당신의 10살 아들이 로블록스를 시작했는데, 어느 날 게임 내 화폐인 로벅스가 전부 사라진 걸 발견한다. 무슨 일이 있었는지 물어보니, 아들은 최근 유튜브에서 본 링크를 따라가면 로벅스를 더 준다는 말을 믿었다고 한다. 링크에 접속하니 평소처럼 로블록스 사이트로 연결됐지만 추가 화폐는 보이지 않았다. 아들은 로블록스 사용자들, 그중에서도 많은 아이들이 로그인 정보를 노리는 사기의 희생자가 된 것이다. 범죄자들은 이 정보로 가상 화폐와 플레이어의 개인 데이터를 훔칠 수 있다.

로블록스 내에서 플레이어는 로벅스를 사용해 아바타용 스킨이나 애니메이션 같은 가상 아이템을 산다. 게임 내에서 화폐를 벌 수도 있지만 구매도 가능하다. 로블록스 온라인 스토어에서는 최대 199.99파운드짜리 패키지도 판매한다. 사기꾼들은 다크웹에서 구매한 기성 키트를 이용해 진짜 로블록스 사이트와 겉모습이 똑같은 가짜 로그인 페이지를 만든다.

사이버 보안 회사 노드VPN의 글로벌 담당 부사장 제럴드 카술리스는 "아이가 정보를 입력하면 가짜 웹사이트가 실제로는 합법적인 로블록스 페이지로 리디렉션한다"며 "결국 아이는 원하는 곳에 도착한다"고 말한다. 하지만 그 시점에 이미 범죄자들은 사기에 필요한 정보를 손에 넣은 뒤다.

노드VPN 연구원들에 따르면, 7일 동안 그들은 로블록스 사용자를 사기치는 도구를 제공하는 기성 피싱 페이지를 판매하는 주소를 거의 200개 발견했다. 피싱 사이트 링크는 주로 유튜브나 틱톡 영상 댓글, 또는 게이머용 채팅 앱 디스코드의 채팅에 있다. 메시지는 플레이어가 제공된 링크를 클릭하면 무료 로벅스를 받을 수 있다고 말할 수 있다. 많은 사기처럼, 피해자가 결과를 충분히 생각하지 않고 행동하도록 몇 시간 동안만 유효하다는 식의 긴박함을 조장하는 요소가 종종 있다.

그 링크를 통해 아이는 아마도 진짜 로블록스 사이트와 겉모습이 동일한 가짜 로그인 페이지로 이동한다. 주소에는 보통 'Roblox-verify'나 'login-Roblox'처럼 로블록스 이름이 들어간다. 노드VPN에 따르면, 사기 사이트에서 아이는 사용자 이름과 비밀번호를 요구받고, 2단계 인증 코드까지 입력하라는 말을 들을 수도 있다. 하지만 그 후 아이는 평소처럼 게임을 할 수 있도록 진짜 로블록스 사이트로 이동하기 때문에 뭔가 잘못됐다는 징후가 거의 없다. 로그인 정보를 얻은 사기꾼은 이를 팔거나 다른 계정으로 로벅스를 옮기는 데 사용할 수 있다.

노드VPN의 최고기술책임자 마리유스 브리에디스는 "가장 간단한 습관 중 하나는 아이들이 받은 링크를 통해 로그인하는 대신 공식 앱이나 웹사이트를 통해 직접 로블록스를 열도록 장려하는 것"이라며 "2단계 인증은 여전히 중요한 보호 수단이지만, 인증 코드와 백업 코드는 비밀번호처럼 취급해야 하며 절대 다른 사람에게 넘겨서는 안 된다"고 말한다.

만약 당신의 플레이어가 해커에게 로벅스를 잃었다면, 되찾을 가능성은 낮아 보인다. 로블록스는 계정이 침해된 사람들을 돕는 것이 법적으로 요구되지 않는 한 "의무가 없다"고 말한다. "로블록스는 개인의 계정이 이전 상태로 복원되거나, 로블록스가 잃어버린 가상 아이템이나 가상 화폐를 복구할 수 있다고 보장하지 않는다"고 밝혔다. 로블록스는 "매우 제한적인 상황"에서 잃어버린 아이템이나 그 가치를 복구할 수 있다고 말한다.

로블록스 대변인은 2단계 인증과 범죄자가 다른 곳에서 당신의 계정에 로그인하는 것을 막는 기능 등 피싱을 방지하기 위한 보안 조치가 마련돼 있다고 말한다. "우리는 계정 도용 위험을 최소화할 새로운 방법을 계속 연구하고 있으며, 알 수 없는 발신자나 웹사이트의 링크를 클릭하거나 파일을 다운로드하지 않는 등 보안 모범 사례를 따르도록 로블록스 사용자들에게 적극 권장한다"고 대변인은 덧붙였다.