코엠페이먼츠 해킹에 1차 PG도 긴장…금융감독원 조사 대비

2차 전자지급결제대행(PG)사 코엠페이먼츠에서 결제정보 유출 사고가 발생하면서 관련 1차 PG사들도 긴장하고 있다.

10일 관련 업계에 따르면, 다날, 나이스페이먼츠, 케이에스넷 등 1차 PG사들은 금융감독원 조사에 대비해 내부 점검을 진행하고 있는 것으로 전해졌다. 이들은 코엠페이먼츠에 결제정보를 전달한 1차 PG사다. 1차 PG사는 카드사와 가맹점 사이에서 결제를 중개하고, 2차 PG사는 1차 PG와 가맹점 사이에서 결제 연동 등을 맡는 기업으로 코엠페이먼츠가 2차 PG사에 해당한다.

코엠페이먼츠는 지난달 30일부터 이달 1일까지 신원 미상의 해커가 서버를 공격해 결제 관련 정보가 유출됐다고 10일 공지했다. 코엠페이먼츠는 유출된 정보가 신용정보에 해당한다고 보고 고객들에게 사고 사실을 알렸다.

유출된 정보에는 결제에 사용된 카드번호가 공통적으로 포함됐으며 일부 정보에는 카드비밀번호 앞 2자리, 유효기간, 결제금액, 카드소유주의 생년월일 등이 포함됐다. 코엠페이먼츠는 사고 직후 해당 서버에 보안 조치를 완료했으며 유출된 카드번호를 카드사에 통지했다고 밝혔다. 카드사들은 부정결제 방지를 위해 이상거래탐지시스템(FDS)을 강화하고 모니터링을 진행하고 있다.

금감원은 현재 코엠페이먼츠의 사고 경위와 유출 범위를 파악하는 단계다. 금감원 관계자는 “현재는 사실관계와 유출 범위를 파악하고 있다”며 “몇 건이 얼마나 어떻게 유출됐는지가 정해져야 이후 살펴볼 수 있을 것”이라고 말했다.

한 PG업계 관계자는 “금감원의 다음 조사 대상이 1차 PG가 될 것으로 보고 다들 준비하고 있다”며 “무엇을 물어볼지 모르기 때문에 긴장할 수밖에 없다”고 말했다.

향후 금감원 조사에서 1차 PG사가 2차 PG사에 결제정보를 전달·관리하는 과정의 보안조치도 살펴볼 가능성이 제기된다. 카드번호 등 결제정보의 암호화 여부와 정보 전달 과정의 보안조치, 필요한 정보만 취급·보관했는지 등이 확인 대상이 될 수 있다는 것이다.

코엠페이먼츠 서버에 대한 외부 공격으로 발생한 사고인 만큼, 해킹 사고 자체를 1차 PG사의 법적 책임으로 연결하기는 어렵다는 분석이다. 다만 1차 PG사가 결제정보를 관리·전달하는 과정에서 필요한 보안조치를 제대로 이행했는지는 별도로 확인될 수 있다.

이번 사고를 계기로 결제정보를 취급하는 2차 PG사가 해커들의 공격 표적이 될 가능성도 제기된다. 유사한 사고가 다른 기업으로 이어질 경우 2차 PG사에 그치지 않고 1차 PG를 포함한 PG업계 전반의 보안 문제로 번질 수 있다는 우려가 나온다.

글. 바이라인네트워크
<이수민 기자>Lsm@byline.network