|
PG사는 온라인 쇼핑몰 등 가맹점과 카드사 사이에서 결제 승인과 정산을 중개한다. 소비자가 온라인에서 신용카드로 결제하면 가맹점의 결제 시스템과 PG사, 카드사 시스템이 연동돼 결제가 이뤄진다. PG사는 이 과정에서 수많은 가맹점과 API(응용프로그램 인터페이스) 등을 통해 연결되고 다양한 결제·인증 방식을 동시에 처리한다.
문제는 이처럼 연결되는 시스템과 사업자가 많아질수록 해커가 노릴 수 있는 공격 지점도 늘어난다는 점이다. PG사 자체 시스템을 안전하게 관리하더라도 가맹점의 인증정보나 PG사와 가맹점을 잇는 결제 연동 시스템 등 어느 한 곳에서 취약점이 발생하면 고객 정보가 노출될 수 있다. 각 가맹점의 보안 역량이 서로 다른 데다 결제·인증 방식도 다양해 연결망 전체에 동일한 수준의 보안을 유지하기 쉽지 않다는 지적이다.
토스페이먼츠에 따르면 이번 사고는 자사 시스템에 대한 직접적인 해킹이나 취약점 공격으로 발생한 것은 아니다. PG 서비스를 이용하는 특정 온라인 가맹점 한 곳에서 결제연동플랫폼에 사용하는 인증정보인 ‘연동키’가 노출됐고 제3자가 이를 이용해 해당 가맹점의 결제내역을 조회했다. 확인된 규모는 결제 4131건, 정보주체 2671명이다. 구매자 성명과 마스킹 처리된 카드번호, 승인번호 등이 조회됐다.
코엠페이먼츠 사고는 양상이 조금 다르다. 지난달 30일부터 이달 1일까지 특정 결제 연동 시스템에서 외부의 비정상적인 접근이 발생했다. 정확한 유출 규모는 아직 확인되지 않았다. 다만 해당 시스템에서 처리하는 결제요청 전문 구조상 카드번호와 유효기간이 포함됐을 가능성이 있으며 일부 결제방식에서는 생년월 관련 정보와 카드 비밀번호 앞 두 자리까지 유출됐을 가능성도 있다.
토스페이먼츠와 코엠페이먼츠에서 발생한 사고는 공격 방식이 서로 다르지만, 해커들이 신용카드·결제 정보를 탈취하기 위해 상대적으로 보안이 취약한 지점으로 공격 범위를 넓히고 있다는 공통된 신호로 읽힌다. 지난해 롯데카드 온라인 결제 서버가 해킹돼 297만명의 고객 정보가 유출되는 등 금융권에서 신용카드 정보를 노린 해킹 사고도 반복되고 있는 가운데 ‘결제망 약한고리’에 대한 우려가 커지고 있는 것이다.
사이버보안 전문 기업 티오리의 박세준 대표는 “PG 결제망은 연결되는 곳이 많고 결제·인증 방식도 다양하기 때문에 어느 한 지점의 보안만 강화해서는 충분하지 않다”며 “각 연결 구간을 상시적으로 점검하고 인증정보가 노출되더라도 비정상적인 접속이나 대량 조회를 추가로 탐지·차단할 수 있는 다층적인 방어 체계를 갖출 필요가 있다”고 말했다.
금감원도 현장검사를 통해 실제 유출된 정보와 규모를 확인하고 두 PG사가 고객 신용정보를 규정에 맞게 보유·관리했는지, 관련 보호조치를 제대로 이행했는지를 집중적으로 살펴볼 방침이다. 금감원 관계자는 “유출된 정보가 무엇인지 구체적으로 확인하고 신용정보 관리·보호 과정에서 관련 법규를 제대로 준수했는지를 중점적으로 들여다볼 것”이라고 말했다.
