김종면의 위조상품 백문백답<13> '클로킹' 위조품 판매자들의 은신술

(조세금융신문=김종면 변리사) 클로킹(Cloaking)은 접속하는 대상에 따라 웹사이트가 완전히 다른 콘텐츠를 보여주는 기만적인 기술이다. 검색 엔진 봇, 브랜드 감시 도구, 일반 소비자 중 누가 접속하느냐에 따라 전혀 다른 페이지가 나타난다.

이 수법은 본래 검색엔진 최적화(SEO)에서 악용되던 '블랙햇' 기술이었으나, 최근에는 위조품 판매자들이 브랜드 감시 시스템을 회피하고 소비자를 직접 기만하는 핵심 수단으로 발전시켰다. 마치 카멜레온처럼 상황에 따라 색을 바꾸는 이 기술은 디지털 시대의 브랜드 보호 실무자들에게 새로운 도전 과제를 던지고 있다.

기기별 클로킹

가장 기본적이면서도 효과적인 수법은 '기기별 클로킹(Desktop Cloaking)'이다. 접속하는 기기의 종류에 따라 다른 웹페이지를 보여주는 방식이다.

원리는 간단하다. 웹사이트 서버는 방문자가 보내는 HTTP 요청을 분석한다. 이 요청에는 'User-Agent'라는 정보가 포함되어 있는데, 여기에 기기의 종류, 운영체제, 브라우저 등이 담겨 있다. 서버는 이 정보를 읽고 즉시 판단한다. "아, 이 사람은 PC로 접속했구나. 그럼 A 페이지를 보여주자." "이 사람은 스마트폰으로 접속했구나. B 페이지를 보여주자."

위조품 판매자들은 이 메커니즘을 악용한다. 그들은 브랜드 보호 담당자들이 주로 사무실에서 PC로 모니터링한다는 점을 잘 알고 있다. 큰 화면에서 여러 사이트를 동시에 확인하고, 스크린샷을 찍고, 보고서를 작성한다. 따라서 PC로 접속하면 정상적인 페이지를 보여준다. 평범한 티셔츠, 청바지, 운동화. 가격도 합리적이다. 위조품의 흔적은 전혀 없다.

하지만 일반 소비자들은 다르다. 2024년 통계에 따르면 한국 온라인 쇼핑의 약 72%가 모바일 기기를 통해 이루어진다. 사람들은 출퇴근 지하철에서, 점심시간에, 잠자기 전 침대에서 스마트폰으로 쇼핑한다. 위조품 판매자들은 바로 이들을 노린다. 모바일로 접속하면 완전히 다른 페이지가 나타난다. 루이비통 가방, 샤넬 지갑, 구찌 벨트. "정품 대비 70% 할인", "해외 직구 특가", "한정 수량" 같은 문구가 소비자를 유혹한다.

IP 주소 및 사용자 환경 클로킹

IP 주소 및 사용자 환경 클로킹은 접속자의 위치, 브라우저, 운영체제 등 다양한 정보를 분석해 타겟을 선별하여 감시자를 회피하는 방식이다.

위조품 판매자들은 브랜드 보호 기관, 법 집행 기관, 대형 로펌 등이 사용하는 특정 고정 IP 대역을 파악한다. 해당 IP에서 접속하면 정상 페이지를 보여주거나 아예 접속을 차단한다. 반대로, 한국의 주요 통신사(SKT, KT, LG U+) 등 일반 소비자의 IP로 판단되면 위조품 페이지를 노출한다.

또한 헤드리스 브라우저(Headless Browser) 등 자동화된 모니터링 도구가 사용하는 특정 브라우저 환경을 감지하고, 이들에게는 정상 콘텐츠를 제공하거나 접속을 막는다.

사이버 보안 연구 결과에 따르면, IP 주소 및 User-Agent 클로킹은 피싱(Phishing) 웹사이트나 악성 웹사이트 운영자들이 보안 스캐너, 크롤러, 안티바이러스 엔진 등의 탐지를 피하는 핵심 기술로 광범위하게 사용되고 있다. 보안 전문가들은 이러한 수법을 '지능형 회피 기술(Intelligent Evasion Techniques)'로 분류하고 있으며, 그 정교함이 높아지고 있다고 경고한다.

시간 기반 클로킹

가장 교묘한 수법은 '시간 기반 클로킹(Time-based Cloaking)'이다. 특정 시간대에만 위조품 판매 페이지를 활성화하는 방식이다.

위조품 판매자들은 브랜드 보호 담당자들의 근무 패턴을 연구한다. 대부분의 담당자는 평일 오전 9시부터 오후 6시까지 일한다. 이 시간대에 모니터링이 집중된다. 따라서 이 시간대에는 웹사이트를 정상적으로 운영한다. 평범한 쇼핑몰처럼 보인다.

하지만 오후 6시가 지나면 상황이 바뀐다. 특히 밤 10시부터 새벽 2시까지, 사람들이 침대에 누워 스마트폰을 보는 시간대에 위조품 판매 페이지가 활성화된다. 이 시간에는 모니터링이 거의 없고, 소비자들은 피곤해서 판단력이 흐려진 상태다. 충동구매 가능성도 높다.

주말과 공휴일도 노린다. 브랜드 보호 담당자들이 쉬는 시간이기 때문이다. 금요일 저녁부터 일요일 밤까지, 위조품 판매가 활발하게 이루어진다. 월요일 아침이 되면 다시 정상 모드로 돌아간다.

일부 판매자들은 더 나아가 '이벤트 기반 클로킹'을 사용한다. 블랙프라이데이, 크리스마스, 설날 같은 대목에만 위조품 판매를 한다. 평소에는 정상 쇼핑몰로 운영하다가, 사람들의 구매 욕구가 높아지는 특정 기간에만 위조품을 판다.

대응

이처럼 클로킹 기술은 위조상품 판매자들이 단속을 피하고 이득을 취하기 위해 사용하는 지능적이고 은밀한 수법입니다.

브랜드보호 담당자는 이러한 교묘한 기법을 인지하고, 의심스러운 사이트에 대해서는 PC환경에서 뿐만 아니라 모바일 환경에서도 확인을 해볼 필요가 있고, 시간적으로도 낮에 봤으면 밤에도 다시 확인을 한다거나, 지역적으로도 서울에서 봤으면 VPN으로 다른 지역에서도 확인을 해보는 등의 다각적인 모니터링 노력이 필요하다.