지난달 22일 A씨 앞으로 의문의 택배 세 개가 도착했다. 택배는 모두 비어있었으며, 택배 발송지는 우즈베키스탄과 말레이시아였다. 송장에 기재된 주소·전화번호 등 개인정보가 모두 A씨의 것과 일치했다.

 의문의 택배는 여기서 끝나지 않았다. 지난 2일과 3일에도 A씨의 우편함에 정체를 알 수 없는 국제 택배가 배달됐고, 내용물은 없었다. 발송지는 이전과 같은 우즈베키스탄이었으며 개인정보 역시 정확했다.

 A씨는 "해외직구를 해본 경험이 없다"고 말했다. 그는 "주변에선 마약 거래와 같은 범죄에 연루되는 건 아닌지 걱정하고 있다"며 "개인정보가 유출된 것 같아 찝찝하다"고 했다.

 A씨 송장에 기재된 발송처는 우즈베키스탄에 위치한 물류창고다. 이 창고를 검색해보면, 비슷한 피해를 호소하는 후기를 쉽게 확인할 수 있다. 이곳에서 발송된 택배를 받았다는 한 네티즌은 "사기 업체이니 주의하라"는 후기를 남기기도 했다.

 A씨가 받은 의문의 택배는 '브러싱 스캠(brushing scam)'으로 추정된다. '브러싱 스캠'은 주문하지 않은 물건을 아무에게나 발송한 뒤, 수신자로 가장해 상품 리뷰를 올리는 방식으로 온라인 쇼핑몰 판매 실적과 평점을 조작하는 행위를 뜻한다. 소비자들이 리뷰나 구매가 많은 순으로 제품을 선택하는 성향을 이용한 사기 수법이다.

 2020년 미국 곳곳으로 정체불명의 씨앗이 배달된 사건이 대표적인 '브러싱 스캠' 사례다. 당시 '바이오 테러리즘' 의혹이 제기됐으나, 미국 농무부는 이 사건을 '브러싱 스캠'으로 추정한다고 발표했다. 당시 한국 농림축산검역본부는 홈페이지에 "국제우편으로 '출처불명 씨앗'을 받는 경우 심거나 만지지 말고 검역본부로 신고해 달라"는 공지를 올리기도 했다.

 해외에선 이미 '브러싱 스캠'의 위험성이 알려져 있다. 영국의 비영리 소비자 매체 '위치'(Which?)는 지난해 10월, 영국 내 백만여 가구가 '브러싱 스캠'의 타깃이 될 수 있다고 밝혔다. 지난 1월 뉴욕 소비자보호부(DCP)도 "(사기꾼들이) 불법으로 당신의 개인정보를 침해한다"며 위험성을 경고했다.

 한국소비자원 관계자는 "주문하지 않은 택배가 왔을 경우, 향후 발생할 수 있는 분쟁을 막기 위해 열어보거나 버리지 않는 게 좋다"며 "유명 온라인 쇼핑몰과 같이 발신자가 명확하다면 해당 업체에 구매하지 않은 물건이 왔다는 내용을 알리는 등 객관적인 증빙 자료를 확보하는 것이 중요하다"고 말했다.

 해외 개인정보 유출이 의심될 땐, 유출이 의심되는 사이트의 정보(URL, 화면 캡처 등)를 수집해 KISA(한국인터넷진흥원) 118에 민원을 접수하면 된다. 개인정보가 거래되고 있는 것으로 확인된 경우, KISA는 해외 정보 통신 서비스 제공 사업자에게 개인정보 삭제를 요청한다.