nebty는 가짜 쇼핑몰 네트워크 DoppelCart의 자료를 바탕으로 전 세계 가짜 쇼핑몰의 연간 직접 피해액을 12억~58억 달러로 추산했다. 이 계산은 온라인 쇼핑객 27억1,000만 명 가운데 매년 약 0.43%가 가짜 쇼핑몰에서 피해를 입고, 피해자 한 명당 카드 피해가 100~500달러라는 가정을 사용한다.
nebty는 고객을 대신해 신고한 가짜 쇼핑몰에서 소스 코드와 인프라의 공통점을 찾아 네트워크를 추적했고, 도메인 11만9,000개를 DoppelCart와 연결했다. 이번 계산에는 가격, 시간에 따른 접속 여부, 도메인 등록일, 검색 결과, 신고 후 쇼핑몰이 정지될 때까지 걸린 시간 등을 다시 분석해 반영했다.
DoppelCart는 카드 정보뿐 아니라 은행 확인 코드도 수집한다. 범죄자가 관리하는 기기에 피해자의 카드를 모바일 결제 서비스에 등록하면, 이후에는 은행의 추가 확인 코드 없이 카드 결제를 할 수 있다는 방식이다. 보안 연구자 포드 메릴(Ford Merrill)은 탈취된 카드 한 장당 피해액을 100~500달러로 예상한다. 반면 가짜 쇼핑몰이 주문 금액만 빼앗는 경우에는 BogusBazaar의 평균 피해액이 약 50달러다.
은행이 카드 사기 피해를 모두 막지는 못한다. UK Finance에 따르면 영국 은행은 2024년 사기범이 동의 없이 빼내려 한 금액 중 파운드당 67펜스를 차단했다. 유럽연합에서는 은행이 일반적으로 카드 소유자가 승인하지 않은 결제액을 환급해야 하지만, 유럽경제지역 카드 소유자는 2024년 카드 사기 피해의 약 38%를 부담했다. 유럽은행감독청과 유럽중앙은행은 피해자가 직접 확인 코드를 입력한 경우 은행이 중대한 과실을 주장할 수 있다고 설명한다.
DoppelCart 피해액은 직접 측정할 수 없어, nebty는 활성 쇼핑몰 수와 월간 피해자 수를 가정해 네 가지 시나리오를 계산했다. 2026년 10월 12일 기준 활성 쇼핑몰 약 9만 곳이 1년 동안 유지된다고 보고, 쇼핑몰 하나당 월 피해자를 0.1명 또는 0.4명, 카드 한 장당 피해액을 100달러 또는 500달러로 설정했다. 이에 따른 연간 피해액은 1,080만~2억1,600만 달러다. 이는 실제로 측정한 DoppelCart 피해액이나 운영자의 수익이 아니라 예시 모델이며, 은행과 판매자도 피해액 일부를 부담한다.
전체 가짜 쇼핑몰 추산은 전 세계 온라인 쇼핑객 27억1,000만 명, 독일 금융 서비스 업체 Finanzguru가 제시한 연간 피해율 0.43%, DoppelCart 분석에서 가져온 피해자당 100~500달러를 적용했다. 미국과 독일 자료로 교차 확인한 결과도 각각 약 44억 달러와 약 40억 달러로 추산 범위 중간에 놓였다. 미국 연방거래위원회(FTC)는 2024년 온라인 쇼핑 사기 신고 38만3,441건을 접수했으며, 이 중 76%는 평균 약 1,480달러의 금전 피해를 보고했다. 독일 Finanzguru 보고서는 2023년 가짜 쇼핑몰 피해자가 약 30만1,000명이고 총 피해액은 9,400만 유로를 넘으며, 피해자당 평균 피해액은 313유로라고 집계했다.
다만 전 세계 가짜 쇼핑몰 수는 정확히 알기 어렵다. 공개된 2026년 실시간 집계에서 DoppelCart는 약 9만 곳, Fibergrid는 1만6,700곳, FraudWear는 한 시점에 약 8,000곳을 기록했다. 목록이 겹치는 정도는 알려지지 않았다. 집계가 완전히 겹친다면 활성 쇼핑몰은 9만 곳, 전혀 겹치지 않는다면 약 11만5,000곳이다. 가짜 쇼핑몰이 공개 집계보다 훨씬 많거나, 일부 쇼핑몰이 독일 로스토크 법원 사례처럼 쇼핑몰당 300명이 넘는 피해자를 내는 두 가지 설명이 가능하며, nebty는 둘 다 사실일 가능성이 크다고 본다.
이 추산에는 정품 판매자가 겪는 추가 피해가 포함되지 않았다. 가짜 쇼핑몰에서 물건을 사지 못한 고객이 정품 업체에 항의하면 고객 응대 비용이 들고, 업체의 평판과 매출도 영향을 받을 수 있다. 가짜 쇼핑몰을 피하려는 고객이 익숙한 대형 플랫폼으로 이동하면 복제 피해를 입지 않은 독립 판매점도 고객을 잃을 수 있다. 사기 사이트가 검색 결과와 광고에서 경쟁하면 정품 업체의 마케팅 비용이 늘어날 수도 있다. nebty는 이런 간접 피해의 전체 규모를 산출하지 않았다.
운영자에게 도메인 비용은 상대적으로 낮다. 확인된 DoppelCart 도메인 가운데 11만8,787개가 .shop으로 끝났으며, 조사한 2026년 9월 .shop 도메인 전체의 2.72%에 해당했다. nebty는 2026년 9월 29일 Dynadot의 .shop 도메인 가격이 1.99달러였다고 밝혔다. 공개 등록일을 확인할 수 있는 약 8,500개 도메인은 모두 2025년 또는 2026년에 등록됐다. 전체 네트워크의 첫해 도메인 비용은 약 24만 달러로 추산되며, 소프트웨어와 호스팅 비용은 포함되지 않는다. 모델의 피해액은 도메인 비용의 45~900배다.
신고된 DoppelCart 쇼핑몰이 등록기관에 의해 정지되기까지는 1~5일이 걸렸다. 하지만 운영자는 대체 도메인을 준비해뒀다. 한 브랜드에서는 처음 알려진 5개가 아니라 9개 도메인을 확인했다. 2026년 9월 초 10만5,000곳이 넘던 쇼핑몰은 10월 12일 약 9만 곳으로 줄었다. 이 기간 사라진 약 1만5,000곳은 시나리오에 따라 월 15만~300만 달러의 피해에 해당한다.
nebty는 피해 브랜드가 발견한 쇼핑몰 하나만 신고하지 말고 복제 사이트를 찾아 도메인을 함께 신고하라고 안내한다. 신고 대상과 제출 자료를 설명한 가짜 쇼핑몰 정지 가이드와 공개 DoppelCart 데이터베이스도 제공한다. 분석과 계산의 자세한 내용은 DoppelCart 피해액 추산에서 확인할 수 있다.
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요