토스페이먼츠 "카드정보 조회 4131건···자사 시스템 해킹 아냐"

특정 가맹점 결제연동 플랫폼 인증정보 노출···자사 시스템 침입은 없어

결제내역 4131건·정보주체 2671명 대상···"부정결제 피해 확인 안 돼"

사진=토스페이먼츠 제공

토스페이먼츠가 가맹점의 카드정보 조회와 관련해 자사 시스템에 대한 해킹이나 취약점 공격은 아니었다고 해명했다. 특정 가맹점 웹사이트에서 사용 중인 결제연동플랫폼의 인증정보(연동키)가 노출되면서 제3자가 이를 이용해 해당 가맹점의 결제내역을 조회한 것이라는 설명이다.

토스페이먼츠는 9일 입장문을 통해 "당사 PG(전자지급결제대행) 서비스를 이용하는 특정 가맹점 1곳의 웹사이트에서 사용하는 결제연동플랫폼의 인증정보가 노출됐다"며 "제3자가 이를 이용해 추가적인 정보를 수집한 후 해당 가맹점의 결제내역을 조회한 건"이라고 밝혔다. 이어 "당사 시스템에 대한 침입 시도는 확인되지 않았다"고 강조했다.

이날 금융당국은 코엠페이먼츠와 토스페이먼츠 등 PG사 2곳을 대상으로 현장조사를 진행한 것으로 알려졌다. 코엠페이먼츠에서는 자체 시스템의 해킹으로 카드정보가 유출됐을 가능성이 제기된 데 따른 것이며, 토스페이먼츠는 가맹점이 사용하는 외부 결제 연동 플랫폼의 인증정보가 노출된 경위를 들여다보기 위한 조사다. 해커는 중국인으로 추정되고 있으며 금융당국과 피해 업체가 해킹 사실을 파악하기 전에 해커가 먼저 침해 사실을 알린 것으로 나타났다.

토스페이먼츠에 따르면 이번 사안의 영향 범위는 해당 가맹점 1곳의 결제내역으로, 총 4131건의 결제와 정보주체 2671명이 대상이다. 토스페이먼츠는 대상 고객 전원에 대한 통지를 완료했다고 밝혔다. 일부 보도에서 언급된 수만 건 규모와 관련해서는 "당사에서 확인한 수치와 다르다"고 설명했다.

조회된 정보는 구매자 성명과 마스킹 처리된 카드번호, 승인번호 등 영수증 수준의 결제내역인 것으로 파악됐다. 카드 비밀번호와 유효기간, CVC 등 결제에 필요한 정보는 포함되지 않아 해당 정보만으로 추가 결제나 결제 취소는 불가능하다는 게 토스페이먼츠 측 설명이다. 현재까지 부정결제 등 피해 사례도 확인되지 않았다고 밝혔다.

토스페이먼츠는 사실을 확인한 즉시 해당 접근 경로를 차단하고 전체 접속 기록을 분석해 정보 조회 대상과 범위를 파악했다고 밝혔다. 또한 법령에 따른 대상 고객 통지와 금융감독원 및 금융위원회 보고를 완료했으며 현재 진행 중인 검사에도 협조하고 있다고 설명했다. 아울러 이번 사안은 다른 가맹점의 결제정보나 토스 앱 및 계열사 서비스·고객 정보와는 무관하다고 강조했다.

한편 코엠페이먼츠의 정확한 정보 유출 대상과 피해 규모는 아직 파악되지 않은 상태다. 다만 침해된 시스템에서 처리하는 결제 요청 정보에 카드번호와 유효기간 등이 포함되는 만큼 해당 정보가 노출됐을 가능성이 제기된다. 결제 방식에 따라 생년월일이나 카드 비밀번호 앞 두 자리까지 유출됐을 가능성도 있는 것으로 알려졌다. 코엠페이먼츠는 현재 공격자가 실제로 확보한 거래내역과 카드정보를 확인할 수 없어 구체적인 유출 거래와 정보주체를 특정하는 데 어려움이 있다는 입장이다.