수년 동안 나는 Upwork라는 사이트를 통해 프리랜서를 고용해 왔다. 이 사이트에는 다양한 분야의 전문가들이 모여 있어 카툰 작가부터 소프트웨어 개발자, 교정 편집자까지 온갖 일을 맡겨 봤다. 훌륭한 사람도 있었고 끔찍한 사람도 있었지만, 노골적으로 사기를 치려 한 사람은 한 명도 없었다.

그러다 리지(Lizzie)를 만났다.

나는 만들고 있는 키토 다이어트 웹사이트에 필요한 작가를 찾고 있었다. 미국에 사는 원어민이라는 점에서 리지는 적합한 후보처럼 보였다. 그녀의 프로필에는 눈에 띄는 문법 오류가 없었는데, 고용 가능한 작가들 사이에서는 놀랄 만큼 드문 장점이었다. 게다가 가장 좋은 점은 시간당 10달러밖에 받지 않는다는 것이었다.

알겠다, 지금 무슨 생각을 하는지 안다. 시간당 10달러라면 당연히 사기꾼이거나 형편없는 작가라고 생각할 것이다. Upwork에서 작가들은 보통 시간당 30~60달러를 청구하는데, 누가 그렇게 낮은 금액을 받겠는가?

하지만 그것도 Upwork의 묘미 중 하나다. 내가 함께 일했던 최고의 사람들 중 일부는 좋은 평가 기록을 쌓기 위해 일부러 의심스러울 정도로 저렴한 가격을 내세웠다. 리지는 몇 건의 작업만 수행했지만, 모두 만점 평가를 받았다.

그녀가 실력 있는 작가라면 엄청나게 저렴한 가격에 훌륭한 작가를 얻게 되는 셈이었다. 결과물이 형편없더라도 시간당 10달러짜리 글쓰기가 어떤 수준인지 직접 확인할 수 있을 터였다.

50달러와 빈 문서를 교환하다

내 제안을 받자 리지는 바로 수락했다. 나는 그녀에게 세 개의 보고서를 맡기고 작성 안내 문서를 전달했다.

작업 시간을 5시간으로 제한하고, 4시간 30분이 지나도 끝나지 않으면 남은 30분 동안 진행한 내용을 공유 Google 문서에 모두 옮겨 담으라고 했다.

다음 날 Upwork에 따르면 리지는 5시간 전체를 청구했지만, Google 문서는 비어 있었다. 그녀는 아무 메시지도 보내지 않았다.

지나친 감시가 구세주가 되다

리지의 타임시트를 확인하다가 그녀가 Upwork의 공식 스파이웨어 도구인 Work Diary를 이용해 시간을 기록했다는 것을 알게 됐다. 이 도구는 프리랜서의 화면을 캡처하고 키보드 입력을 기록해 그 모든 정보를 Upwork와 클라이언트에게 전송한다.

Work Diary는 솔직히 소름 끼친다. 나는 프리랜서에게 실행을 요구한 적이 없지만, 리지는 단순히 시간을 청구하는 대신 이 도구를 실행하기로 선택했다. 덕분에 나는 결과물은 얻지 못했지만, 그녀가 내게 청구한 5시간을 어떻게 보냈는지 보여주는 스크린샷은 확보할 수 있었다.

초반 스크린샷에서 그녀는 힌두교의 만트라에 관한 문서를 작성하고 있었다. 내 프로젝트와는 전혀 관련이 없었지만, 그녀는 그 시간을 내게 청구했다.

이후 그녀는 방향을 바꿔 타로 카드에 관한 글을 쓰기 시작했다. 키토 업계에 타로 리딩을 식단 선택에 접목하는 새로운 트렌드가 생긴 것이 아니라면, 이 역시 내 프로젝트와는 관련이 없어 보였다.

도대체 무슨 일이 일어나고 있는 걸까?

그러다 상황이 조금 더 흥미로워졌다. 한 스크린샷에는 리지가 Upwork 메시지 인터페이스를 이용해 다른 클라이언트들과 대화하는 모습이 담겨 있었다.

처음에는 두 사람이 대화하는 모습이 보였지만 둘 다 리지가 아니라서 혼란스러웠다. 아! 그녀는 “Abi Hensley”라는 다른 Upwork 계정으로 로그인해 있었던 것이다.

Upwork에서 빠르게 검색해 보니 Abi의 프로필이 나왔다. 아니나 다를까, 리지의 프로필과 문구와 시간당 요금이 완전히 동일했다.

그래서 그녀의 작업 표시줄에 네 개의 다른 웹 브라우저가 고정되어 있었던 이유가 설명됐다. 아마 Upwork 계정마다 별도의 브라우저를 사용했던 것 같다.

그레이스는 누구인가?

한 스크린샷에는 리지의 Documents 폴더가 보였다.

