[단독] 전자결제망 해킹 정황…코엠페이먼츠 카드정보 유출 공지, 대형 PG 연계망도 조사중

국내 전자결제(PG) 업체들을 겨냥한 해킹 정황이 확인되면서 금융당국과 관계기관이 조사에 착수한 것으로 알려졌다. 실제 피해 업체 가운데 코엠페이먼츠는 결제 연동 시스템 침해와 카드정보 유출 가능성을 공식적으로 인정했다.

8일 데일리시큐 취재를 종합하면, 익명의 화이트해커가 최근 국가안보실과 과학기술정보통신부, 금융위원회, 금융감독원 등 관계기관에 국내 여러 업체의 시스템 침해 사실을 제보한 것으로 전해졌다.

제보에는 해킹한 업체와 침투한 시스템, 외부에서 확보한 정보 등이 구체적으로 포함된 것으로 알려졌다. 대상에는 여러 중소·영세 업체가 포함됐으며 금융·전자결제 관련 업체도 들어 있는 것으로 파악됐다.

금융 관련 업체 가운데 현재 공개적으로 사고를 확인한 곳은 코엠페이먼츠다.

코엠페이먼츠, 카드번호·유효기간 등 유출 가능성 확인

코엠페이먼츠는 지난 6일 홈페이지에 '개인정보 유출 관련 안내 및 후속 조치 안내'를 게시하고 특정 결제 연동 시스템에서 외부의 비정상적인 접근이 발생했다고 밝혔다.

회사 측에 따르면 비정상 접근은 지난 8월 30일 오전 8시 13분부터 9월 1일 오전 5시 34분 사이 발생했으며, 코엠페이먼츠는 9월 2일 오전 8시께 사고를 처음 인지했다.

정확한 유출 대상과 피해 규모는 아직 확인되지 않았다.

코엠페이먼츠는 공격자가 실제로 확보한 개별 거래내역과 카드정보를 현재 보유하고 있지 않아 피해 거래와 정보주체를 특정하지 못하고 있다고 설명했다.

하지만 침해된 시스템에서 처리되는 결제요청 전문 구조상 카드번호와 유효기간이 포함됐을 가능성이 있다고 밝혔다. 일부 결제방식에서는 생년월 관련 정보와 카드 비밀번호 앞 2자리까지 포함됐을 가능성도 배제하지 않고 있다.

코엠페이먼츠는 사고 인지 후 관련 취약점을 긴급 차단하고 추가 침입 방지 조치를 진행했다. 현재 시스템 보안점검과 침해사고 원인 분석도 진행하고 있다.

개인정보보호위원회와 금융위원회, 금융감독원, 금융보안원에도 사고를 신고했다.

금융보안원은 사고와 관련해 확보된 카드정보를 해당 카드사에 전달하고 카드회원 보호조치를 요청한 것으로 전해졌다. 코엠페이먼츠 역시 카드사에 침해사고 사실을 별도로 통보하고 피해 예방조치에 협조하고 있다.

다른 2차 PG 침해 후 대형 PG 연계 모듈 접근 정황도

이번 사고와 별개로 또 다른 2차 PG 업체가 해킹된 뒤 이 업체에 연결돼 있던 국내 대형 PG사의 결제 연동 모듈까지 접근이 이뤄진 정황도 제보된 것으로 알려졌다.

제보 내용에 따르면 공격자는 해당 2차 PG 시스템에 침투한 뒤 대형 PG사와 연결된 모듈에 접근했으며, 이 과정에서 카드 관련 정보 일부를 확보했을 가능성이 제기됐다.

다만 현재까지 확인된 내용만으로 해당 대형 PG사의 핵심 내부 시스템 자체가 직접 해킹됐다고 단정하기는 어렵다.

2차 PG 시스템을 통해 어느 범위까지 접근했는지, 실제 외부로 반출된 정보가 무엇인지, 카드정보가 실제 포함됐는지와 피해 건수 등은 추가 조사가 필요한 상황이다.

해당 PG사는 현재 사고 범위와 관련 정보를 확인하고 있으며 피해 대상이 확정될 경우 개별 통지 등의 후속 조치를 진행할 것으로 알려졌다.

금융당국·금융보안원 현장 조사

관계기관은 최근 관련 제보 내용을 인지하고 현장 확인과 침해사고 조사를 진행 중인 것으로 전해졌다. 금융보안원도 사고 원인 분석과 금융정보 유출 여부 확인 작업에 참여하고 있는 것으로 알려졌다.

이번 사고에서 주목할 부분은 대형 금융·결제사를 직접 공격하기보다 상대적으로 규모가 작은 결제 연동업체나 2차 PG를 먼저 침해한 뒤 상위 결제 시스템으로 접근하는 공격 방식이다.

PG 결제 환경은 쇼핑몰과 하위 결제사업자, PG사, 카드사 등이 서로 연결돼 있어 한 곳의 보안 취약점이 다른 결제 시스템에 영향을 미칠 가능성이 있다.

특히 2차 PG 업체에 저장되거나 실시간으로 처리되는 결제 전문에 카드번호와 유효기간, 인증정보 등이 포함될 경우 침해사고가 실제 금융피해로 이어질 가능성도 배제할 수 없다.

이번 사고가 2차 PG를 통한 상위 결제망 접근으로 최종 확인될 경우 개별 업체의 개인정보 유출 사고를 넘어 국내 전자결제 공급망 전반의 보안관리 문제가 다시 제기될 가능성이 크다.

관계기관은 현재 공격자가 어떤 취약점을 이용해 시스템에 침투했는지, 추가 피해 업체가 있는지, 실제 외부로 반출된 금융정보가 어느 정도인지 등을 조사하고 있는 것으로 알려졌다.

특히 카드번호와 유효기간, 카드 비밀번호 일부 등 실제 결제정보의 유출 여부와 피해 규모를 신속하게 확인하고 피해 카드에 대한 선제적 보호조치를 진행하는 것이 중요하다.