[단독]비밀번호까지 털렸는데 몰랐다…수만 건 카드정보 유출에 금감원, PG사 2곳 현장검사

금감원, 토스·코엠페이먼츠 등 PG사 2곳 검사
카드번호·유효기간·비밀번호 일부까지 유출
당국·피해업체도 몰라…中 해커가 먼저 침해 사실 제보
중소·영세업체 '약한 고리' 노려…AI 활용 가능성 제기

중국인 해커가 국내 전자지급결제대행(PG)사 등을 공격해 신용카드 정보가 수만 건 유출된 정황이 확인되면서 금융당국이 검사에 착수했다. 유출이 의심되는 정보는 카드사별로 수천 건씩, 총 수만 건에 달하며 거의 모든 카드사의 고객 정보 일부가 해커에게 넘어간 것으로 파악됐다.

특히 해당 해커가 PG사뿐 아니라 국내 여러 업체를 동시다발적으로 공격한 가운데 생성형 인공지능(AI)을 활용했을 가능성까지 제기되면서 금융권에서는 우려가 커지고 있다. AI 확산으로 공격 역량을 높인 해커들이 보안이 취약한 '약한 고리'를 노리는 해킹이 일상화할 수 있다는 것이다.

카드번호·유효기간·비밀번호까지 탈탈…금감원, 토스 등 PG사 2곳 현장검사

9일 금융당국에 따르면 금융감독원은 현재 해킹 피해를 입은 토스페이먼츠와 코엠페이먼츠 등 PG사 2곳에 대한 현장검사를 진행하고 있다. 금감원은 정보 유출 현황과 구체적인 침해 경로 등을 집중적으로 들여다보는 것으로 전해졌다.

금감원 관계자는 "PG사를 통해 카드 명의자의 이름과 카드번호 등이 유출된 사례가 있어 현장검사를 진행하고 있다"며 "일부 PG사는 이미 관련 사실을 공지했고, 사실관계를 추가로 파악하는 대로 순차적으로 고객에게 알리는 등 PG사가 필요한 조치를 취하도록 할 방침"이라고 밝혔다.

이번 사고에서 해커가 카드사의 전산망을 직접 공격하는 대신 상대적으로 규모가 작은 PG사 등 결제망의 취약한 지점을 노렸다는 점에 금융당국은 주목하고 있다. PG사는 온라인 가맹점과 카드사 사이에서 결제를 중개하는 업체다. 해커가 확보한 자료에는 신용카드 명의자의 이름과 카드번호, 유효기간, 비밀번호 앞 두 자리 등 민감한 결제정보가 포함됐다. 유출 의심 정보는 대부분 카드사에 걸쳐 있으며 카드사별로 수천 건 수준이다.

카드번호와 유효기간, 비밀번호 일부까지 유출되면서 해외 부정결제 등 2차 피해로 이어질 가능성도 배제하기 어렵다. 이에 금융당국과 업계는 이상금융거래탐지시스템(FDS)을 가동해 의심 거래를 집중적으로 살피는 등 추가 피해 방지에 나선 상태다.

금감원은 현장검사를 통해 PG사가 카드정보를 적절하게 보관·관리했는지도 들여다볼 것으로 보인다. 이에 따라 정보보호 체계와 내부통제 적정성도 주요 쟁점이 될 전망이다.

피해업체도 해킹 사실 몰라…中 해커가 먼저 침해 사실 제보

이번 사고에서 특히 눈에 띄는 대목은 금융당국과 피해 업체가 해킹 사실을 파악하기 전에 해커가 먼저 침해 사실을 알렸다는 점이다. 해당 중국인 해커는 자신이 국내 여러 업체를 공격했다며 금융위원회와 금감원, 과학기술정보통신부, 한국인터넷진흥원(KISA) 등 관계 부처 및 기관에 피해 대상과 확보한 정보 등을 직접 전달했다. 피해 대상에는 PG사 등 금융 관련 업체뿐 아니라 여러 중소·영세업체도 포함된 것으로 전해졌다.

금융당국과 PG사 등 일부 피해 업체는 해커의 제보가 있기 전까지 침해 사실을 인지하지 못했던 것으로 알려졌다. 이에 금감원은 제보를 토대로 피해 여부 파악에 나섰고, 해커가 전달한 정보와 실제 PG사·카드사 고객정보를 대조해 실제 이번 침해 사고로 유출된 정보가 맞는지 확인하고 있다.

현재 정부와 관계 기관은 공격자를 중국인으로 특정하고 정확한 침투 경로와 업체별 피해 범위 등에 대한 조사를 이어가는 중이다.

중소·영세업체 '약한 고리' 노리나…AI가 낮추는 해킹 문턱

금융권에서는 이번 사건을 생성형 AI 확산에 따른 사이버 위협 변화와 맞물려 주시하고 있다. AI를 활용하면 취약점 탐색이나 공격 코드 분석·작성 등에 도움을 받을 수 있어 전문성이 상대적으로 낮은 해커도 공격의 속도와 효율을 높일 수 있기 때문이다. 이번 중국인 해커의 공격 과정에서도 AI가 활용됐을 가능성에 금융권은 무게를 싣고 있다.

특히 금융권이 우려하는 것은 AI가 해킹의 진입장벽을 낮추면서 보안 투자와 방어 역량이 상대적으로 부족한 중소형 금융사나 협력업체가 해커의 주요 표적이 될 수 있다는 점이다. 이번 사고는 대형 금융회사의 보안망이 견고하더라도 결제망에 연결된 PG사 등 상대적으로 취약한 업체가 뚫리면 금융회사 고객정보까지 유출될 수 있음을 보여준다는 점에서 이 같은 우려를 더욱 키우고 있다. 특히 딥시크 등 일부 중국계 AI의 경우 해킹을 비롯한 비윤리적이고 악의적인 목적으로 활용될 수 있는 사용자 요청에 답변을 제한하는 가드레일(안전장치)의 실효성이 떨어질 수 있다는 지적도 나온다.

한 금융권 관계자는 "예전에는 고도의 해킹 능력을 갖춘 조직이나 국가 배후 세력 등이 주요 위협이었다면 이제는 생성형 AI 확산으로 중·저숙련 해커도 공격 역량을 빠르게 높일 수 있는 환경이 만들어지고 있다"며 "중소형 금융사나 협력업체 등 보안이 취약한 곳을 통한 침해 사고가 늘어날 수 있어 이들도 보안에 AI를 활용할 수 있도록 하는 등 관련 대책 마련이 시급하다"고 강조했다.

권해영 기자 roguehy@asiae.co.kr