제목에 “Grace”라는 이름이 들어간 파일이 여러 개 있었다.

• “Grace Application Letter”
• “Grace CV”
• “Grace Intenship [sic] letter”

마지막으로 “Grace” 뒤에 성으로 보이는 단어가 붙은 PDF 파일이 하나 있었다. 전체 이름은 매우 독특해서 Google 검색 결과가 단 하나만 나왔다. 케냐의 한 학교 교사의 Facebook 프로필이었다.

밤 9시, 당신은 지금 어디에 있나요?

스크린샷에는 또 다른 미묘한 단서가 숨어 있었다. 바로 시간대였다.

Upwork는 이 이미지를 그리니치 표준시(GMT) 기준 오후 6시 15분에 캡처했지만, 프리랜서의 시계는 오후 9시 17분을 가리키고 있었다.

어느 시간대일까? 역시나 케냐 나이로비의 시간대였다.

버서(birther)처럼 들리고 싶지는 않지만, 케냐식 이름과 케냐 시간대를 종합하면 “리지”는 사실 케냐인일 가능성이 높아 보였다.

그 프로필은 어떨까?

애초에 리지를 고용하게 만들었던 Upwork 프로필을 다시 살펴봤다. 몇 번의 Google 검색으로 리지가 프로필 전체를 표절했다는 것을 알 수 있었다. LinkedIn 프로필 하나와 Upwork 내 다른 프로필을 짜깁기한 것이었다.

이건 함정일까?

사기가 너무 허술하고 뻔해서 오히려 더 정교한 사기의 1단계가 아닐까 두려웠다. 그냥 50달러짜리 청구서를 보낼 수도 있었는데 왜 굳이 자신이 일을 하지 않았다는 것을 증명하는 스크린샷을 업로드했을까? 그리고 왜 청구하면서도 보고서는 주지 않았을까? 당연히 그러면 스크린샷 기록을 확인하게 될 텐데 말이다.

영화에서는 사기꾼이 항상 피해자가 사기를 간파했다고 믿게 만든다. 하지만 피해자가 가짜 사기를 밝혀내도록 내버려 두는 것 자체가 진짜 사기의 일부다. 그러다 피해자가 자신이 우위에 섰다고 믿는 순간, 정작 진짜 사기에 정면으로 당하게 된다. 혹시 여기에 또 다른 속임수가 숨어 있는 것은 아닐까?

Upwork는 왜 이를 놓쳤을까?

Upwork가 사기를 잡기 위해 프리랜서에게 침입적인 스파이웨어 설치를 강제하면서도, 수많은 명백한 사기 징후를 무시했다는 사실이 눈에 띄었다.

• 두 명의 프리랜서가 2,000마일이나 떨어진 도시에 산다고 주장하면서 같은 컴퓨터와 IP를 사용하고 있었다.
• 두 프리랜서의 프로필이 완전히 동일했다.
• 한 프리랜서는 같은 사이트 내 더 유명한 사용자의 프로필을 대량으로 표절했다.
• 두 프리랜서 모두 미국에 산다고 주장하지만 시계는 나이로비 시간으로 맞춰져 있고 IP 주소 역시 케냐일 가능성이 높았다.

마침내, 결과물

스크린샷을 보자마자 나는 계약을 종료하고 Upwork에 사기를 신고했다. 리지는 계약이 종료된 것만 알 뿐, 내가 그녀에 대해 남긴 의견은 볼 수 없었다.

다음 날 리지는 왜 계약을 종료했는지 묻는 메시지를 보냈다. 그녀는 자신이 청구한 수상한 작업 시간에 대해서는 아무 언급도 하지 않았지만, 내가 요청한 세 개의 완성된 보고서가 담긴 Word 문서를 첨부했다.

다음은 그녀가 작성한 코카콜라가 키토 다이어트에 적합한지에 대한 보고서였다.

Coca-Cola

Short Description

Coca Cola is not keto because it contains high sugar content and not fats.

Detailed Description

According to the nutritional value of Coca Cola, it is not keto-friendly. It has 10.6 g of net carbs for every serving [Ed: Actual net carb count is 39 g]. In addition, it has no fat and protein content. Perhaps, you can consider other variations of Coca Cola like Coke Zero or the Diet Coke.

문법은 그럭저럭 괜찮았지만, 오히려 리지가 원어민이 아니라는 점을 더욱 확실하게 보여줬다. 가장 결정적인 단서는 “Diet Coke” 앞에 붙은 정관사였다. 미국인은 절대 “I’d love a refreshing glass of the Diet Coke.”이라고 말하지 않는다.

Upwork는 사기를 어떻게 처리하는가

리지의 계정을 사기로 신고한 지 이틀 뒤, Upwork는 내 지원 티켓을 다음 메시지와 함께 종료했다.

