코엠페이먼츠 해킹으로 상대적으로 규모가 작은 전자금융업자의 보안 취약성에 대한 우려가 커지고 있다. 대형 금융회사에 비해 보안 인력과 시스템 투자 여력이 제한적인 만큼 중소형 PG사가 해커들의 새로운 표적이 될 수 있어서다.
특히 AI를 활용해 시스템 취약점을 빠르게 찾아내는 방식으로 공격 수법이 고도화할 경우 이같은 위험이 더 커질 수 있다는 지적이다.
10일 금융권에 따르면 금융감독원은 코엠페이먼츠에 대한 현장검사를 진행하고 있다. 금감원은 구체적인 사고 경위와 정보가 유출된 경로 등을 확인하고 있는 것으로 알려졌다. 코엠페이먼츠는 온라인 결제대행 서비스를 제공하는 전자지급결제대행(PG) 업계 10위권 내외의 중소형사다.
코엠페이먼츠는 지난 8월 30일부터 9월 1일까지 신원 미상의 해커로부터 서버 공격을 받아 결제 관련 정보가 유출된 사실을 지난 2일 인지했다. 유출된 정보는 카드번호와 일부 카드 비밀번호 앞 2자리, 유효기간, 결제금액, 카드 소유주의 생년월일 등이다.
회사는 서버 보안 조치를 완료했으며 유출된 카드번호를 해당 카드사에 통지했다. 카드사들은 부정결제 방지를 위해 이상거래탐지시스템(FDS) 강화하고 모니터링을 진행하고 있다.중소 PG 보안 취약성 수면 위로
이번 해킹은 중국계 해커의 소행에 무게가 실리고 있다. 용의자가 메일을 통해 스스로 중국인이라고 명시한 데다, 서버 경유지 및 접속 기록 등을 종합할 때 중국 내 해커 그룹일 가능성이 높다는 게 전문가의 시각이다.
금융권 고위 관계자는"국내 해커가 서버를 중국에 두고 경유해 공격할 수도 있지만, 국내 IP를 이용할 경우 추적이 용이해 잡힐 확률이 높다"며 "정황상 중국계 해커의 소행일 가능성이 크다"고 설명했다. ▷관련기사: PG사 해킹에 카드정보 '비상'…토스페이먼츠는 "해킹 아닌 인증정보 노출"(2026년 9월9일)
문제는 공격 타깃이 상대적으로 보안이 취약한 중소 PG사였다는 점이다. 대형 금융회사나 보안 체계를 갖춘 PG사들은 결제 과정에서 카드정보가 불필요하게 서버에 남지 않도록 관리하고 카드번호를 직접 저장·전송하는 대신 토큰화 등 별도의 보안 절차를 적용한다.
반면 소규모 PG사의 경우 이같은 보안 절차나 관리 체계가 상대적으로 미흡할 수 있다는 지적이 나온다. 코엠페이먼츠 역시 결제정보가 처리되는 과정에서 보안 관리가 충분하지 않았거나 서버 등에 정보가 남아 있었을 가능성이 제기되고 있다.
AI 활용한 공격 고도화 가능성
이번 사고를 계기로 상대적으로 규모가 작은 전자금융업자가 해커들의 새로운 공격 표적이 될 수 있다는 우려도 나온다. 대형 금융회사에 비해 보안 인력이나 시스템 투자가 충분하지 않은 업체의 경우 작은 취약점이 실제 정보 유출로 이어질 수 있어서다.
여기에 AI를 활용해 상대적으로 취약한 시스템을 찾아내는 방식으로 해킹 수법이 진화하고 있다는 점에 전문가들은 주목한다. 과거에는 해커가 직접 시스템의 취약점을 찾아야 했지만, AI를 활용하면 상대적으로 짧은 시간에 여러 시스템의 취약점을 탐색할 수 있어 공격 대상이 넓어질 수 있다는 것이다.
현재까지 코엠페이먼츠 해킹에 AI가 직접 활용됐다는 구체적인 물증은 확인되지 않았다. 다만 해킹 정황 등을 고려하면 AI가 활용됐을 가능성도 배제하기 어렵다고 추정하고 있다.
금융권 고위 관계자는 "예전에는 해커들이 관심을 두지 않았거나 직접 찾지 못했던 취약점을 AI를 활용해 찾아낼 수 있게 됐다"며 "수준이 낮은 해커들의 공격 역량도 높아질 수 있다"고 말했다.
이어 "과거에는 해커 10명이 한곳의 해킹에 붙었다면 앞으로는 AI를 활용해 10명의 해커가 각각 다른 취약한 곳을 공격하는 형태가 될 수 있다"며 "앞으로 이런 약한 고리들이 더 많이 공격받는 것이 문제가 될 수 있다"고 말했다.
