비밀번호까지 털렸는데 몰랐다…수만 건 카드정보 유출에 금감원, 토스·코엠페이먼츠 등 PG사 2곳 검사

• 해커의 PG사 공격으로 수만 건의 카드정보가 유출된 정황이 포착돼 금융당국이 검사에 착수함

  • 거의 모든 카드사의 고객 정보 일부가 넘어간 것으로 파악

    • 유출 의심 규모는 카드사별 수천 건씩 총 수만 건에 달함

  • 카드사 전산망을 직접 공격하지 않고 온라인 가맹점과 카드사 사이에서 결제를 중개하는 PG사 등 결제망의 취약 지점을 노림

  • 확보된 자료에는 카드 명의자의 이름, 카드번호, 유효기간, 비밀번호 앞 두 자리 등 민감한 결제정보가 포함됨

• 금융감독원은 9일 토스페이먼츠와 코엠페이먼츠 등 피해 PG사 2곳의 현장검사에 착수함

  • 정보 유출 현황과 구체적인 침해 경로를 조사하고, PG사가 카드정보를 적절히 보관·관리했는지와 정보보호 체계·내부통제가 적정했는지도 살펴볼 예정

  • 일부 PG사는 관련 사실을 이미 공지했으며, 추가 사실관계가 확인되는 대로 고객에게 순차적으로 알리는 등 필요한 조치를 취하게 할 방침

  • 해커가 전달한 정보와 실제 PG사·카드사 고객정보를 대조해 이번 침해 사고에서 유출된 자료가 맞는지 확인 중

• 카드번호·유효기간·비밀번호 일부가 함께 노출돼 해외 부정결제 등 2차 피해 가능성이 있음

  • 금융당국과 업계는 이상금융거래탐지시스템(FDS)을 가동하고 의심 거래를 집중적으로 살피는 등 추가 피해 방지에 나선 상태

• 금융당국과 피해 업체보다 해커가 먼저 침해 사실을 알림

  • 해당 해커는 국내 여러 업체를 공격했다며 금융위원회, 금융감독원, 과학기술정보통신부, 한국인터넷진흥원(KISA)에 피해 대상과 확보 정보를 직접 전달함

    • 피해 대상에는 PG사 등 금융 관련 업체뿐 아니라 여러 중소·영세업체도 포함된 것으로 전해짐

  • 일부 피해 업체는 제보 전까지 침해를 인지하지 못했으며, 정부와 관계 기관은 공격자를 중국인으로 특정해 정확한 침투 경로와 업체별 피해 범위를 조사 중

• 생성형 AI가 공격에 활용됐을 가능성이 제기되며 중·저숙련 해커의 공격 역량 확대가 우려됨

  • AI를 이용하면 취약점 탐색과 공격 코드 분석·작성에 도움을 받아 전문성이 상대적으로 낮아도 공격 속도와 효율을 높일 수 있음

  • 이번 공격 과정에 AI가 쓰였는지는 확정되지 않았지만, 금융권은 활용 가능성에 무게를 두고 있음

  • DeepSeek 등 일부 중국계 AI는 해킹을 비롯한 비윤리적·악의적 요청을 제한하는 가드레일의 실효성이 떨어질 수 있다는 지적도 나옴

• 보안 투자와 방어 역량이 부족한 중소형 금융사·협력업체가 주요 표적이 될 위험이 커짐

  • 대형 금융회사의 보안망이 견고해도 연결된 PG사 같은 취약 업체가 뚫리면 금융회사 고객정보까지 유출될 수 있음

  • 생성형 AI로 해킹 진입장벽이 낮아지면서 취약 업체를 통한 침해가 늘어날 수 있어, 이들도 방어에 AI를 활용할 수 있도록 관련 대책이 시급함

^{source https://n.news.naver.com/mnews/article/277/0005813898?sid=101}