[딜사이트 강울 기자] 카드사들이 지난해 롯데카드 해킹 사태 이후 보안 인력과 투자를 늘리고 있지만 외부 결제망에 대한 관리 체계는 여전히 미흡한 것으로 나타났다. 자체 전산망에 대한 보안 점검과 이상거래 감시는 강화하면서도 결제대행사(PG) 등 외부업체의 보안 위험을 정기적으로 확인하는 별도 절차는 제대로 갖추지 못한 모습이다. 최근 PG와 가맹점에서 잇따라 정보유출 사고가 발생하면서 사고 이후 대응에 집중된 보안 관리 체계를 개선해야 한다는 지적이 나온다.

16일 김용만 더불어민주당 의원실에 따르면 8개 전업카드사의 정보보호 예산 집행액은 지난해 1205억3000만원으로 전년보다 20.8% 증가했다. 올해도 8월 말까지 908억5000만원을 집행했다. 정보기술(IT) 인력 중 정보보호 인력이 차지하는 비중도 지난해 말 11.7%에서 올해 6월 말 12.6%로 높아졌다.

최근 금융권 해킹 사고 이후에는 금융당국의 지침에 따라 긴급 보안점검도 진행했다. 카드사들은 외부에 노출된 전산 시스템과 서비스를 살피고 당국이 공유한 공격자 인터넷주소(IP)의 접근 여부를 확인하거나 차단하는 조치를 취했다. 개천절 연휴에도 보안 부서가 비상근무 체제를 가동하는 등 감시 수준을 높였다.

A카드사 관계자는 “서버 취약점과 보안패치 적용 여부를 재점검하고 보안시스템 업그레이드와 모의 침투훈련 고도화를 추진하고 있다”며 “이상금융거래탐지시스템(FDS)을 통한 이상거래 감시도 강화하고 있다”고 말했다.

그러나 카드사 내부의 보안 강화만으로는 회원정보 유출 위험을 차단하기 어렵다. 카드 결제는 거래 방식에 따라 PG와 부가통신업자(VAN) 등 여러 사업자의 시스템을 거칠 수 있어 이들과 연결된 가맹점의 보안 수준도 중요하다. 카드사 전산망이 직접 공격받지 않더라도 외부 결제업체나 가맹점의 취약점을 통해 회원정보가 노출될 수 있기 때문이다.

지난달 코엠페이먼츠에서는 자체 서버가 공격받아 카드번호와 유효기간 등 일부 정보가 유출됐다. PG 자체 시스템이 공격 대상이 된 사례다.

토스페이먼츠에서도 가맹점이 외부에 노출한 결제연동 인증정보를 제3자가 이용해 고객 2671명의 결제내역 4131건을 조회하는 사고가 발생했다. 구매자 이름과 마스킹된 카드번호, 승인번호 등이 조회됐다. PG 시스템에 직접 침입하지 않고도 가맹점의 인증정보를 악용해 결제정보에 접근할 수 있다는 사실이 드러났다.

두 사고는 공격 경로가 달랐지만 외부 결제망의 보안 취약점이 카드 회원의 정보유출로 이어질 수 있다는 공통점을 보여준다. 특히 정상적인 인증정보를 악용한 무단 조회는 부정결제가 발생하지 않더라도 회원정보를 노출시킬 수 있다는 점에서 기존 거래 감시만으로 대응하는 데 한계가 있다.

외부 결제망에서 정보유출 사고가 잇따르고 있지만 카드사들의 보안 관리는 여전히 자체 시스템과 사고 발생 이후 대응에 무게가 실려 있다. 카드사들은 PG와 필요에 따라 소통하고 있으나 PG의 보안 수준이나 연동 구간을 정기적으로 확인하는 별도 절차는 운영하지 않는다고 설명했다.

외부 유출 사고에 대한 직접적인 조치는 주로 사고 통보를 바탕으로 이뤄진다. 카드사들은 통보받은 유출 항목과 대상 회원, 위험 수준에 따라 카드 정지·재발급이나 해당 회원의 거래 감시 강화 등 후속 조치에 나선다. 평소 FDS로 이상거래를 감시하면서 외부 사고가 확인되면 피해 확산을 막기 위한 대응을 추가하는 방식이다.

문제는 이러한 대응이 외부업체의 사고를 인지한 이후에 본격화한다는 점이다. FDS는 유출된 정보가 부정결제에 악용되는 것을 탐지하는 데 초점을 맞춘 만큼 외부 결제업체에서 발생하는 비정상적인 접근이나 무단 조회 자체를 확인하는 데는 한계가 있다. 외부업체와 위험 징후를 사전에 공유하는 체계가 중요해지는 이유다.

B카드사 관계자는 “PG와 VAN 등 외부업체의 사고가 카드 회원 피해로 이어지는지 주시하고 있다”며 “FDS로 이상거래를 상시 감시하고 사고가 발생하면 해당 업체와 신속하게 소통해 대응하고 있다”고 말했다.

금융당국도 외부 결제망의 취약점 관리 필요성을 강조하고 있다. 금융위원회는 PG업권을 상대적으로 보안이 취약한 영역으로 지목하고 PG 자체 취약점뿐 아니라 보안이 취약한 가맹점을 이용한 우회 공격까지 관리해야 한다고 지적했다. PG와 카드사 간 신속한 정보 공유를 통해 회원 피해를 최소화하는 협조 체계도 강조했다.

이에 카드업계에서는 사고 발생 이후 회원 보호에 집중된 대응 체계를 넘어 외부 결제업체와의 상시적인 보안 협력을 강화해야 한다는 지적이 나온다. PG가 자체 시스템과 가맹점 연동 구간의 보안을 관리하는 것과 별개로 카드사도 회원정보와 관련된 위험 징후를 조기에 파악할 수 있는 정보 공유 체계를 갖춰야 한다는 것이다.

특히 외부 결제업체의 비정상적인 접근·조회 징후와 인증정보 유출 가능성 등을 공유할 수 있도록 정보 항목과 점검 범위를 구체화할 필요가 있다. 부정거래 발생 여부에만 의존하지 않고 정보유출 단계부터 위험을 파악해야 회원 보호 조치도 앞당길 수 있다는 분석이다.

C카드사 관계자는 “정례 점검으로 취약점을 줄이고 위험 징후를 공유해 사고를 조기에 발견할 필요가 있다”며 “사고 발생 시 신속한 통보와 연동 구간 관리로 피해 확산을 막아야 한다”고 말했다.