금융당국이 최근 전자지급결제대행(PG)사 침해사고를 계기로 업권의 보안 리스크 긴급점검에 나섰다. 특정 가맹점의 인증정보 노출에서 비롯됐다는 토스페이먼츠의 설명이 나온 가운데 금융당국은 PG사에 가맹점 등 외부 접점까지 아우르는 탐지·대응체계를 주문했다.

17일 금융위원회와 금융감독원 전자공시시스템 등에 따르면 금융위는 전날 유영준 디지털금융정책관 주재로 ‘프런티어 AI 보안위협 금융권 상황대응반’ 6차 회의를 열고 PG업권의 보안 리스크와 대응체계를 긴급 점검했다.

금융감독원과 금융보안원, 여신금융협회, 핀테크산업협회, 카드사 2곳과 PG사 4곳이 참석했다. 금융위는 최근 발생한 PG사 침해사고를 이번 회의의 계기로 명시했다.

금융위는 PG사가 금융회사와 가맹점 사이에서 전자금융거래를 중계하며 개인정보와 결제정보 등 개인신용정보를 처리하는 만큼 침해사고가 발생하면 대규모 정보유출이나 카드 부정결제 등 소비자 피해로 이어질 수 있다고 봤다.

이에 금융회사 수준의 보안관리를 강조하면서 PG사 자체 시스템뿐 아니라 가맹점 등 외부 접점까지 고려한 이상행위 탐지·대응체계를 마련하고, PG사가 수집·처리하는 정보도 서비스 제공에 필요한 수준으로 최소화할 필요가 있다고 주문했다.

■ 토스는 ‘가맹점 연동키 노출’…금융위는 ‘외부 접점까지 관리’

이 같은 주문은 최근 토스페이먼츠가 정보 노출 경위를 자체 시스템 침해가 아닌 특정 가맹점의 인증정보 노출에서 비롯된 사고라고 설명한 가운데 나왔다.

토스페이먼츠에 따르면 PG 서비스를 이용하는 특정 가맹점 한 곳의 웹사이트에서 결제연동플랫폼 인증정보인 ‘연동키’가 노출돼 제3자가 해당 가맹점의 결제내역을 조회했다.

회사가 자체 확인한 영향 범위는 결제정보 4131건, 정보주체 2671명이다. 조회된 정보에는 구매자 성명과 마스킹 처리된 카드번호, 승인번호 등이 포함됐다.

토스페이먼츠는 카드 비밀번호와 유효기간, CVC 등 추가 결제에 필요한 정보는 포함되지 않았고 자체 시스템에 대한 직접적인 해킹이나 취약점 공격도 확인되지 않았다는 입장이다. 현재까지 부정결제 피해도 확인되지 않았다고 밝혔다.

금감원은 지난 7일 토스페이먼츠와 코엠페이먼츠에 대한 현장점검에 착수한 뒤 9일 현장검사로 전환했다. 유출 정보의 범위와 구체적인 침해 경로, 카드정보 보관·관리의 적정성 등을 확인하고 있다.

앞서 알려진 PG사 관련 전체 유출 의심 정보와 토스페이먼츠가 자체 확인한 4131건은 범위가 다르다. 금감원 검사가 진행 중인 만큼 토스페이먼츠의 최종 정보 노출 규모와 침해 경로는 아직 확정되지 않았다.

유영준 금융위 디지털금융정책관은 “AI를 활용한 침해 위협이 현실화되고 있는 상황에서 PG업권도 보안위협에 철저히 대비할 필요가 있다”고 밝혔다.

■ 모회사 비바리퍼블리카는 2024년 전산보안 위반 제재

토스페이먼츠 지분 61.07%를 보유한 최대주주 비바리퍼블리카는 과거 전산보안 관리와 관련해 금융당국의 제재를 받은 이력이 있다.

비바리퍼블리카가 지난달 14일 금융감독원에 제출한 반기보고서에 따르면 금융위원회는 2024년 10월 17일 신용전산시스템 안전보호의무 및 관리적 보안대책 위반을 이유로 과태료 4800만원을 부과했다. 관련 임직원에게도 주의적 경고와 주의 등의 조치가 내려졌다.

같은 날 개인신용정보 부당 이용·수집과 프로그램 변경·통제 불철저 등을 이유로 기관주의와 과징금 53억7400만원, 과태료 5억8000만원도 부과됐다.

제재가 이뤄진 지 한 달도 지나지 않은 2024년 11월 비바리퍼블리카는 금융보안원이 주관한 ‘금융보안 위협분석 대회(FIESTA 2024)’에서 우승했고 이를 회사 연혁에도 주요 성과로 기재했다. 당시 회사는 이를 두고 국내 최고 수준의 보안 역량을 입증했다고 평가했다.

그로부터 약 1년 10개월 뒤 비바리퍼블리카가 최대주주인 토스페이먼츠에서 고객 결제정보 노출 사고가 발생했다. 과거 비바리퍼블리카의 제재와 이번 토스페이먼츠 사고 사이에 직접적인 연관성이 확인된 것은 아니다.

다만 이번 사고를 포함한 최근 PG사 침해사고 이후 금융당국이 요구한 보안관리 범위는 PG사 자체 시스템에 그치지 않는다. 금융위는 가맹점 등 외부 접점까지 고려한 탐지·대응체계 구축과 수집·처리 정보 최소화를 주문했다.

금감원은 현재 토스페이먼츠 등의 정보 노출 규모와 침해 경로, 카드정보 보관·관리의 적정성을 검사하고 있다. 검사 결과에 따라 토스페이먼츠가 밝힌 가맹점 연동키 노출 경위와 PG사의 외부 접점 관리체계가 어느 수준이었는지도 구체화될 것으로 보인다.