신고해 주신 내용을 바탕으로 해당 계정을 검토하고 서비스 약관에 따라 조치를 취했습니다. 모든 회원 계정의 기밀을 보호하기 위해 조사 결과에 대해서는 알려드릴 수 없습니다.

결과를 알려줄 수 없다고? 나는 리지의 가짜 계정들이 모두 폐쇄되기를 기대했고, 그 결과는 내게도 분명하게 보여야 한다고 생각했다.

리지를 신고한 지 이제 3주가 지났다. 신고 며칠 뒤 프로필은 비공개로 전환됐지만, Upwork에서는 여전히 활성 상태이며 새로운 제안을 받고 있는 것으로 표시된다.

• Lizzie Ruprecht
• Abi Hensley

다행히 Upwork는 50달러를 환불해 줬다.

내 피드백은 왜 표시되지 않을까?

리지에 대한 작업 후 피드백에서 나는 그녀의 프로필이 사기라고 지적했다. 추측에 기반한 비난은 피하려고 신중을 기했다. 내 리뷰는 객관적인 사실에만 초점을 맞췄다. 리지는 나와 무관한 작업 시간을 청구했고, 그녀의 Work Diary는 그녀가 중복된 Upwork 프로필을 운영하고 있음을 드러냈다는 점이었다.

그런데 Upwork는 이를 “No feedback given”으로 표시했다.

업데이트: reddit의 댓글 작성자들은 Upwork가 작업에 대한 환불을 승인한 후에는 항상 클라이언트의 피드백을 숨긴다고 지적했다.

다른 클라이언트들에게 경고하다

리지의 행각을 발견한 당일, 나는 그녀의 다른 클라이언트 한 명에게 연락했다. 그는 “Abi” 프로필의 리지를 고용해 세일즈 카피를 의뢰한 상태였다. 그는 아직 그녀의 작업을 기다리고 있다고 답했지만, 며칠 뒤 다시 연락해 자신도 계약을 해지했다고 알려왔다.

의미심장하게도, Upwork는 “계정을 검토하고 조치를 취했다”는 시점에도 리지/Abi와 아직 진행 중인 계약이 있던 이 클라이언트에게 사기에 대해 전혀 알리지 않았다.

Upwork의 교차 오염 문제

Upwork의 클라이언트 목록은 비공개이므로, 원칙적으로 나는 내 프리랜서의 다른 클라이언트에게 연락할 수 없어야 한다. 하지만 리지가 스크린샷에 너무 많은 정보를 노출한 덕분에 그녀를 고용한 다른 클라이언트의 연락처를 찾을 수 있었다.

이는 Upwork의 Work Diary 기능이 가진 또 다른 흥미로운 문제, 즉 교차 오염을 드러낸다.

만약 한 프리랜서가 당신에게 지원하면서 자기소개서 끝에 이런 문구를 덧붙였다고 상상해 보라.

참고로 저는 제 화면 전체를 캡처해 불특정 제3자에게 전송하는 소프트웨어를 일상적으로 실행합니다. 괜찮으시겠죠!

아마 즉시 그 지원자를 탈락시킬 것이다. 하지만 Work Diary로 시간을 추적하는 모든 Upwork 사용자는 암묵적으로 똑같은 말을 하고 있는 셈이다.

클라이언트 입장에서는 이를 막을 방법이 전혀 없다. 클라이언트는 프리랜서에게 Work Diary 사용을 요구하거나 선택 사항으로 둘 수는 있지만, 이를 금지할 옵션은 없다. 설령 금지할 수 있다 해도 다른 클라이언트가 요구할 수도 있다.

당신이 고용한 프리랜서가 다른 클라이언트에게 시간을 청구하면서 당신에게 온 메시지를 확인하거나 당신의 작업물이 담긴 창을 열어 둔 채 두면, Work Diary는 당신의 비공개 정보를 여러 추가 당사자에게 유출하게 된다. 자동 전체 화면 캡처 방식에서는 이러한 유출을 피할 수 없다.

마무리하며

이번 경험은 Upwork의 단점을 여실히 보여줬다. 한편으로는 내가 당연히 잡아내리라 기대했던 수많은 위험 신호를 놓쳤고 지속적인 악용을 막기 위해 거의 아무 것도 하지 않았다. 다른 한편으로는 Upwork를 수년간 이용하면서 사기꾼을 고용한 것이 이번이 처음이라는 사실 자체가 의미하는 바도 있다.

나는 Upwork를 특별히 좋아한 적은 없지만, Fiverr나 Freelancer.com 같은 대안 플랫폼은 내게 더 형편없었다. 앞으로도 Upwork를 계속 사용할 것이지만, 이번 일을 계기로 프리랜서에게 비공개 데이터에 대한 접근 권한을 줄 때 더욱 신중해야겠다는 생각이 들었다.