[K Voice Today=김선엽 기자] 미국 대형 유통업체들이 신종 디지털 결제 사기의 표적이 되고 있다. 매장 진열대를 통째로 터는 과거 방식과 달리, 훔친 신용카드 정보를 스마트폰 전자지갑에 등록해 ‘탭투페이(비접촉 결제)’로 기프트카드를 사들이는 수법이다. 미 국토안보수사국(HSI)은 이 방식으로 중국계 범죄조직이 연간 최대 10억 달러를 벌어들이는 것으로 추산했으며, CNBC는 로우스와 TJX를 포함해 전국 다양한 유통업체가 얽힌 사건 약 10건을 취재했다.
지난봄 루이지애나주 로우스 매장에서는 검은 티셔츠 차림의 한 남성이 셀프계산대에서 7분간 95달러짜리 기프트카드를 스마트폰으로 연속 결제했다. 그는 동남아시아 사기 거점에서 무선 이어폰으로 실시간 지시를 받는 조직의 말단원이었다. 그는 매장을 떠난 뒤 다른 매장에서도 같은 수법을 반복했지만 아직 체포되지 않았다. HSI의 애덤 파크스 요원은 이런 인력이 전국에서 동시에 수백 명 활동 중이며, 건당 95달러라도 누적되면 막대한 금액이 된다고 설명했다.
이 범죄는 새롭지 않다. 미 FTC 집계로 기프트카드 관련 사기 피해액은 2023년 한 해에만 2억1700만 달러에 달했을 정도로, 지난 몇 년간 꾸준히 사회적 문제로 지적돼 온 유형이다. 2021~2022년부터 유행한 ‘카드 드레이닝’이 그 원조다. 매장 진열대의 비활성 기프트카드 포장을 몰래 열어 번호·PIN을 베낀 뒤 되돌려놓고, 소비자가 사서 활성화하면 즉시 잔액을 빼가는 물리적 수법이었다. AARP 조사에서는 성인 4명 중 1명이 피해 경험이 있다고 답할 정도로 광범위했으며, 2022년 한 해 피해만 4만8000건, 2억2800만 달러에 달했고, 2024년 4월 미 상원 청문회와 그해 6월 메릴랜드주의 위변조 방지 포장 의무화법 제정으로 이어졌다. 이 무렵부터 DHS가 프로퍼블리카 보도를 계기로 기프트카드 사기와 중국계 조직범죄의 연관성을 공식 조사하기 시작했다.
매장들이 위변조 방지 포장과 PIN 가리개로 방어막을 세우자, 범죄조직은 손을 떼는 대신 수법을 바꿨다. 기프트카드 자체를 훼손하는 대신, 타인의 신용카드 정보를 훔쳐 전자지갑에 등록해 매장에서 직접 결제하는 방식으로 옮겨간 것이다. 카드 실물이 없어도 직원 눈엔 평범한 비접촉 결제로 보여 오히려 탐지가 더 어려워졌다는 게 전문가들의 진단이다. 업계에서는 한쪽 방어가 강화되면 다른 취약점이 뜨는 오랜 ‘지그재그’ 공방전이 반복되고 있다고 본다.
범행 구조: 피싱→전자지갑→기프트카드→中 밀반출
사기는 통행료 미납·차량등록 만료·체포영장 등을 사칭한 문자로 시작된다. 생성형 AI 등장 이후 이런 피싱 메시지의 정교함과 확산 속도가 한층 높아졌다는 게 관련 업계의 공통된 설명이다. 카드정보와 이메일 계정을 함께 탈취하면, 은행이 본인확인용으로 보내는 일회용 인증번호까지 피해자보다 먼저 가로챌 수 있다는 게 사기방지 업체 리스크파이드의 설명이다. 개별 사기범은 이를 물건 구매나 기프트카드 현금화에 쓰지만, 조직범죄 차원에서는 기프트카드로 미국 설정 아이폰 등 고가품을 사들여 중국에서 웃돈에 되팔며 자금세탁 겸 외환규제 우회 수단으로 삼는다. 최전선에는 밀입국 브로커에게 진 빚을 갚기 위해 조직 지시를 따르는 이들이 있다.
유통 앱 계정을 통째로 탈취하는 수법도 확산 중이다. 월마트 앱 로그인 정보가 텔레그램에서 개당 1.5~2.5달러에, 계정 개설 기간까지 명시된 채 거래되는 정황이 확인됐다. 일부 유통 앱은 쇼핑뿐 아니라 매장 전용 신용카드 대금 결제 기능까지 겸하고 있어, 계정이 뚫리면 피해 규모가 더 커질 수 있다는 우려도 나온다. 리스크파이드 오토 CMO는 10년 넘게 활동한 오래된 이메일·계정일수록 오히려 부정거래 탐지 시스템의 신뢰를 받아 통과되기 쉽다며, 이런 ‘오래된 계정’이 더 비싸게 거래된다고 설명했다. 은행 수준 보안을 갖추지 않은 유통 플랫폼이 편의성과 매출 전환율을 우선한 탓에 주요 표적이 됐다는 지적이다.
수사당국은 이런 범행을 지시하는 조직 상당수가 캄보디아 등 동남아시아의 스캠 콤파운드(사기 거점)와 연계돼 있다고 본다. 카드 드레이닝으로 확보한 자금 일부가 마약·인신매매 등 다른 범죄 자금으로 흘러 들어간다는 정황도 제기된 바 있어, 단순 결제사기를 넘어선 초국경 범죄망으로 커지고 있다는 우려가 나온다.
