또 뚫린 ‘전자결제’

30만원 이하의 인터넷 전자결제에 사용되는 보안 시스템인 ‘안전결제’와 ‘안심클릭’에 구멍이 뚫렸다. 비씨·KB카드는 안전결제를,LG·삼성·현대카드는 안심클릭을 채택하는 등 국내 대부분의 카드사는 두 보안서비스를 이용하고 있다. 안전결제와 안심클릭은 인터넷상에서 결제를 할 때 별도의 팝업창을 띄우고 패스워드를 입력토록 하는 전자결제 보안 시스템이다.

경찰청 사이버테러 대응센터는 13일 다른 사람의 카드번호와 인터넷 결제용 아이디와 패스워드를 알아낸 후 1억 8000만원을 챙긴 추모(22)씨를 정보통신망법 위반 등 혐의로 구속하고 김모(43ㆍ여)씨를 같은 혐의로 불구속 입건했다. 또 중국에 사는 것으로 추정되는 주범인 20대 여성 이모씨에 대한 공조수사를 중국 공안에 요청했다.

경찰에 따르면 추씨 등 3명은 올해 3월부터 최근까지 양모(46)씨 등 53명이 소유한 신용카드 55장의 카드번호와 인터넷 결제용 패스워드를 알아낸 뒤 1억 8000만원을 부정 사용해, 게임 아이템을 사들인 후 이를 되팔아 현금을 챙긴 혐의를 받고 있다. 경찰 조사결과, 추씨와 김씨는 인터넷 아이템 구매사이트에서 만난 조선족 이씨로부터 아이디, 패스워드, 신용카드 거래내역정보 등 개인정보 7만건을 입수한 뒤 이를 바탕으로 피해자들의 카드번호와 패스워드를 알아낸 것으로 드러났다.

경찰 관계자는 “대부분의 사람들이 하나의 아이디와 패스워드로 포털부터 게임, 인터넷뱅킹까지 두루 이용한다는 점을 노려 보안이 취약한 사이트에서 빼낸 정보를 범죄에 이용했다.”고 설명했다. 추씨 등은 해킹 등으로 알아낸 아이디와 패스워드를 이용, 카드사와 결제대행사, 쇼핑몰 등에 번갈아 접속하는 방법으로 16자리 개인신용 카드번호를 손쉽게 알아냈다고 경찰은 전했다.

쇼핑몰 등 인터넷 상에서 결제할 수 있는 온라인 상거래 업체들은 보안을 위해 고객의 신용카드번호 중 일부만을 보여준다. 하지만 서로 공통된 규칙이 없어 결국 무용지물이란 것. 예를 들어 A 쇼핑몰에선 회원의 카드번호를 ‘1234-2345-56★★-★★★★’라는 식으로 마지막 자리를 감춰 표기한다 해도,B 쇼핑몰에선 ‘★★★★-★★45-5678-8845’란 식으로 앞자리를 감추기 때문에 두 군데 사이트만 들어가더라도 신용카드번호가 다드러난다는 것이 경찰의 지적이다.

지난해 11월 금융감독원은 모든 카드사에 30만원 이상 인터넷 거래에 대해서는 신용카드 공인인증서 사용을 의무화하도록 하는 지침을 내렸다.



하지만 공인인증서를 사용하지 않는 소액 결제에서 생긴 허점은 막지 못한 셈이다. 사이버테러대응센터 정석화 경감은 “안심클릭과 안전결제 방식 모두 카드번호와 패스워드, 두 가지만 알면 인터넷이 연결된 어느 곳에서도 결제가 가능하다는 허점이 있다.”면서 “금융권과 카드사 등에서도 소액결제부분의 보완책 마련이 시급하다.”고 지적했다. 그는 또 “금융서비스는 되도록 독자적인 비밀번호를 사용하고 문자메시지(SMS)서비스를 이용해 카드결제 정보를 바로바로 점검할 수 있게 하는 것이 중요하다.”고 덧붙였다.

유영규기자