금융감독원(금감원)이 전자지급결제대행(PG)사인 코엠페이먼츠와 토스페이먼츠를 대상으로 현장검사에 나섰습니다. 코엠페이먼츠는 해킹 공격으로 카드번호, 유효기간, 생년월 정보, 카드 비밀번호 앞 두 자리 등이 유출됐을 가능성이 있으며, 정확한 피해 규모는 아직 파악 중입니다. 토스페이먼츠는 자사 시스템이 직접 해킹된 것이 아니라, 가맹점이 연동해 사용하던 외부 결제 플랫폼의 인증정보가 부주의한 관리로 외부에 노출된 사례입니다. 조회된 고객 정보(이름, 일부 가려진 카드번호)만으로는 실제 결제가 불가능하며, 외부 반출 정황도 현재까지 확인되지 않았습니다. 금감원은 카드정보 보관·관리 체계와 침해 경로, 사고 대응 과정을 집중 점검할 예정입니다.
코엠페이먼츠가 해킹 공격을 받아 카드번호·유효기간 등 결제 민감정보가 유출됐을 가능성이 제기됐고, 토스페이먼츠는 가맹점이 사용하던 외부 결제 연동 플랫폼(퀵박스)의 인증정보가 노출됐다.
코엠페이먼츠는 카드번호·유효기간·생년월·비밀번호 앞 두 자리까지 노출됐을 수 있으나 정확한 피해 규모는 미확인 상태다. 토스페이먼츠는 이름과 부분 마스킹된 카드번호가 조회됐으나 실결제 악용 가능성은 낮다.
코엠페이먼츠는 자체 시스템에 대한 외부 해킹 공격이 원인이며, 토스페이먼츠는 가맹점의 외부 플랫폼 인증정보 부주의 관리로 인한 노출이다.
금융감독원이 두 PG사를 대상으로 현장검사에 착수해 카드정보 보관·관리 체계, 침해 경로, 사고 인지 후 대응 과정을 조사 중이다.
PG사 및 가맹점은 외부 결제 연동 플랫폼의 인증정보(API 키, 시크릿 등)를 안전하게 관리하고, 결제 처리 시스템의 접근 통제와 로그 모니터링을 강화해야 한다.
본문
금감원, 코엠·토스페이먼츠 현장검사 착수…개인정보 유출
발행일 : 2026-09-09 14:32
금융감독원이 코엠페이먼츠와 토스페이먼츠를 대상으로 현장조사를 진행한다. 코엠페이먼츠에서 해킹으로 카드정보가 유출됐을 가능성이 제기됐고, 토스페이먼츠에서는 가맹점이 사용하는 외부 결제 연동 플랫폼 인증정보가 노출된 것으로 파악됐다.
9일 금융당국에 따르면, 금감원은 두 전자지급결제대행(PG)사를 상대로 정보 유출 여부와 사고 경위 등을 확인하고 있다. 코엠페이먼츠는 자체 시스템이 해킹 공격을 받았고, 토스페이먼츠는 가맹점 측에서 관리하던 외부 플랫폼의 인증정보가 노출됐다.
코엠페이먼츠의 정확한 유출 대상과 피해 규모는 아직 확인되지 않았다. 다만 침해된 시스템에서 처리하는 결제요청 전문의 구조상 카드번호와 유효기간이 포함됐을 것으로 추정되고 있다. 결제 방식에 따라 생년월 관련 정보와 카드 비밀번호 앞 두 자리까지 노출됐을 가능성도 제기된다.
코엠페이먼츠는 공격자가 확보한 개별 거래 내역과 카드정보를 보유하고 있지 않아 실제 유출된 거래와 정보 주체를 특정하지 못하고 있다고 설명했다.
금감원은 현장점검을 통해 카드정보 보관·관리 체계와 침해 경로, 사고 인지 이후 대응 과정 등을 살펴볼 방침이다.
토스페이먼츠의 결제 시스템은 직접 해킹되지 않았다. 가맹점이 토스페이먼츠 결제 서비스와 연동해 사용하던 외부 결제 플랫폼의 '퀵박스' 인증정보를 부주의하게 관리하면서 외부에 노출된 것으로 추정된다.
조회된 정보는 고객 이름과 일부 숫자가 가려진 카드번호 등이다. 해당 정보만으로는 결제가 불가능하며, 현재까지 조회된 정보가 외부로 반출된 정황도 확인되지 않았다.
토스페이먼츠 관계자는 "토스페이먼츠 보안 시스템이 침해된 사고가 아니라 가맹점 측에서 발생한 사안"이라며 "금감원도 이를 인지한 상태에서 관련 경위를 확인하기 위해 현장조사를 진행했다"고 말했다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
