앤트로픽 명의 '23억 결제요청' 메일, 해킹인지 피싱인지 방 안에서도 결론나지 않았다

오후에 날아든 청구서

7월 8일 낮 12시 54분, 한 참여자가 방에 다급한 질문 하나를 올렸다.

"혹시 엔트로픽에서 결제요청 오류 나신 경험 있으신 분 계신가요"

1분 뒤 숫자가 공개됐다.

"23억을.. 내놓으래요.."

곧이어 환율 계산까지 붙은 구체적인 금액이 이어졌다.

"1,669,875.9 미국 달러 = 2,522,631,425.85 대한민국 원"

미화 166만 달러 상당, 원화로 25억 원을 웃도는 액수다. 개인 사용자 앤트로픽 청구서 치고는 상식적인 범위를 한참 벗어난다. 방 안 반응은 곧바로 술렁임으로 번졌다.

피싱이라는 심증, 그러나 확증은 없다

숫자가 워낙 비현실적이다 보니 참여자들 사이에서는 자연스럽게 피싱 가능성이 거론됐다. 다만 이를 뒷받침한 것은 확인된 사실이 아니라 유사 경험담이었다. 한 참여자는 과거 다른 서비스에서 겪었던 일을 꺼냈다.

"개인적 사례인데 예전에 저도 바이낸스 공식 메일로 저런 메일 받은적 있어서요. 답장으로 소통했어요. 그런데 나중에 바이낸스 정보 담당자에 직접 물어봤더니 자기들은 저런 메일 보낸적 없다고 하더라고요"

발신 주소가 공식 도메인처럼 보여도 실제로는 서비스 측이 보낸 적 없는 메일이었다는 사례다. 이 경험담이 방 안에서 힘을 얻은 이유는 이번 앤트로픽 메일 역시 겉보기엔 공식 채널과 구분이 안 가는 형태였기 때문으로 보인다. 메일 헤더나 발신 서버를 흉내 내는 SMTP 위조는 실제로 존재하는 수법이고, 발신 주소창에 뜨는 이름만으로는 진위를 가리기 어렵다는 점이 논거로 제시됐다.

그럼에도 방 안에서 이 사안이 해킹인지 단순 시스템 오류인지, 아니면 정교한 피싱 시도인지는 끝내 결론이 나지 않았다. 최초 제보자도 뒤이어 올린 한마디로 사태를 정리했다.

"23억은... 없어서.."

액수가 워낙 커서 실제 지불 위험보다는 황당함 쪽에 무게가 실린 반응이었다.

SMTP 위조와 카드 한도, 남은 숙제

이번 소동이 남긴 것은 명확한 결론이 아니라 두 갈래 경계심이다. 하나는 발신자 표시만 보고 공식 메일로 단정하지 말라는 것—SMTP 위조가 가능한 이상 발신 도메인이 진짜처럼 보여도 별도 채널(공식 고객센터, 계정 대시보드)로 재확인이 필요하다는 인식이다. 다른 하나는 결제 자동화 서비스를 쓸수록 카드 한도 설정이 예방책이 될 수 있다는 점이다. 실제 청구가 아니라도 이런 메일을 받았을 때 순간적으로 놀라는 경험 자체가, 해외 API 결제를 자동 결제로 걸어둔 사용자들에게는 남의 일이 아니라는 반응으로 이어졌다.

앤트로픽처럼 사용량 기반 과금 구조를 쓰는 서비스가 늘어나는 만큼, 유사한 형태의 메일이나 문자는 언제든 다시 나타날 수 있다. 이번 건이 실제 해킹 시도였는지, 단순 발신자 위장 스팸이었는지는 방 안 논의만으로는 확인되지 않았고, 그 미결 상태 자체가 오히려 참여자들에게 경각심을 남긴 하루였다.