금감원, 토스페이먼츠·코엠페이먼츠 현장검사…카드 정보 유출 확인

(서울=연합인포맥스) 허동규 기자 = 금융감독원이 토스페이먼츠와 코엠페이먼츠 등 전자지급결제대행(PG)사 2곳에서 카드번호를 비롯한 일부 고객정보가 유출된 사실이 확인되면서 현장검사에 착수했다.

9일 금융권에 따르면 금감원은 지난 7일부터 토스페이먼츠와 코엠페이먼츠 등 PG사 2곳을 대상으로 현장검사를 진행하고 있다.

이번 정보 침해 사실은 한국인터넷진흥원(KISA)을 통해 처음 알려진 것으로 파악됐다. 해커가 KISA에 취약점을 제보했고, 금감원도 관련 내용을 전달받은 뒤 해당 PG사에 대한 점검에 나선 것으로 알려졌다.

현장검사가 계속 진행 중인 가운데 유출된 정보에는 마스킹 처리된 카드번호와 마스킹되지 않은 카드번호를 비롯해 성명, 유효기간, CVC, 비밀번호 일부 등이 포함된 것으로 파악됐다.

다만 두 PG사의 정보 유출 경로와 양태, 규모 등에는 차이가 있는 것으로 나타났다.

금감원은 구체적인 침해 경위와 정보 유출 규모 등을 추가로 확인 중으로, 정보주체를 대상으로 카드 교체를 안내하고 피해 보상 방안 등을 마련하도록 할 계획이다.

금감원 관계자는 "관련 회사들에 점검을 진행한 결과 침해받은 사실을 확인했다"며 "구체적인 유출 경로와 양태, 규모 등에서는 두 곳의 케이스가 조금 다르다"고 설명했다.

한편, 이번 유출 사고와 관련해 토스페이먼츠는 이날 입장문을 통해 "이번 사안은 토스페이먼츠 시스템에 대한 해킹이나 취약점 공격으로 발생한 것이 아니다"며 "특정 가맹점 1곳의 웹사이트에서 이용하는 결제 연동 플랫폼에서 사용되는 인증정보(연동키)가 노출되면서 발생했다"고 밝혔다.

토스페이먼츠에 따르면 제3자가 노출된 연동키를 이용해 결제 연동 플랫폼에서 추가적인 정보를 수집한 후 해당 가맹점의 결제내역을 조회한 것으로, 회사 시스템에 대한 직접적인 침입 시도는 확인되지 않았다는 설명이다.

토스페이먼츠가 확인한 유출 규모는 4천131건의 결제 내역과 정보주체 2천671명이다. 현재 토스페이먼츠는 대상자 전원에게 유출 사실 통지를 완료한 상태다.

토스페이먼츠는 "당사는 사실 확인 즉시 해당 접근 경로를 차단하고, 전체 접속 기록 분석을 통해 대상과 범위를 파악했다"며 "법령에 따른 대상 고객 통지와 금융감독원, 금융위원회 보고를 완료했다"고 말했다.

이어 "고객이 안심하고 이용할 수 있는 결제 환경을 만들기 위해 최선을 다하겠다"고 덧붙였다.

dghur@yna.co.kr