적발 사례
- 마이애미: 댄클리프 라바디는 TJX 계열사(TJ맥스·마셜스·홈굿즈) 자체 카드로 약 9만5000달러를 빼돌린 혐의로 체포됐다. 카드사 신크로니뱅크에 전화해 고객 15명 계정에 자신이 관리하는 전화번호를 등록하는 수법으로, 실물카드 없이 전자지갑만으로 결제를 반복했다. TJX 자산보호팀의 신고로 덜미를 잡혔다. 라바디 측은 혐의를 부인하고 있으며, 카드사 신크로니는 관련 수사에 전면 협조 중이라고 밝혔다.
- 테네시 녹스카운티: 2025년 봄 이후 중국계 조직 연계 용의자 10여 명이 검거됐다. 압수한 휴대전화에서는 훔친 카드정보를 포켓몬을 닮은 애니메이션 게임 앱으로 위장해 숨긴 정황도 발견됐다. 수사관들은 화면을 하나하나 눌러보고 나서야 실제로는 결제 정보를 담은 위장 앱임을 확인할 수 있었다고 전했다.
HSI ‘프로젝트 레드훅’은 2024년 1월 이후 대규모 중국계 조직범죄를 겨냥해 239명 이상을 체포했으며, 다기관 공조체계 구축을 골자로 한 ‘조직적 소매범죄 대응법’이 하원 통과 후 상원에서 국방수권법(NDAA) 개정안 형태로 연내 표결을 앞두고 있다.
미국 내 한인 유통업체 종사자가 특히 주의해야 할 이유
이번 CNBC 취재에서 한인 업체가 특정 피해 사례로 거론되지는 않았다. 다만 지금까지 확인된 범행 패턴을 보면, 대형 체인뿐 아니라 소규모·중견 유통업체도 같은 위험에 노출될 수 있다는 점에서 미국 내 한인 마트, 뷰티서플라이, 편의점, 기프트샵, 통신기기 판매점 등 자영업 비중이 높은 업종의 종사자들도 경각심을 가질 필요가 있다.
- 셀프계산대·비접촉 결제를 도입한 매장이라면 어디든 표적이 될 수 있다. 사기 조직이 노리는 것은 매장 규모가 아니라 ‘기프트카드 판매 여부’와 ‘탭투페이 결제 지원 여부’다. 소규모 매장일수록 직원 1인이 여러 업무를 동시에 처리해 이상행동을 알아채기 더 어려울 수 있다.
- 아르바이트·파트타임 직원이 많은 업종 특성상 사기 패턴 교육이 누락되기 쉽다. 직원 이직이 잦은 매장은 ‘동일인이 짧은 시간에 여러 장의 고액 기프트카드를 반복 결제한다’, ‘이어폰을 낀 채 통화하며 결제를 진행한다’ 같은 의심 정황을 신입 직원이 놓치기 쉬우므로, 사업주가 정기적으로 최신 사기 수법을 공유하는 것이 중요하다.
- 소액 다건 결제 승인 한도를 낮게 잡아둘 필요가 있다. 사기범들은 대개 건당 100달러 안팎으로 결제를 쪼개 이상거래 경보를 피해가므로, 소규모 매장도 고액 기프트카드나 반복 구매에는 자체적으로 승인·확인 절차를 두는 것이 도움이 된다.
- 의심 정황을 목격해도 신고를 주저하지 않는 것이 중요하다. 언어 장벽이나 이민 신분 등으로 인해 경찰 신고를 부담스러워하는 경우가 있지만, 카드 발급은행 사기예방팀이나 HSI에 신고하는 것은 업주와 직원 모두를 보호하는 절차이며, 매장 측의 책임 소재를 명확히 하는 데도 도움이 된다.
- 본사·프랜차이즈 차원의 이상거래 탐지 시스템이 없는 독립 매장일수록 스스로 방어선을 갖춰야 한다. 대형 체인은 자산보호팀이 실시간으로 이상 패턴을 모니터링하지만, 독립 운영 매장은 이런 인프라가 없는 경우가 많아 결제단말기·POS 업체가 제공하는 이상거래 알림 기능을 적극 활용할 필요가 있다.
유통기업 예방책
- 기프트카드 환불은 반드시 최초 결제에 쓰인 수단으로만 처리해 편취 후 타 계좌 환불을 원천 차단
- 이상거래 발견 즉시 카드 발급은행·수사기관과 정보를 공유해 신속한 계정 정지와 수사 협조 체계 구축
개인 소비자 예방법
- 모든 카드 거래에 즉시 알림(푸시)이 오도록 설정해, 본인이 하지 않은 결제를 곧바로 알아챌 수 있게 한다
- 이메일 비밀번호와 유통 계정 비밀번호를 서로 다르게 설정하고, 두 곳 모두 다단계 인증(MFA)을 걸어둔다
- 통행료·과태료·체포영장을 사칭한 문자 속 링크는 절대 누르지 말고, 공식 앱이나 홈페이지에서 직접 확인한다
- 오랫동안 로그인하지 않은 계정에 저장된 카드 정보는 주기적으로 점검해 삭제한다
- 인식하지 못하는 결제 내역을 발견하면 즉시 해당 카드를 잠그고 카드사에 이의를 제기한다
- 기프트카드는 매장 진열대보다 계산대·고객센터에서 구매하고, 포장 봉인이 훼손되지 않았는지 확인한다
녹스카운티 보안관실 매트 로슨 대장은 피해 금액이 일정 기준을 넘지 않거나 연방범죄 수준에 이르지 않으면 사실상 처벌을 피해가는 경우가 많다며, 유통업체와 수사기관 간 정보 공유가 지금보다 훨씬 원활해져야 한다고 강조했다.
