[서울신문 탐사보도-카드 해외복제 기승] 포스단말기 해킹은 ‘예고된 재앙’

2007년 초 일부 카드가맹점의 포스단말기가 해킹돼 카드정보가 대량 빠져나가는 사고가 발생했다. 당시 카드사들은 극비리에 진상조사를 벌인 뒤 ‘조사결과 보고서’를 만들었다. 금융감독원에도 포스단말기의 위험성을 알렸다. 금감원은 지난해 카드사들의 우려에 대한 대책을 마련, 추진하겠다고 밝혔다.

하지만 1년반 가까운 시간이 흘렀지만 금감원은 추진방침에서 단 한발짝도 나가지 못했다. 카드사들에 정보 보안책임을 지도록 한 것 이외에 관리·감독, 관련 법률 손질 등 후속작업이 제대로 이뤄지지 않았다는 게 업계의 평가다. 이러는 사이 범죄수법은 진일보했다. 포스단말기 해킹은 ‘예고된 재앙’인 셈이다.

신용카드 단말기에서 빼낸 카드정보를 이용해 제작된 복제카드. 최근에는 카드번호·유효기간 등 신용카드의 모든 정보가 저장되는 포스단말기(작은 사진) 해킹 수법으로 카드 정보가 해외로 유출돼 복제·사용되고 있다.
서울신문 포토라이브러리

카드사들의 ‘2007~2008년 포스 업체의 카드정보관리 문제점 및 규제 방안’에 따르면 국내 카드가맹점의 포스단말기 해킹을 통한 카드정보 유출은 2006년 11월 처음 발생했다. 이듬해 1월에는 대구·창원 등지의 카드가맹점에서 카드정보가 무더기로 빠져나갔다.

오사카·봉이설렁탕·할리스·맥켄치킨·옛촌감자탕 등 프랜차이즈 업소와 음식·주점 등 400여 카드가맹점에서 카드정보가 새나갔다. 카드사 관계자들은 2일 “당시 금감원에 정확한 피해 규모는 전하지 않았지만 몇가지 실태를 예로 들며 포스단말기의 카드정보 유출 우려를 제기했었다.”고 말했다.

금감원은 카드사들의 지적을 토대로 지난해 5월22일 ‘신용카드 가맹점의 고객정보 보안관리 강화 지도 및 향후 추진 계획’을 발표했다. 주된 내용은 ▲포스단말기 내 매출내역과 관련 없는 정보(카드번호, 유효기간, CVV 등) 삭제 ▲포스단말기 보안 관련 기술표준 및 가맹점의 보안기준 제정·운용 ▲카드 가맹점 약관에 가맹점 보안준수사항 추가 등이다(표 참조).

금감원 관계자는 “당시 추진 안들이 잘 이행되고 있는 것으로 안다.”며 “현재 포스단말기에는 카드정보가 저장되지도 않고 저장되더라도 암호 등 보안 형태로 저장되기 때문에 정보 유출 위험이 없다.”고 강조했다. “추진 사항들이 제대로 실행되지 않아 문제가 생기면 가맹점 관리 주체인 카드사들이 책임져야 한다.”면서 “카드사는 주의·영업정지 같은 제재를 받고, 임직원도 처벌받는다.”고 덧붙였다.

금융당국의 신속하고 적극적인 대응책이 나오지 않는 틈을 타 범죄수법은 한층 지능화됐다. 과거 포스단말기 한 대를 해킹해 그 속에 들어 있던 카드정보를 통째로 빼가는 데서 대다수 포스단말기에 바이러스를 심어놓은 뒤 이메일로 실시간 빼내가는 방식으로 진화했다.



한 카드사 관계자는 “포스단말기에 저장된 카드정보를 몽땅 빼내갈 경우 수년전 카드정보도 섞여 있어 사용 전에는 거래정지·유효기간 초과 여부 등을 알 수 없다. 복제 뒤 이용할 때 위험부담이 따르기 마련”이라며 “하지만 ‘실시간 유출’은 카드사에서 사용승인이 난 카드정보를 바로 가져가기 때문에 복제 뒤 안전하게 쓸 수 있다.”고 말했다. 또 다른 관계자는 “예전에는 빼내간 카드정보를 한꺼번에 복제·사용해 유출 가맹점과 피해 규모를 쉽게 파악할 수 있었지만 요즘은 여러 가맹점에 빼내간 카드정보를 한 건씩만 복제·사용해 어느 가맹점에서 사고가 발생했는지 확인이 쉽지 않다.”고 설명했다.

김승훈기자