수년 동안 저는 Upwork라는 사이트를 통해 프리랜서를 고용해 왔습니다. 다양한 분야의 전문가들이 모이는 곳이라 만화가부터 소프트웨어 개발자, 교정·교열자까지 온갖 사람들을 이곳에서 찾아왔습니다. 어떤 분들은 정말 훌륭했고 어떤 분들은 끔찍했지만, 노골적으로 사기를 치려 한 사람은 한 명도 없었습니다.

그러다 Lizzie를 만나기 전까지는 그랬습니다.

저는 만들고 있는 키토 다이어트 웹사이트에 글을 써 줄 작가가 필요했습니다. 미국에 거주하는 영어 원어민이라는 점에서 Lizzie는 괜찮은 후보로 보였습니다. 그녀의 프로필에는 눈에 띄는 문법 오류가 없었는데, 고용 가능한 작가들 사이에서는 놀라울 정도로 드문 장점이었습니다. 게다가 시간당 10달러밖에 받지 않았습니다.

네, 무슨 생각을 하시는지 압니다. 시간당 10달러면 뻔히 사기꾼이거나 형편없는 작가겠지, 하고 말입니다. Upwork에서 작가들은 보통 시간당 30~60달러를 받는데, 누가 그런 낮은 금액을 받겠냐는 거죠.

하지만 그게 바로 Upwork의 묘미이기도 합니다. 제가 함께 일했던 최고의 분들 중에는 좋은 평점을 쌓기 위해 일부러 의심스러울 정도로 저렴한 가격을 내건 경우도 있었습니다. Lizzie는 수행한 작업이 몇 건 되지 않았지만, 모든 리뷰에서 만점을 받고 있었습니다.

만약 그녀가 실력자라면 엄청나게 저렴한 가격에 훌륭한 작가를 얻는 셈이었고, 결과가 형편없더라도 시간당 10달러짜리 글이 어떤 수준인지 직접 볼 수 있으니 손해는 아니라고 생각했습니다.

빈 문서와 맞바꾼 50달러

제안을 보내자 Lizzie는 바로 수락했습니다. 저는 보고서 세 건을 맡기며 작성 방법에 대한 안내를 전달했습니다.

작업 시간을 5시간으로 제한하고, 4시간 30분이 지나도 끝나지 않으면 남은 30분 동안 진행한 내용을 공유 Google 문서에 모두 옮겨 달라고 했습니다.

다음 날, Upwork에는 Lizzie가 5시간을 전부 청구했다는 기록이 떴지만 Google 문서는 비어 있었습니다. 메시지도 하나 보내오지 않았습니다.

거추장스러운 감시 도구가 구해 주다

Lizzie의 타임시트를 확인하다가 그녀가 Work Diary로 시간을 기록했다는 걸 알게 됐습니다. Work Diary는 Upwork의 공식 스파이웨어 도구로, 프리랜서의 화면을 캡처하고 키보드 입력을 기록해 그 모든 정보를 Upwork와 클라이언트에게 전송합니다.

Work Diary는 솔직히 좀 꺼림칙해서 저는 프리랜서에게 사용을 요구한 적이 없습니다. 그런데 Lizzie는 단순히 시간을 청구하는 대신 직접 이 도구를 실행했습니다. 덕분에 결과물은 하나도 받지 못했지만, 그녀가 청구한 5시간을 어떻게 보냈는지를 보여 주는 스크린샷은 확보할 수 있었습니다.

초반 스크린샷에서 그녀는 힌두교의 만트라에 관한 문서를 작성하고 있었습니다. 제 프로젝트와는 전혀 관련이 없는 내용이었지만, 그 시간은 저에게 청구되고 있었습니다.

이후에는 방향을 바꿔 타로 카드에 관한 글을 쓰기 시작했습니다. 키토 업계에 타로 리딩으로 음식을 고르는 새로운 유행이 생긴 게 아니라면, 이 역시 제 프로젝트와는 관련이 없어 보였습니다.

도대체 무슨 일이 일어난 걸까?

그러다 상황이 좀 더 흥미로워졌습니다. 스크린샷 하나에 Lizzie가 Upwork 메시지 창을 통해 다른 클라이언트와 대화하는 모습이 담겨 있었습니다.

처음에는 두 사람이 대화하는 화면에 Lizzie가 없어서 혼란스러웠습니다. 알고 보니 그녀는 “Abi Hensley”라는 다른 Upwork 계정으로 로그인해 있었던 것입니다.

Upwork에서 바로 검색해 보니 Abi의 프로필이 나왔습니다. 역시나 Lizzie와 문구와 시간당 요금이 완전히 동일했습니다.

작업 표시줄에 웹 브라우저가 네 개나 고정되어 있던 이유도 설명이 됐습니다. 아마 Upwork 계정마다 브라우저를 하나씩 썼던 것 같습니다.

Grace는 누구일까?

스크린샷 중 하나에는 Lizzie의 Documents 폴더가 찍혀 있었습니다.

그 안에는 이름에 “Grace”가 들어간 파일이 여러 개 있었습니다.

