금감원, '해킹' 토스·코엠페이먼츠 현장검사 전환

[이데일리 임유경 기자] 금융감독원이 고객 신용정보 유출 사고가 의심되는 전자지급결제대행(PG) 업체 토스페이먼츠와 코엠페이먼츠에 대한 현장검사에 착수했다. 이는 지난 7일 현장점검에 나선 지 이틀 만으로, 업체의 신용정보 관리·보호 의무 준수 여부를 집중적으로 들여다보기로 했다.

금감원은 9일 PG사인 토스페이먼츠와 코엠페이먼츠에 대한 현장검사를 시작했다고 밝혔다. 최근 익명의 제보자가 과학기술정보통신부 등 여러 관계기관에 시스템 침해 정황을 담은 이메일을 보냈고, 이를 전달받은 금감원은 지난 7일부터 두 업체에 대한 현장점검을 진행해왔다.

(사진=이데일리DB)

금감원은 앞선 현장점검 과정에서 유출된 정보가 신용정보에 해당할 가능성이 있다고 보고 현장검사로 전환했다. 금감원 관계자는 “검사로 전환했다는 것은 유출된 정보가 어느 정도 신용정보에 가까운 정보라고 판단했기 때문”이라며 “해커가 어디에서 어떤 방식으로 정보를 취득했는지에 따라 실제 유출된 정보의 양과 범위가 달라질 수 있다”고 말했다.

PG사는 가맹점과 카드사 사이에서 결제를 중개하는 업체로 결제·정산 등에 필요한 범위에서 고객 정보를 처리·보관할 수 있다. 카드번호 등 중요 정보에는 암호화 등 별도의 보호조치가 요구된다. 이번 현장검사에서는 두 PG사가 고객정보를 규정에 맞게 보유·관리했는지가 핵심적으로 다뤄질 전망이다.

토스페이먼츠는 이날 이번 사고가 자사 시스템에 대한 직접적인 해킹이나 취약점 공격으로 발생한 것은 아니라고 밝혔다. 특정 가맹점 한 곳의 웹사이트에서 결제연동플랫폼 인증정보인 ‘연동키’가 노출됐고, 제3자가 이를 이용해 해당 가맹점의 결제내역을 조회했다는 설명이다.

조회된 규모는 결제 4131건, 정보주체 2671명이다. 구매자 성명과 마스킹된 카드번호, 승인번호 등이 조회됐지만 카드 비밀번호와 유효기간, CVC 등 실제 결제에 필요한 정보는 포함되지 않았으며 현재까지 부정결제 피해도 확인되지 않았다고 회사 측은 밝혔다.

코엠페이먼츠는 지난 6일 특정 결제 연동 시스템에서 외부의 비정상적인 접근이 발생했다고 공지했다. 지난달 30일부터 이달 1일까지 침입이 이뤄졌으며 정확한 유출 규모는 아직 파악되지 않았다. 다만 카드번호와 유효기간, 일부 결제 방식에서는 생년월 관련 정보와 카드 비밀번호 앞 두 자리까지 유출됐을 가능성이 있다고 밝혔다.

금감원은 검사를 통해 실제 유출된 정보와 규모를 확인하고 전자금융거래법과 신용정보법 등 관련 법에 근거해 신용정보 보호·관리 의무 위반 여부를 판단할 방침이다. 금감원 관계자는 “어떤 법을 위반했는지와 유출된 정보에 따라 제재 수위가 천차만별”이라며 “현 단계에서 제재 수준을 판단하기는 어렵다”고 말했다.