"소형 쇼핑몰 API키가 문제...하드코딩돼 해커 먹이감"

토스(비바리퍼블리카)의 전자지급결제대행(PG) 자회사 토스페이먼츠의 가맹점 한 곳에서 해킹으로 고객 정보가 노출되는 사고가 발생했다. 토스페이먼츠는 자체 시스템이 해킹된 것이 아니라 가맹점의 부주의로 사고가 발생했다고 설명했다.

9일 본지 취재결과 이 가맹점은 소형 쇼핑몰인 것으로 나타났다. 토스페이먼츠에 따르면 회사 가맹점 한 곳인 이 쇼형 쇼핑몰이 보유한 고객 2671명의 결제내역 4131건이 유출됐다. 해커는 이를 기반으로 ▲구매자 성명 ▲마스킹 처리된 카드번호 ▲승인번호 등 결제내역을 조회했다. 카드 비밀번호와 유효기간, CVC 등 결제에 필요한 정보는 포함되지 않아 추가 결제는 불가능하다는 것이 토스페이먼츠 측 설명이다.

토스페이먼츠에 따르면, 이번 해킹은 해당 가맹점이 이용하는 결제연동플랫폼의 인증정보(연동키)가 노출되면서 발생했다. 토스페이먼츠 서비스를 구축, 연동해주는 결제연동플랫폼에서 제공한 인증정보를 가맹점이 웹사이트에 노출, 사고가 발생했다는 것이 회사 측 설명이다.

이번 해킹은 해커가 소스코드 내에 삽입된 API 키를 통해 해당 가맹점 웹사이트에 접근, 발생했다. 토스페이먼츠 관계자는 해킹 이유에 대해 "결제연동 플랫폼의 API키가 자바스크립트에 하드코딩(데이터를 코드 안에 직접 작성하는 개발 방식)돼 있었고, 제3자가 노출된 API키로 정상 접근으로 위장해 결제정보를 조회했다"며 "피해 가맹점은 쇼핑몰이며, 규모가 크진 않아 보인다"고 말했다.

이어 "결제정보의 경우 개인신용정보에 해당하기 때문에 토스페이먼츠는 신용정보법에 따른 개인신용정보 누설 통지하고 금융감독원 및 금융위원회에 신고했다"며 "토스페이먼츠는 노출 사실 확인 즉시 해당 접근 경로를 차단했으며, 현재 진행 중인 검사에도 성실히 협조하고 있다"고 밝혔다.