국내 신용카드 정보 90만건 해외 불법유통…국내 가맹점서 부정사용 가능성은 낮아

[아이뉴스24 서상혁 기자] 국내 신용카드 정보 90만건이 다크웹 등 인터넷 암시장에서 유통되고 있는 사실이 드러났다. 다행히 국내 가맹점에선 긁는 방식이 아닌 직접회로(IC)칩 기반의 결제만 가능해, 해당 정보를 통한 부정거래가 발생할 가능성은 거의 없다.

다만 갈수록 해킹 수법이 고도화 되고 있는 만큼, 감독당국의 철저한 관리 가이드라인이 필요하다는 지적이 나온다.

카드업계가 유효 카드정보 여부와 도난추정 가맹점 등을 파악한 결과 90만건 중 유효기간 만료 등으로 실제 사용이 불가능한 경우는 전체의 54%며, 유효한 카드 정보는 약 41만건으로 파악됐다. 유출된 정보에는 카드번호와 유효기간, 카드 뒷면에 기재된 세자리 CVC 번호가 포함됐다.

업계는 보안인증 등록단말기 도입 이전에 사용된 단말기 해킹 등으로 도난된 것으로 보고 있다. 정부는 지난 2015년 7월 신용카드회원의 정보보호를 위해 암호화 등 보안성 요건을 갖춘 등록된 단말기만을 설치하도록 하는 '신용카드 단말기 등록제'를 시행하면서 3년의 유예기간을 준 바 있다. 유예기간 중 단말기를 교체한 가맹점도 있지만 그렇지 않은 곳도 있었다.

유출된 정보가 국내 가맹점에서 거래에 쓰일 가능성은 매우 낮다. 이미 정부는 긁는 방식이 아닌 꽂아서 결제하는 방식, 즉 IC칩 거래를 의무화 했다. 온라인 쇼핑몰도 카드 정보 입력과 동시에 본인인증을 요구하는 등 전자금융거래법에서 규정하는 보안 기준을 엄격히 준수하고 있다.

부정사용으로 확인되더라도, 여신전문금융업법에 따라 카드사로부터 피해 금액을 전액 보상받을 수 있다. 현행 여신전문금융업법에 따르면 위조되거나 변조된 신용카드 등의 사용, 해킹·전산장애·정보유출 등 부정한 방법으로 얻은 신용카드 정보를 이용한 부정 사용에 대해선 신용카드업자가 책임을 부담하도록 돼있다.

또 지난 2018년 7월부로 국내 모든 가맹점의 단말기가 IC등록단말기로 교체된 만큼, 추가로 정보가 유출될 가능성은 사실상 없다. 유출되더라도 암호화된 정보만 나올 뿐이다.

카드업계 관계자는 "현재 모든 가맹점에서 IC칩을 기반으로 결제를 하기 때문에 복제 카드로 인한 부정거래 가능성은 거의 없다"라며 "다만 우려스러운 건 일부 해외사이트에서 결제가 될 수 있다는 것인데, 그럴 일을 방지하기 위해 90여만건의 정보를 부정사용방지시스템(FDS)에 등록해 감시하고 있다"고 밝혔다.

FDS란 신용카드 회원의 거래정보 등을 분석해 의심스러운 카드결제나 평소와 다른 결제패턴 발생 시 이를 차단해주는 시스템을 말한다. 이밖에도 카드사들은 이메일이나 전화 등의 방법으로 대상 회원들에게 카드정보 도난 사실을 통보하고, 부정사용 가능성이 높은 카드정보에 대해선 해외이용 제한, 카드이용정지·재발급 등의 조치를 취하고 있다.

후속조치와 별개로 정보를 유출시킨 범인을 찾는 건 사실상 불가능해 보인다. 정보가 유통되고 있는 해외 암시장이 다크웹 기반인데다, 유출 경로로 추정되는 경우의 수가 매우 많기 때문이다. 가맹점 단말기가 수십만개에 달하고, 너무 오래전 일이라 전수조사도 불가능하다. 보안업계에선 사건의 전모를 밝히는 데 수개월이 걸릴 것으로 보고 있다.

보안업계는 이번 사건을 계기로 감독당국이 카드정보 관리에 관한 가이드라인을 다시 만들어야한다는 의견이다. 특히 등록단말기를 관리하는 밴(VAN)사에 대한 관리감독이 강화돼야 한다고 주장한다.

업계 관계자는 "이번 정보 유출은 VAN사의 결제망이나 공유기 등을 해킹해 벌어졌을 가능성이 있는 만큼, 감독당국은 밴사는 물론이고 카드사에 대한 정보 관리 가이드라인까지도 강화할 필요가 있다"라며 "시스템이 탄탄하다지만, 날이 갈수록 공격 수단이 다양해지는 점을 고려하면 보안 강화만이 답이라고 본다"고 설명했다.