• “Grace Application Letter”
• “Grace CV”
• “Grace Intenship [sic] letter”

마지막으로 “Grace” 뒤에 성으로 보이는 단어가 붙은 PDF 파일이 있었습니다. 그 전체 이름은 특이해서 Google에서 검색 결과가 단 하나만 나왔습니다. 케냐의 한 학교 교사의 Facebook 프로필이었습니다.

밤 9시, 당신은 지금 어디에 있습니까?

스크린샷 속에 또 다른 미묘한 단서가 숨어 있었습니다. 바로 시간대였습니다.

Upwork가 이 이미지를 캡처한 시각은 그리니치 표준시(GMT) 기준 오후 6시 15분이었지만, 프리랜서의 컴퓨터 시계는 오후 9시 17분을 가리키고 있었습니다.

어떤 시간대일까요? 역시나 케냐 나이로비의 시간대였습니다.

버서(birther)처럼 들리고 싶지는 않지만, 케냐식 이름과 케냐 시간대를 함께 놓고 보면 “Lizzie”가 실제로는 케냐인일 가능성이 높아 보였습니다.

그 프로필은 어땠을까?

애초에 Lizzie를 고용하게 만든 Upwork 프로필을 다시 살펴봤습니다. 몇 번 검색해 보니 Lizzie가 프로필 전체를 표절했다는 걸 알 수 있었습니다. LinkedIn 프로필 하나와 Upwork의 다른 프로필 하나를 짜깁기한 것이었습니다.

이게 함정일까?

사기가 너무 허술하고 노골적이라 오히려 더 정교한 사기의 1단계가 아닐까 걱정됐습니다. 50달러짜리 청구서를 그냥 보내면 될 텐데 왜 일을 하지 않았다는 걸 증명하는 스크린샷을 굳이 업로드했을까? 그리고 왜 돈을 청구해 놓고 보고서는 주지 않았을까? 그러면 당연히 스크린샷 기록을 확인하게 될 텐데 말입니다.

영화에서는 사기꾼이 피해자가 사기를 간파했다고 믿게 만들지만, 그 가짜 사기를 드러내도록 내버려 두는 것 자체가 진짜 사기의 일부입니다. 피해자가 판세를 뒤집었다고 생각하는 순간, 정작 진짜 사기에 정면으로 당하게 되는 거죠. 여기에 또 다른 속임수가 숨어 있는 걸까요?

Upwork는 왜 이걸 놓쳤을까?

Upwork가 사기를 잡겠다며 프리랜서에게 침입적인 스파이웨어를 설치하도록 하면서도, 수많은 명백한 사기 징후를 무시했다는 점이 이해가 되지 않았습니다.

• 두 명의 프리랜서가 2,000마일이나 떨어진 도시에 산다고 주장하면서 같은 컴퓨터와 IP를 사용하고 있었다.
• 두 프리랜서의 프로필이 한 글자까지 동일했다.
• 한 프리랜서가 같은 사이트의 다른 유명 사용자의 프로필을 대폭 표절했다.
• 두 프리랜서 모두 미국에 산다고 주장하면서 시계는 나이로비 시간으로 설정되어 있었고 IP 주소도 케냐로 추정됐다.

마침내 받은 결과물

스크린샷을 확인하자마자 저는 계약을 종료하고 Upwork에 사기를 신고했습니다. Lizzie는 계약이 종료된 것만 볼 수 있었고, 제가 남긴 신고 내용은 볼 수 없었습니다.

다음 날 Lizzie가 왜 계약을 종료했냐며 메시지를 보내왔습니다. 이상하게 청구한 시간에 대해서는 아무 언급도 없었고, 대신 제가 의뢰한 보고서 세 건이 담긴 Word 문서를 첨부했습니다.

다음은 코카콜라가 키토 다이어트에 적합한지에 대해 그녀가 쓴 보고서입니다.

Coca-Cola

간략 설명

코카콜라는 당 함량이 높고 지방이 없어 키토에 적합하지 않습니다.

상세 설명

코카콜라의 영양 성분에 따르면 키토 친화적이지 않습니다. 1회 제공량당 순탄수화물이 10.6g 함유되어 있습니다 [편집자 주: 실제 순탄수화물 함량은 39g]. 또한 지방과 단백질이 전혀 들어 있지 않습니다. 코크 제로나 다이어트 코크 같은 다른 종류의 코카콜라를 고려해 볼 수 있습니다.

문법은 나쁘지 않았지만, Lizzie가 원어민이 아니라는 사실은 더욱 분명해졌습니다. 가장 노골적인 단서는 “Diet Coke” 앞에 붙은 정관사였습니다. 미국인이라면 누구도 “상쾌한 다이어트 코크 한 잔 주세요”라고 할 때 “the Diet Coke”라고 말하지 않습니다.

Upwork는 사기를 어떻게 처리할까

Lizzie의 계정을 사기로 신고한 지 이틀 뒤, Upwork는 다음과 같은 답변과 함께 제 지원 티켓을 닫았습니다.

