고위드 구독 결제 시스템 침해…656개사 영향·실제 피해는 0원

기업간거래(B2B) 핀테크 기업 고위드의 지출 최적화 서비스에서 외부인의 비인가 접근에 따른 비정상 결제 시도가 발생했다. 결제 승인 문자 알림을 받은 고객사가 656곳에 달했지만, 결제 과정에서 이상 거래를 차단하고 전액 취소하면서 실제 금전 피해는 발생하지 않았다.

고위드는 지난달 27일 자사 지출 최적화 서비스에서 외부 비인가 접근과 비정상 결제가 발생했다고 10일 밝혔다. 회사는 스타트업과 혁신성장기업을 대상으로 기업 운영에 필요한 금융 플랫폼을 운영하고 있다.

고위드의 서비스는 크게 법인카드, 지출관리, 지출 최적화로 나뉜다. 지출 최적화는 결제 데이터를 분석해 서비스형 소프트웨어(SaaS) 구독료나 IT 장비 구매 비용을 줄일 수 있는 대안을 찾아주는 서비스다.

이번 사고는 지출 최적화 서비스 중 구글 워크스페이스(Google Workspace·GWS)의 구독료 청구·결제 기능에서 발생했다. 지출 최적화 서비스 이용자는 888개사이며, 이 중 GWS를 이용하는 고객은 770개사다. 비정상 결제 시도로 656개사가 카드 결제 승인 문자 알림을 받는 등 불편을 겪었다.

고위드는 비정상 반복 결제가 발생한 사실을 확인하고 거래 내역을 모니터링한 뒤, 사고 발생 1시간47분 만인 오전 8시18분 전자지급결제대행(PG)사 단계에서 결제 금액 전액을 취소했다. 결제 승인 절차가 진행된 건은 있었지만 최종 정산 전 취소돼 실제 금전 피해로 이어지지는 않았다. 확인된 공격 경로 또한 차단했다.

이후 한국인터넷진흥원(KISA)과 개인정보보호위원회에 24시간 이내 침해사고를 신고했다. 영향을 받은 고객사에는 정보 유출 항목과 사고 대응 및 조치 결과를 개별적으로 안내했다.

침해사고 원인은

사고 원인은 고위드 내부 관리자 계정의 침해로 꼽힌다. 고위드는 고객 구독 상품의 요금을 매월 자동으로 청구하기 위해 PG사를 통한 정기결제 시스템을 운영하고 있다. 고객이 PG사에 카드를 등록하면 정해진 날짜에 구독료를 결제하겠다는 약정이 설정되고, 고위드 내부 시스템에서 승인 절차를 거쳐 결제가 이뤄지는 방식이다.

문제는 정기결제 승인 기능에 접근할 수 있는 고위드 내부 관리자 계정이 침해됐다는 점이다. 공격자는 해당 계정으로 승인 기능을 실행했고, 이에 따라 한 달에 한 번씩 작동해야 할 정기결제 시스템이 반복 실행됐다.

다만 고객의 카드번호가 유출된 것은 아니라는 게 회사 측 설명이다. 고위드는 고객 카드번호 전체를 내부 시스템에 저장하지 않고 PG사 시스템에 등록해 정기결제를 처리한다.

고위드 관계자는 “PG사 시스템에 정기결제 카드가 등록된 형태이기 때문에 고객이 등록한 카드번호 전체를 고위드에서는 알 수 없다”며 “고객의 민감한 카드번호 등 결제 정보가 유출된 사실은 전혀 없다”고 밝혔다.

사고 이후 대응책은

현재까지 고객 이탈은 크지 않은 것으로 나타났다. 이번 사고로 결제 승인 알림을 받은 656개사 가운데 서비스를 해지한 곳은 7개사로, 약 1% 수준이다.

고위드는 재발 방지를 위해 관리자 계정 관리 체계를 개선했다. 기존에는 여러 담당자가 하나의 관리자 계정을 함께 사용하는 방식으로 운영했지만, 사고 이후 담당자별로 계정을 분리하는 ‘1인 1 계정’ 체계를 도입했다.

각 담당자가 어떤 계정으로 언제 접속했으며, 관리자 시스템에서 어떤 작업을 수행했는지 기록이 남도록 바꿨다. 계정별 접근 이력과 작업 내역을 추적해 문제 발생 시 책임 소재와 사고 경위를 신속하게 파악하기 위한 조치다. 해당 개선 작업은 사고 발생 주에 마무리했다.

회사는 현재 침해 영향을 받은 656개사를 대상으로 보상 안내를 진행하고 있다. 정기 구독 서비스 이용 고객에게 다음 결제 때 청구되는 구독료의 10%를 할인해 주는 방식이다.

한편 이번 사고가 법인카드 등 다른 서비스로 확산될 가능성은 없다고 설명했다. 서비스별 데이터베이스(DB) 저장소를 물리적으로 분리해 운영하고 있기 때문이다.

고위드 관계자는 “법인카드 서비스와 이번 사고가 발생한 구독 서비스는 서로 다른 저장소를 사용한다”며 “특정 서비스의 저장소에 문제가 발생하더라도 다른 서비스에는 영향을 미치지 않는 구조”라고 밝혔다.

글. 바이라인네트워크
<이수민 기자>Lsm@byline.network