정확한 원인 파악을 위해 여러번에 걸쳐 전화/채팅으로 아멕스의 fraud 방지 시스템에 대해 물어봤지만 상담원마다 세부적인 설명이 조금씩 다른 관계로, 실제 아멕스의 도용 방지 시스템과는 조금 차이가 있을수 있는 점 양해 부탁드립니다.

 

 

저는 3달전쯤 만든 아멕스 매리엇 카드 스펜딩을 채우려고 그 카드만 메인으로 여기저기서 쓰다가, 스펜딩 다 채운 직후 쯤 아멕스에서 'Your replacement card is ready to ship'라는 이메일을 받고 새 카드를 받은적이 있습니다.

훼손되거나 잃어버려서 재신청한적은 없지만, 아멕스 자체 보안 시스템이 판단하기에 제 카드정보가 노출된 경우 이렇게 갑자기 보낸다고 하더군요.

하지만 스펜딩은 다 채웠고 Marriott 포인트도 들어왔기에 원래 카드 + 새 카드 둘 다 그냥 서랍에 넣어두었구요.

한달에 2불짜리 멤버십의 자동결제만 걸어두고, 아멕스 스마트폰 앱에서 'any new transaction'에 알림이 뜨게 해 둔 상태였습니다.

(실제로 2불짜리 결제 될때마다 알림도 잘 뜨고, 스펜딩 채우는 중인 다른 아멕스 카드의 알림도 재깍재깍 떴구요)

 

 

그런데 오늘 아침 10시경, 갑자기 Fanatics에서 'Thank you for your order!' 하고 이메일이 왔습니다.

이 웹사이트에서 아멕스 Marriott 카드로 몇달 전 Jersey를 결제한 적은 있으나, 제가 구매한적도 없는 모자 한 종류를 15개나 주문했다고 온 이메일이었어요. 

처음에는 'phishing email인가?' 싶어서 무시하려다, 혹시나 싶어 fanatics 대표번호로 전화를 했습니다.

매일 잘 작동하던 아멕스/Chase/Capital one의 transaction 결제 알림도 뜬 적이 없어서 제 카드로 결제했을거라곤 생각도 못했구요.

그래서 왠 사기꾼이 제 Fanatics 계정에 접속해서, 자기 신용카드나 다른 사람의 신용카드로 결제한줄 알았죠.

 

그리고 상담원 연결을 기다리는 중에 fanatics에서 추가 이메일이 오더군요. 제 주문 정보를 확인할수 없어서 주문이 취소됐다구요. 

마침 연결됐길래 상황을 자세히 물어보니, 누군가 제 이메일을 이용해서 guest checkout을 했답니다.

Fanatics의 비밀번호는 몰랐던지, 제가 실제로 Fanatics 계정을 갖고 있는 이메일 주소였지만 로그인은 못하고 guest checkout으로 주문했답니다.

그리고 배송받는 주소는 제 집 근처 (같은 zip code)의 호텔로 했는데, 다음의 수상한 점들 때문에 주문을 취소했답니다.

 

1. 해당 배송지 (그 특정 호텔)은 이미 Fanatics의 보안 시스템에 red flag가 돼 있는 주소여서 자동으로 주문이 취소되는 상황.

2. 특정 모자 한 종류를 15개나 주문하는게 수상함.

이 경우 상담원 연결 등 직접적으로 본인/결제정보 확인이 되지 않는 이상 보안 시스템이 주문을 자동으로 취소.

 

그런데 상담원이 "결제 시도한 카드 정보를 불러줄순 없지만, 너 카드 중 하나가 맞는지 확인은 해줄수 있어. 너 카드 번호 몇개 마지막 숫자 말해볼래?" 하길래, 혹시나 싶어 제가 최근 쓴 카드들 마지막 4자리를 부르는데 아멕스 매리엇 카드더군요....

그런데 카드번호가 replacement card의 번호가 아닌, 처음 받은 카드번호였습니다. 2달전에 대체되었기에 막힌줄 알았던 번호였죠.

--> 이 부분은 저도 생각치도 못하고 있었어요.

모든 credit/debit card에 transaction notification을 걸어뒀는데 그 어떤 카드에서도 Fanatics 구매 알림은 뜨지 않았거든요.

(그리고 저는 구독서비스 외에는 절대 웹사이트에 'save my payment info'를 하지 않기에, fanatics에도 제 카드는 저장된적이 없습니다)

그리고 아멕스가 뭔가 낌새를 채고 새 카드를 보내면서 옛날 번호는 그대로 살려뒀다?가 이해가 안됐습니다.

 

 

 

아멕스 앱을 들어가보니 일단 Pending상태였지만 recent charge에 오늘 날짜로 떠 있었습니다.

