[뉴스] PG사 해킹 공격에 비번까지 털려…금감원, 검사 착수

신용카드 번호만이 아닙니다. 이번 공격으로 카드 유효기간과 생년월일 관련 정보, 일부 결제 방식에서는 카드 비밀번호 앞 2자리까지 노출됐을 가능성이 제기됐습니다. 결제 버튼을 누르는 순간 오가는 정보가 생각보다 훨씬 많다는 사실이 드러난 셈입니다.

해킹 공격은 지난달 30일 오전 8시 13분부터 9월 1일 오전 5시 34분 사이 코엠페이먼츠 시스템에서 발생한 것으로 알려졌습니다. 하지만 회사가 침해 사실을 인지한 시점은 9월 2일 오전 8시였습니다. 공격이 종료된 뒤에도 발견까지 약 하루가 걸렸고, 공격 시작 시점부터 따지면 나흘 가까이 침입이 이어진 셈입니다.

해커가 노린 곳은 소비자가 직접 이용하는 쇼핑몰 화면이 아니라, 결제 요청 전문이 오가는 PG사 시스템으로 추정됩니다. PG사는 카드사와 가맹점 사이에서 결제 정보를 중계하기 때문에 한 곳이 뚫리면 여러 거래의 민감 정보가 영향을 받을 수 있습니다.

코엠페이먼츠는 현재 공격자가 확보한 거래 내역과 카드 정보를 보유하고 있지 않아 실제 피해 대상과 유출 범위를 특정하기 어렵다고 밝혔습니다. 다만 침해된 시스템의 결제 요청 구조상 카드번호와 유효기간이 포함됐을 가능성이 있으며, 일부 결제 방식에서는 생년월일 관련 정보와 카드 비밀번호 앞 2자리도 들어갔을 수 있다고 설명했습니다.

한편 토스페이먼츠에서는 고객사인 가맹점이 해킹 시도를 받은 정황이 확인됐습니다. 해커로 추정되는 외부인이 쇼핑몰 고객의 결제 내역을 조회한 것으로 보이지만, 현재까지 외부 유출 정황은 확인되지 않았습니다.

금융감독원은 코엠페이먼츠와 토스페이먼츠에 대한 현장점검을 진행하다가 9일 검사로 전환했습니다. 이번 검사는 실제 정보 유출 여부뿐 아니라 침입 경로, 탐지 지연 원인, 비밀번호 정보 처리 방식과 재발 방지 대책까지 확인하는 과정이 될 전망입니다.

PG사 해킹 공격에 비번까지 털려…금감원, 검사 착수: 드러나지 않은 피해를 찾아라

가장 불안한 대목은 피해자와 유출 정보가 아직 특정되지 않았다는 점입니다. 코엠페이먼츠는 공격자가 취득한 개별 거래내역과 카드정보를 현재 보유하고 있지 않아, 어떤 거래와 정보 주체가 영향을 받았는지 확인하기 어렵다고 밝혔습니다.

금융감독원이 현장점검을 검사로 전환한 이유도 여기에 있습니다. 단순한 보안 취약점 확인을 넘어 침해 경위, 이상 결제 요청의 범위, 고객 정보 처리 과정, 사고 인지와 대응이 적절했는지까지 금융당국이 직접 들여다볼 필요성이 커졌기 때문입니다. 특히 카드번호와 유효기간뿐 아니라 일부 결제 방식에서 생년월일 관련 정보와 카드 비밀번호 앞 2자리까지 포함됐을 가능성이 제기된 만큼, 피해 범위를 면밀히 검증해야 합니다.

실제 카드정보 유출 여부는 침해 시스템의 로그와 결제 요청 전문, 접근 기록을 분석한 뒤에야 확인될 가능성이 큽니다. 유출된 정보의 종류와 대상 거래가 특정되면 관계기관은 고객 통지와 추가 피해 방지 조치를 결정하게 됩니다.

토스페이먼츠 관련 사안 역시 외부 유출 정황은 확인되지 않았지만, 고객사 가맹점의 결제 내역이 조회된 것으로 추정되는 만큼 조사 결과를 지켜봐야 합니다. 이번 검사는 보이지 않는 피해까지 추적하고, PG사의 정보보호 체계가 실제 공격에 얼마나 견고했는지를 확인하는 분수령이 될 전망입니다.

Reference

한국경제: https://www.hankyung.com/article/2026090936277