토스페이먼츠 가맹점, 고객 2671명 정보 유출…"자체 시스템 해킹 아냐"

결제연동플랫폼 인증정보 노출 원인…금감원, 현장검사 나서

토스(비바리퍼블리카)의 전자지급결제대행(PG) 자회사 토스페이먼츠의 가맹점 한 곳에서 해킹으로 고객 정보가 유출되는 사고가 발생했다. 토스페이먼츠는 자체 시스템이 해킹된 것이 아니라 가맹점의 부주의로 사고가 발생했다고 설명했다.

9일 토스페이먼츠에 따르면 회사 가맹점 한 곳이 보유한 고객 2671명의 결제내역 4131건이 유출됐다. 해커는 이를 기반으로 ▲구매자 성명 ▲마스킹 처리된 카드번호 ▲승인번호 등 결제내역을 조회했다.

카드 비밀번호와 유효기간, CVC 등 결제에 필요한 정보는 포함되지 않아 추가 결제는 불가능하다는 것이 회사 측 설명이다.

토스페이먼츠 CI

이번 해킹은 해당 가맹점이 이용하는 결제연동플랫폼의 인증정보(연동키)가 노출되면서 발생했다. 가맹점이 토스페이먼츠 서비스를 구축, 연동해주는 결제연동플랫폼에서 제공한 인증정보를 웹사이트에 노출했다는 것이 회사 측 설명이다.

이와 관련해 토스페이먼츠는 금융감독원으로부터 PG 서비스 가맹점 연동 구조 등에 대한 현장조사를 받고 있다.

회사 관계자는 “사실 확인 즉시 해당 접근 경로를 차단하고 전체 접속 기록 분석을 통해 대상과 범위를 파악했다”며 “법령에 따른 대상 고객 통지와 금감원, 금융위원회 보고를 완료했으며 현재 진행 중인 검사에도 성실히 협조하고 있다”고 강조했다.

한편 또 다른 PG사인 코엠페이먼츠도 비슷한 공격을 받은 것으로 알려졌다. 코엠페이먼츠는 회사 홈페이지를 통해 지난달 30일부터 이달 1일까지 외부 비정상적인 접근으로 가맹점이 보유한 고객 정보가 유출됐다고 공지했다.

회사는 “공격자가 취득한 개별 거래내역, 카드정보를 보유하고 있지 않아 실제 유출 대상 거래, 정보주체를 특정하지 못하고 있다”면서도 “카드번호, 유효기간이 포함됐을 가능성이 있으며 일부 결제방식의 경우 생년월 정보, 카드 비밀번호 앞 2자리가 포함됐을 가능성을 배제할 수 없다”고 밝혔다.