보안 허술한 기프트카드 노린 사이버범죄 일당 검거

지난해 12월초부터 올해 1월까지 중국 소재 해커로부터 국내 유통되고 있는 무기명 선불카드(기프트카드)에 대한 정보를 구매해 온라인쇼핑몰에서 모바일상품권으로 바꿔 일반인들에게 판매하는 방법으로 3천만원 가량 이득을 취한 일당이 검거됐다.

경찰은 컴퓨터 등 사용 사기 혐의로 이모씨㉒를 구속하고 나모씨㉒ 등 8명을 불구속 입건했다고 19일 밝혔다.

불법 탈취한 기프트카드 정보를 유통한 중국에 있는 해커에 대해서는 소재 파악에 나섰다.

기프트카드는 은행에서 발급해주는 선불카드의 하나로 50만원 한도 내에서 발급할 수 있다. 문제는 해당 카드에 대한 잔액을 조회하는 일부 웹사이트가 허술하게 관리됐었다는 점이다. 이를 악용한 해커는 카드번호와 유효기간, CVC번호를 무작위로 입력하는 수법으로 잔액조회가 성공한 기프트카드에 대한 정보를 국내 범인들에게 판매한 것으로 확인됐다.

일반적으로 잔액조회 사이트는 CVC 번호 등을 3회~5회 이상 잘못 입력하면 추가인증을 요청하는 등 조치를 취하고 있다. 그러나 문제가 된 2개 카드사는 이러한 기본적인 보안조치를 취하지 않아 해커들의 공격대상이 됐다.

이런 수법으로 쓴 중국 소재 해커로부터 정보를 수집한 국내 범인들은 3억5천만원어치 50만원권 기프트카드에 대한 정보를 2억9천만원에 구매한 뒤 다시 모바일상품권으로 바꿔 중고장터 등을 통해 일반인들에게 시중가격보다 싼 가격에 판매하는 수법으로 이익을 취했다.

이와 관련 금융감독원 IT검사실 박성오 팀장은 "해당 사고에 대해 2개 카드사로부터 1월17일, 27일에 각각 보고받아 기프트카드 등록, 조회시 카드정보 입력 오류가 일정횟수 이상 발생하면 이를 차단하는 등 보안조치를 취하도록 조치했다"고 밝혔다.

박 팀장은 이어 "CVC 등 카드정보를 수차례 이상 잘못 입력했을 때 차단시키는 조치는 가장 기본적인 보안조치라고 본다"며 "해당 카드사들도 사건 발생 뒤 기본 조치를 마치고, 피해자들에게 전액보상한 것으로 파악하고 있다"고 설명했다.