"소형 쇼핑몰 API키가 문제...하드코딩돼 해커 먹이감"

토스(비바리퍼블리카)의 전자지급결제대행(PG) 자회사 토스페이먼츠의 가맹점 한 곳에서 해킹으로 고객 정보가 노출되는 사고가 발생했다. 토스페이먼츠는 자체 시스템이 해킹된 것이 아니라 가맹점의 부주의로 사고가 발생했다고 설명했다.

9일 본지 취재결과 이 가맹점은 소형 쇼핑몰인 것으로 나타났다. 토스페이먼츠에 따르면 회사 가맹점 한 곳인 이 소형 쇼핑몰이 보유한 고객 2,671명의 결제내역 4,131건이 유출됐다. 해커는 이를 기반으로 ▲구매자 성명 ▲마스킹 처리된 카드번호 ▲승인번호 등 결제내역을 조회했다. 카드 비밀번호와 유효기간, CVC 등 결제에 필요한 정보는 포함되지 않아 추가 결제는 불가능하다는 것이 토스페이먼츠 측 설명이다.

토스페이먼츠에 따르면, 이번 해킹은 해당 가맹점이 이용하는 결제연동플랫폼의 인증정보(연동키)가 노출되면서 발생했다. 토스페이먼츠 서비스를 구축·연동해주는 결제연동플랫폼에서 제공한 인증정보를 가맹점이 웹사이트에 노출해 사고가 발생했다는 것이 회사 측 설명이다.

이번 해킹은 해커가 소스코드 내에 삽입된 API 키를 통해 해당 가맹점 웹사이트에 접근하면서 발생했다. 토스페이먼츠 관계자는 해킹 이유에 대해 "결제연동 플랫폼의 API 키가 자바스크립트에 하드코딩(데이터를 코드 안에 직접 작성하는 개발 방식)돼 있었고, 제3자가 노출된 API 키로 정상 접근으로 위장해 결제정보를 조회했다"며 "피해 가맹점은 쇼핑몰이며, 규모가 크진 않아 보인다"고 말했다.

이어 "결제정보의 경우 개인신용정보에 해당하기 때문에 토스페이먼츠는 신용정보법에 따른 개인신용정보 누설 통지를 하고 금융감독원 및 금융위원회에 신고했다"며 "토스페이먼츠는 노출 사실 확인 즉시 해당 접근 경로를 차단했으며, 현재 진행 중인 검사에도 성실히 협조하고 있다"고 밝혔다.

이처럼 보안 관리 체계가 상대적으로 빈약한 중소 웹사이트의 경우 개발 과정에서 API 키나 비밀번호 등 주요 정보가 외부에 노출될 우려가 있다. 특히 최근 인공지능(AI) 발달로 바이브 코딩(AI가 생성한 코드를 구조적 이해 없이 그대로 활용하는 개발 방식)이 활성화되면서 코드 구조를 깊이 이해하지 못한 채 사용할 경우 심각한 보안 및 품질 위험을 초래하기도 한다. 또한 쇼핑몰의 경우 1인으로 운영되거나 영세한 경우가 많기 때문에 이같은 보안 위협에 더욱 쉽게 노출된다.

한편 중기부에 따르면 소형 쇼핑몰 등 국내 소상공인은 2023년 기준 약 790만 개가 넘는다.