귀하의 신고를 바탕으로 해당 계정을 검토하고 이용약관에 따라 조치를 취했습니다. 모든 회원의 계정 기밀을 보호하기 위해 조사 결과에 대해서는 알려드릴 수 없습니다.

결과를 알려줄 수 없다고요? 저는 Lizzie의 가짜 계정들이 모두 폐쇄될 거라 기대했습니다. 그렇다면 그 결과는 제가 충분히 눈으로 확인할 수 있어야 할 텐데 말입니다.

Lizzie를 신고한 지 이제 3주가 지났습니다. 신고 후 며칠 뒤 프로필이 비공개로 전환되긴 했지만, Upwork에는 여전히 활성 상태로 표시되며 새로운 제안을 받을 수 있는 상태입니다.

• Lizzie Ruprecht
• Abi Hensley

다행히 Upwork는 50달러를 환불해 주었습니다.

내 피드백은 왜 보이지 않을까?

작업이 끝난 뒤 남긴 Lizzie에 대한 피드백에서 저는 그녀의 프로필이 사기성이라고 지적했습니다. 추측에 기반한 비난은 피하려고 신중을 기했고, 객관적인 사실에만 집중했습니다. Lizzie가 제 프로젝트와 무관한 작업 시간을 청구했고, Work Diary를 통해 그녀가 중복 Upwork 계정을 운영하고 있음이 드러났다는 점이었습니다.

그런데 이상하게도 Upwork는 이를 “남겨진 피드백 없음”으로 표시했습니다.

업데이트: reddit의 댓글 작성자들이 지적한 바에 따르면, Upwork는 해당 작업에 대해 환불을 승인하면 항상 클라이언트의 피드백을 숨긴다고 합니다.

다른 클라이언트에게 경고하기

Lizzie의 꼼수를 알게 된 당일, 저는 그녀의 다른 클라이언트 한 분에게 연락했습니다. 그분은 “Abi” 프로필을 통해 Lizzie에게 세일즈 카피 작성을 맡긴 상태였습니다. 처음에는 아직 결과물을 기다리고 있다고 답했지만, 며칠 뒤 다시 연락해 와서는 본인도 계약을 해지했다고 말했습니다.

의미심장하게도 Upwork는 “계정을 검토하고 조치를 취했다”고 하면서도, 그분이 Lizzie/Abi와 아직 계약이 진행 중이었음에도 사기 사실을 전혀 알리지 않았습니다.

Upwork의 교차 오염 문제

Upwork의 클라이언트 목록은 비공개라서 원칙적으로는 내가 고용한 프리랜서의 다른 클라이언트에게 연락할 수 없어야 합니다. 하지만 Lizzie가 스크린샷에 너무 많은 정보를 흘린 덕분에 그녀를 고용한 또 다른 분의 연락처를 찾을 수 있었습니다.

이는 Upwork Work Diary 기능의 또 다른 흥미로운 문제, 즉 교차 오염 문제를 드러냅니다.

만약 한 프리랜서가 지원서 마지막에 이렇게 썼다고 상상해 보십시오.

참고로 저는 제 화면 전체를 불특정 제3자에게 캡처해 전송하는 소프트웨어를 상시 실행하고 있습니다. 괜찮으시겠죠!

아마 즉시 탈락시킬 겁니다. 하지만 Work Diary로 시간을 추적하는 모든 Upwork 사용자는 사실상 이와 같은 말을 하고 있는 셈입니다.

클라이언트 입장에서는 이를 막을 방법이 없습니다. 클라이언트는 프리랜서에게 Work Diary 사용을 필수로 하거나 선택으로 둘 수는 있지만, 금지할 수는 없습니다. 설령 금지할 수 있다 해도 다른 클라이언트가 필수로 요구할 수 있습니다.

내가 고용한 프리랜서가 다른 클라이언트에게 시간을 청구하면서 나와의 메시지를 확인하거나 내 작업물이 담긴 창을 열어 둔 채로 있기만 해도, Work Diary는 내 비공개 정보를 여러 다른 당사자에게 유출하게 됩니다. 화면 전체를 자동으로 캡처하는 방식에서는 이런 종류의 유출을 피할 수 없습니다.

마무리하며

이번 경험으로 Upwork의 단점을 몇 가지 알게 됐습니다. 한편으로는 제가 당연히 잡아내리라 기대했던 수많은 위험 신호를 놓쳤고 지속적인 악용을 막기 위한 조치도 거의 취하지 않았습니다. 다른 한편으로는, Upwork를 수년간 이용하면서 사기꾼을 고용한 게 이번이 처음이라는 사실 자체가 시사하는 바도 있습니다.

저는 Upwork를 딱히 좋아한 적은 없지만, Fiverr나 Freelancer.com 같은 대안 플랫폼은 저에게는 훨씬 더 형편없었습니다. 앞으로도 Upwork를 계속 사용할 것이지만, 이번 일을 계기로 프리랜서에게 비공개 데이터 접근 권한을 줄 때는 더욱 신중해야겠다고 생각하게 됐습니다.