경우 판매자가 누구인지 확인하거나 주장된 내용을 독립적으로 검증하기가 어렵습니다"라고 연구진은 설명했다.
저렴한 템플릿 위에 세워진 프리미엄 가격
사이트의 구독료는 월 10달러 미만부터 연 2,000달러 이상까지 다양하다. 일부 사이트는 이용자가 제품을 체험해볼 수 있는 옵션도 제공하기 전에 광고된 도구로 처리할 문서나 녹음 파일을 업로드하도록 요구하기도 한다.
연구진은 이 사이트들이 일회 구매 249달러, 추가 템플릿은 약 2달러에 판매되는 상용 웹사이트 스타터 킷에서 비롯됐음을 추적해냈다. 이 킷에는 계정 시스템, 결제 도구, 파일 스토리지, 관리자 제어 기능이 포함돼 있다. 구매자는 그 위에 자체 브랜드와 제품 설명을 얹기만 하면 된다.
일부 사이트에는 킷 자체의 잔여 자료, 즉 실제로 판매 중인 제품을 위해 작성된 것이 아닌 데모 배너와 추천사가 그대로 남아 있다. 한 사이트에서는 유료 플랜 이름에 "boilerplate(초안/견본)"라는 단어가 그대로 노출돼 있었다.
"서로 다른 이름과 디자인에도 불구하고, 이 사이트들은 동일한 기반 파일과 밀접하게 연관된 개발자 이메일 주소를 공유합니다. 이는 단일 운영자 또는 긴밀히 연계된 집단이 이 네트워크의 배후임을 시사합니다"라고 연구진은 밝혔다.
사이트들은 운영자에 대한 정보를 거의 제공하지 않는다. 대개 회사명도, 사업장 주소도 없고, 사이트 자체 도메인의 이메일 주소 외에는 독립적으로 검증할 수 있는 연락처가 없어 환불이나 분쟁 처리가 어려울 수 있다.
Google 로그인이 신뢰를 보장하지는 않는다
이 네트워크의 사이트들은 방문자를 정식 Google 로그인 페이지로 연결하며, 이름·이메일 주소·프로필 사진을 요청하되 Gmail이나 Drive에 대한 접근 권한은 요구하지 않는다. 진짜 Google 로그인은 Google이 로그인을 처리했다는 사실만 확인해줄 뿐, 그 뒤에 있는 제품이 정당하다는 것을 의미하지 않는다.
Google의 동의 화면에는 로그인 요청과 연결된 애플리케이션 이름과 개발자 연락처가 표시된다. Malwarebytes가 조사한 사이트들 중 상당수는 이 개발자 연락처가 사이트에 표시된 브랜드와 연결된 주소가 아닌 무료 웹메일 주소였다.
"무료 이메일 주소가 곧 불법 행위의 증거는 아니지만, 수백만 명의 사용자를 보유하거나 기성 기업으로 자처하는 서비스가 그런 주소를 쓴다면 의문을 가져야 합니다"라고 Malwarebytes는 경고했다.
Malwarebytes는 로고나 이름만 믿지 말고 웹 주소가 이용자가 사용하려는 제품의 공식 주소와 일치하는지 확인할 것을 권장한다. 또한 Google 동의 화면을 진행하기 전에 읽어보고, 사이트에 표시된 브랜드와 비교해 애플리케이션 이름 및 개발자 정보를 확인할 것도 권고한다.
"제품을 별도로 검색해 공식 웹사이트나 앱스토어 등록 여부를 확인하십시오. 판매자가 표시하는 평점과 추천사는 신뢰하지 마십시오"라고 연구진은 결론지었다.