그리고 제가 간적도 없는 메릴랜드의 어떤 식당에서 $1.60 Pending charge도 오늘 날짜로 한 건 있더라구요.

(아마 이걸로 식당에서 테스트로 한 소액 결제가 통과된걸 확인한 후 Fanatics에서 몇백불 지른것 같습니다)

 

아멕스 상담원은 '2달전 replacement card를 보낸건 우리 보안 감시 시스템에 너 카드가 위험하다고 판단됐고, 그래서 새로운 카드를 보낸거다' 했습니다.

그런데 이해가 안됐던건, 그럼 2달전 compromise 위험이 있다고 판단했으면서 compromise 된 카드 번호로 결제가 가능하도록 살려두고 있었단 겁니다.

상담원 왈, '온라인 쇼핑몰에 한해 예전에 그 카드로 결제한 적이 있는 경우, 로그인을 해서 주문을 하면 replace당한 예전의 카드번호로도 결제가 된다' 하더군요.

이럴거면 replacement card를 보내는 의미가 없을텐데, recurring charge를 걸어두는 사람들이 많아서 보안시스템이 이걸 허용하도록 설계됐답니다.

 

그리고 메릴랜드의 식당에서 결제된 건은, 옛날 카드번호를 카드기에 기입해서 결제 시도가 됐다고 하더라구요.

그럼 그것도 상식적으로 생각하기엔, 이미 노출된 번호니까 그 자리에서 결제거부가 돼야 하는데 Pending이 뜬것도 이해가 안됐습니다.

애초에 그냥 승인 거부가 나야지, 왜 내 account에 펜딩으로까지 뜨냐, 했더니 '그자리에서 거부 될수도 있고 승인 될수도 있다'합니다...

그리고 '그런 수상한 결제가 있으면 Pending이 뜬 후에 그냥 사라지는 경우도 있다'...하더군요.

그냥 '이럴수도~ 저럴수도' 하면서 잘 모르는 느낌이었습니다.

 

그리고 또 결정적으로, 이번엔 결제 알림이 전혀 뜨지 않았습니다. 

혹시나 싶어 일부러 제가 아마존, 근처 식당에서 한 건씩 결제해봤는데 이 경우엔 바로 떴구요. 

해당 fraud 결제 2건에 대해선 아멕스 측에서 자체적으로 막은 결제라서 알람이 안 왔을수 있지만, 수상하다고 감지됐으면 당연히 알려줘야 할것 같은데,..

 

결국 3가지 문제에 대해서 항의했는데, 다음에 시스템 보완때 반영할수 있도록 전달하겠다고만 하네요

1. 자체적으로 위험을 탐지해서 새로운 카드번호의 카드를 보냈는데 예전 카드번호로 온라인 결제가 가능한 점,

2. 그 카드 번호로 오프라인 상점에서 번호 기입으로 결제를 시도했는데 즉시거부가 되지 않고 Pending으로 뜨는 점,

3. 그 카드 번호로 2건이나 결제 시도가 됐는데도 알람이 안 온 점.

 

이해가 안돼서 여러번 다른 루트로 상담했지만, 결제한적 있는 온라인 쇼핑몰에서는 예전 번호로도 구매가 가능하도록 보안 시스템이 돼 있는건 맞는것 같습니다. 다만 2, 3번에 대해서는 그때그때 답이 다르더군요.

물론 '예전에 막은 카드번호라도 일단 Pending에는 띄우고, 나중에 전부 다 없애주는 방식으로 시스템을 구축했나?' 싶어도 그 카드번호가 아직 제 매리엇 카드 계좌에 연결 돼 있다는 점이 이해가 안됩니다.

그리고 메릴랜드의 식당에서 구매 시도를 해서 카드가 되는지 테스트했을때 결제가 승인됐으니 Fanatics에서 구매한걸 보면 옛날 번호를 막아주는것 같지도 않구요.

 

 

마음 같아선 이런 어이없는 시스템을 계속 굴리는 아멕스를 믿지 못하겠어서 즉시 전부 닫아버리고 싶은데... clawback 걱정 때문에 만든지 1년이 되는날 다 캔슬해야겠습니다.

어차피 once per lifetime으로 거의 모든 아멕스 카드도 다 받았고, 오리발+허술한 보안시스템 때문에 마일게임 하려다 득보다 실이 더 많을것 같네요.

 

혹시 비슷한 경험 가진분들 계신가요??

 

(Fanatics 웹사이트 상호는 가릴까 싶었지만, 제대로 막아낸 보안 시스템을 갖고 있기에 일부러 노출하였습니다. 문제시 가리도록 하겠습니다!)

--> 수정: 다시 곰곰히 생각해보면 제 이메일 주소 + zip code + 당시에 fanatics에서 쓴 카드번호까지 한번에 털릴만한 곳은 fanatics일것 같은데... 물증이 없군요.