"당신들 시스템 뚫렸다" 해커가 먼저 신고…속수무책 결제망

(서울=뉴스1) 한병찬 전준우 기자 =

금융감독원이 현장검사에 나선 전자지급결제대행(PG) 업체의 해킹 사고를 처음 알린 것은 피해 업체도, 금융당국도 아닌 시스템을 뚫은 해커였다. 해커가 한국인터넷진흥원(KISA) 등 관계기관에 직접 침해 사실을 제보하면서 그동안 감지되지 않았던 금융결제망의 보안 구멍이 뒤늦게 드러났다.

금품을 요구하거나 탈취 정보를 판매하지 않고 스스로 해킹 사실을 알렸다는 점에서 '화이트해커' 가능성이 거론된다. 그러나 업체의 허가 없이 시스템에 침투하고 실제 고객정보까지 확보했다면 선의의 제보만으로 보기는 어렵다는 지적도 나온다. 자신의 해킹 능력을 과시하려는 '그레이햇' 해커일 가능성도 배제할 수 없다.

10일 금융권에 따르면 이번 코엠페이먼츠와 토스페이먼츠의 정보 유출 의혹은 해커로 추정되는 인물이 KISA 등 관계기관에 피해 업체 명단과 침투한 시스템, 외부에서 확보한 정보 등을 전달하면서 알려졌다. 금융위원회와 금융감독원, 과학기술정보통신부 등에도 관련 내용이 공유된 것으로 전해졌다.

특히 피해 업체가 자체 보안 시스템을 통해 이상 징후를 먼저 포착한 것이 아니라 해커의 제보 이후에야 침해 여부를 확인했다는 점이 논란이다. 금융당국 관계자는 "KISA에 접수된 내용을 전달받아 사실관계를 확인하고 있다"고 말했다.

현재까지 해커가 피해 업체를 상대로 금품을 요구하거나 확보한 정보를 외부에 판매한 정황은 확인되지 않았다. 이 때문에 보안 취약점을 알리기 위한 목적이었을 가능성과 경제적 이익보다는 자신의 기술력을 과시하려 했을 가능성이 함께 거론된다.

보안업계에서는 사전 허가를 받아 취약점을 점검하는 화이트해커와 달리, 허가 없이 시스템에 침입한 뒤 취약점을 알리는 해커를 통상 '그레이햇'으로 분류한다. 공익적 목적을 주장하더라도 고객정보를 내려받거나 외부로 전송했다면 법적 책임을 피하기 어렵다.

금융당국은 공격자의 신원과 침투 목적, 확보한 정보의 범위 등을 조사하고 있다. 접속 인터넷주소(IP) 가운데 중국계로 추정되는 흔적도 발견됐지만, 가상사설망(VPN)이나 해외 서버를 경유했을 가능성이 있어 공격 주체를 단정하지 못하고 있다.

생성형 인공지능(AI)을 이용해 여러 업체의 취약점을 자동으로 탐색하고 공격했을 가능성도 제기된다. 최근 생성형 AI를 활용하면 전문적인 코딩 능력이 부족해도 취약점 탐색과 공격 코드 작성, 대량 침투 시도가 가능하기 때문이다. 다만 금융당국은 이번 공격에 AI가 실제 사용됐는지는 아직 확인되지 않았다는 입장이다.

피해 규모가 큰 곳은 중소 PG사인 코엠페이먼츠다. 지난달 30일부터 이달 1일 사이 외부의 비정상적인 접근이 발생했으며 카드번호와 유효기간, 일부 결제 방식에서는 생년월 정보와 카드 비밀번호 앞 두 자리까지 유출됐을 가능성이 있다.

토스페이먼츠는 자사 시스템이 직접 해킹된 것이 아니라 특정 가맹점 한 곳의 결제 연동키가 노출된 사고라고 설명했다. 정보 조회 대상은 2671명이며 카드 비밀번호와 유효기간, 카드보안코드(CVC) 등 실제 결제에 필요한 정보와 부정 결제 사례는 확인되지 않았다고 밝혔다.

금감원은 지난 7일부터 진행한 두 업체에 대한 현장점검을 9일 정식 검사로 전환했다. 침투 경로와 정보 유출 규모뿐 아니라 업체들이 해커의 제보 전까지 사고를 파악하지 못한 원인도 들여다볼 방침이다.

금융권 관계자는 "해커가 제보하지 않았다면 사고가 언제 발견됐을지 알 수 없다는 점이 가장 심각하다"며 "대형 금융회사뿐 아니라 결제망에 연결된 중소 PG사와 가맹점까지 상시 탐지 체계를 강화해야 한다"고 말했다.