전자지급결제대행(PG)사를 통한 카드정보가 유출된 가운데 금융감독원이 관련 사고에 대한 점검에 나섰다.
코엠페이먼츠에서는 해킹으로 카드번호와 유효기간은 물론 일부 결제 방식에서 카드 비밀번호 앞 2자리까지 포함됐을 가능성이 제기됐다. 토스페이먼츠는 회사 시스템이 해킹된 것이 아니라 특정 가맹점에서 결제연동 인증정보가 노출된 데 따른 사고라고 해명했다.
9일 금융권에 따르면 금감원은 코엠페이먼츠와 토스페이먼츠 등 PG사 2곳을 대상으로 현장검사를 진행 중이다.
금감원 관계자는 "메일로 제보가 들어왔다"며 "카드번호나 비밀번호 유출이 우려되는 상황인 것은 맞다"고 말했다. 다만 구체적인 피해 규모나 유출 정보 등은 현재 검사 중인 만큼 확인하기 어렵다는 입장이다.
코엠페이먼츠는 지난달 30일 오전 8시 13분부터 이달 1일 오전 5시 34분 사이 해킹 공격을 받은 것으로 알려졌다. 코엠페이먼츠에서는 카드번호와 유효기간을 비롯해 일부 결제 방식에서 카드 비밀번호 앞 2자리 등이 노출됐을 가능성이 제기됐다. 다만 구체적인 유출 정보와 피해 규모는 현재 금감원 검사를 통해 확인 중이다.
다만 토스페이먼츠 관련 사고는 코엠페이먼츠와 성격이 다른 것으로 나타났다.
토스페이먼츠 측은 "이번 사안은 토스페이먼츠 시스템에 대한 해킹이나 취약점 공격으로 발생한 것이 아니다"라며 "특정 가맹점 1곳의 웹사이트에서 사용하는 결제연동플랫폼의 인증정보(연동키)가 노출된 것"이라고 설명했다.
제3자가 노출된 연동키를 이용해 해당 가맹점의 결제내역을 조회한 것으로 토스페이먼츠 시스템에 대한 침입 시도는 확인되지 않았다는 설명이다.
토스페이먼츠에 따르면 이번 사고로 영향을 받은 범위는 해당 가맹점의 결제내역 4131건, 정보주체 2671명이다. 조회된 정보는 구매자 성명과 마스킹된 카드번호, 승인번호 등 영수증 수준의 결제내역으로 확인됐다.
카드 비밀번호와 유효기간, 카드 뒷면 3자리 번호(CVC) 등 결제에 필요한 정보는 포함되지 않았으며 다른 가맹점의 결제정보나 토스 앱 및 계열사 서비스·고객정보와도 관련이 없다는 게 회사 측 입장이다.
토스페이먼츠 관계자는 "결제에 필요한 정보는 포함되지 않아 해당 정보만으로는 추가 결제나 결제 취소가 불가능하며 현재까지 확인된 부정결제 등 피해 사례는 없다"며 "사실 확인 즉시 해당 접근 경로를 차단하고 대상 고객에 대한 통지를 완료했다"고 말했다.
이번 사고의 공격 주체가 중국인 해커 또는 해외 조직이라는 주장에 대해서는 현재까지 확인되지 않은 것으로 전해졌다.
금감원은 두 업체의 사고 경위와 정보 유출 여부 등을 들여다보고 있다. 금감원 관계자는 "현재 검사 중인 사안인 만큼 구체적인 피해 규모나 유출 정보 등을 확인해주기 어렵다"면서도 "두 업체 간 건수 편차가 크다"고 말했다.
