특정 가맹점 1곳 결제연동플랫폼 인증정보 노출…제3자가 결제내역 조회
영향 규모 결제 4131건·정보주체 2671명…대상 고객 전원 통지 완료
조회 정보는 성명·마스킹 카드번호·승인번호…비밀번호·유효기간·CVC 제외
접근 경로 차단·금융당국 보고 완료…금감원 검사에도 협조
[더파워 이경호 기자] 토스페이먼츠를 둘러싼 카드정보 유출 논란은 자사 결제 시스템 해킹이 아니라 특정 가맹점이 사용하는 외부 결제연동플랫폼의 인증정보 노출에서 시작된 것으로 확인됐다.
영향 범위는 가맹점 1곳의 결제 4131건, 고객 2671명이며 카드 비밀번호나 유효기간, CVC 등 실제 결제에 필요한 정보는 포함되지 않았다는 게 회사 측 설명이다.
토스페이먼츠는 9일 일부 보도에서 제기된 카드정보 조회와 관련해 자사 시스템에 대한 해킹이나 취약점 공격은 확인되지 않았다고 밝혔다.
사고는 토스페이먼츠 PG 서비스를 이용하는 특정 가맹점 1곳의 웹사이트에서 사용하던 결제연동플랫폼 인증정보인 ‘연동키’가 외부에 노출되면서 발생했다.
제3자는 노출된 연동키를 활용해 결제연동플랫폼에서 추가 정보를 수집한 뒤 해당 가맹점의 결제내역을 조회한 것으로 파악됐다. 토스페이먼츠는 자사 시스템에 직접 침입하려는 시도는 확인되지 않았다고 설명했다.
영향 범위는 결제 4131건, 정보주체 2671명이다. 토스페이먼츠는 대상 고객 전원에게 관련 사실을 통지했다고 밝혔다.
일부에서 제기된 ‘수만 건’ 규모 유출과도 차이가 있다는 입장이다. 토스페이먼츠는 이번 사안이 해당 가맹점 1곳에 한정돼 있으며 다른 가맹점의 결제정보는 관련이 없다고 선을 그었다.
조회된 정보는 구매자 성명과 일부 숫자가 가려진 카드번호, 승인번호 등 영수증 수준의 결제내역이다.
카드 비밀번호와 유효기간, CVC 등 추가 결제에 필요한 정보는 포함되지 않았다. 이에 따라 조회된 정보만으로 추가 결제나 결제 취소를 하는 것은 불가능하다는 설명이다.
현재까지 부정결제 등 실제 피해 사례도 확인되지 않았다.
토스 앱이나 다른 계열사 서비스의 고객정보 역시 이번 사안과 무관하다고 토스페이먼츠는 강조했다.
회사는 사실관계를 확인한 직후 해당 접근 경로를 차단했다. 이후 전체 접속 기록을 분석해 영향을 받은 거래와 고객 범위를 특정했다.
금융위원회와 금융감독원에도 관련 내용을 보고했으며, 현재 진행 중인 금융감독원 검사에도 협조하고 있다.
토스페이먼츠는 "이번 사안은 당사 시스템에 대한 해킹이나 취약점 공격으로 발생한 것이 아니다"라며 "앞으로도 고객이 안심하고 이용할 수 있는 결제 환경을 만드는 데 최선을 다하겠다"고 밝혔다.
이경호 더파워 기자 lkh@thepowernews.co.kr
이미지 확대보기
