가맹점 먼저 뚫고 토스서 정보 탈취…전금법성 '안전성 확보의무' 쟁점 토스 "직접 해킹 아냐" 해명했지만 "해커, 가맹점 거쳐 토스서 결제정보 빼내" 전금법상 안전성 확보의무 준수 여부 쟁점 망분리 규제 완화 대상 선정 변수 되나 국내 전자지급결제대행(PG)사인 토스페이먼츠(이하 토스)의 신용카드 결제정보 유출 사고를 검사 중인 금융감독원이 전자금융거래법상 '안전성 확보의무' 준수 여부를 집중적으로 들여다본다. 토스페이먼츠는 직접 해킹당한 것은 아니라고 선을 긋고 있지만, 실제 결제정보가 토스 측에서 빠져나간 만큼 금융당국은 검사 후 법규 위반이 확인될 경우 관리 책임을 물을 방침이다. 10일 금융당국과 금융권 취재를 종합하면 최근 국내 PG사와 공공기관 등을 동시다발적으로 공격한 중국인 해커는 토스페이먼츠 가맹점을 먼저 공격해 인증정보를 확보한 뒤 이를 이용해 토스페이먼츠에 접근, 이 회사에서 결제정보를 빼낸 것으로 파악된다. 금융당국에 정통한 한 관계자는 "해커가 토스페이먼츠에 접근하는 과정에서 차단 장치가 제대로 작동하지 않았고 관리에도 미흡한 측면이 있었다"며 "해커의 침해 제보 이후 후속 조치가 이뤄지지 않았다면 사태가 더 커졌을 가능성이 있다"고 밝혔다. 토스페이먼츠는 자사 시스템이 직접 해킹당한 것은 아니라는 입장이다. 가맹점 웹사이트에서 결제 연동에 필요한 인증정보(연동키)가 노출됐고, 제3자가 이를 이용해 해당 가맹점의 결제내역을 조회했다는 설명이다. 자사 시스템의 취약점을 뚫고 들어온 공격도 확인되지 않았다고 밝혔다. 그러나 금융당국은 최초 공격 대상이 가맹점이었다는 이유만으로 토스페이먼츠의 책임을 배제하기는 어렵다고 보고 있다. 가맹점에서 탈취한 인증정보를 이용했더라도 실제 결제정보가 토스페이먼츠에서 빠져나간 만큼 이를 탐지·차단하는 보안체계가 제대로 작동했는지도 중점적으로 따질 것으로 예상된다. 복수의 금감원 관계자는 "현장검사를 통해 실제 침해 경로와 정보 유출 범위 등 사실관계를 확인하고 전금법 등 관련 법규 위반 여부를 살펴볼 것"이라고 말했다. 핵심 쟁점은 전금법 제21조가 규정한 안전성 확보의무다. 금융회사 등이 전자금융거래가 안전하게 처리되도록 필요한 주의를 기울여야 한다는 내용이다. 해커가 가맹점을 먼저 공격한 뒤 토스페이먼츠에서 결제정보를 빼내는 과정에서 회사 측이 선량한 관리자로서 주의의무를 다했는지가 관건이다. 결제정보가 실제 유출된 만큼 신용정보법상 책임도 함께 검토될 수 있다. 한 법조계 관계자는 "신용카드 결제정보가 해킹으로 유출됐다면 신정법상 개인신용정보 보호를 위한 안전대책 의무를 제대로 이행했는지도 쟁점이 될 수 있다"고 봤다. 다만 토스페이먼츠의 결제정보 유출 내용과 규모는 함께 공격받은 다른 PG사인 코엠페이먼츠에 비해 제한적이라는 게 회사 측 설명이다. 토스페이먼츠는 전날 보도자료를 통해 이번 사고로 조회된 결제정보가 4131건, 정보주체는 2671명이라고 밝혔다. 구매자 이름과 마스킹 처리된 카드번호, 승인번호 등의 결제내역이 조회됐지만 카드 비밀번호와 유효기간, CVC 등 결제에 필요한 정보는 포함되지 않아 부정결제 가능성은 없다고 설명했다. 코엠페이먼츠에서 이보다 훨씬 많은 결제정보가 유출된 것과 달리 토스페이먼츠는 유출 규모가 수천 건이고 유출 정보의 민감도도 상대적으로 낮아 제재 시 참작될 수 있다는 관측이 나온다. 그러나 금융당국 내부에서는 토스페이먼츠가 사고 이후 '직접 해킹은 없었다'는 점을 강조하는 데 대한 불편한 기류가 감지된다. 최초 인증정보가 유출된 곳이 가맹점이더라도 토스 측이 정보보호 책임을 무겁게 인식해야 한다는 시각이다. 실제 결제정보가 토스페이먼츠에서 빠져나갔다는 점도 문제다. 한 금융권 관계자는 "금감원이 7~8일 현장 점검 이후 9일 검사로 전환한 것은 법규 위반 가능성이 확인됐기 때문으로 안다"며 "핀테크로 시작해 금융업 영역을 넓혀가고 있는 만큼 토스 역시 보안 사고에 대한 책임을 무겁게 인식해야 한다는 것이 당국 내부의 분위기"라고 전했다. 이번 사고가 금융당국이 추진 중인 망분리 규제 완화 과정에서 토스에 변수가 될 수 있다는 관측도 나온다. 금융당국은 보안 목적에 한해 외부 인공지능(AI)과 서비스형 응용소프트웨어(SaaS) 활용을 허용하는 등 망분리 규제 완화를 추진 중이며, 제2금융권과 전금업자 등으로 대상을 확대할 계획이다. 연말에는 보안·AI 활용 역량이 뛰어난 금융회사를 대상으로 망분리 규제 전면 해제도 추진하고 있다. 토스 계열사에서 보안 사고가 불거진 만큼 향후 망분리 규제 완화 대상 선정 과정에서 이번 사고가 감점 요인이 될 수도 있다는 분석이다. 꼭 봐야 할 주요 뉴스 "신형 빼주세요" 멀쩡한 에어컨 냉매 수십만원 들...한편 토스페이먼츠와 함께 이번 해킹 사고로 검사 대상에 오른 코엠페이먼츠는 결제정보를 취급·보관한 경위와 적법성 등이 쟁점이 될 전망이다. 코엠페이먼츠는 적격 PG사가 아니어서 카드 정보를 보유할 수 없는 것으로 전해졌다. 이번 사고로 카드번호와 유효기간, 비밀번호 앞 두 자리 등 민감한 결제정보가 유출된 만큼 금융당국은 이 회사의 정보 보유 경위와 관리체계 등을 확인하고 여신전문금융업법과 신정법 등 관련 법규 위반 여부를 폭넓게 들여다볼 방침이다. 문채석 기자 [email protected] <ⓒ투자가를 위한 경제콘텐츠 플랫폼, 아시아경제. 무단전재 배포금지, AI 학습 및 활용 금지>