토스페이먼츠가 자사 전자지급결제대행(PG) 서비스를 이용하는 가맹점 한 곳에서 고객 결제정보가 제3자에게 조회된 사실을 확인했다고 밝혔다. 다만 자사 시스템이 직접 해킹된 것은 아니며 실제 결제에 필요한 카드 비밀번호나 유효기간 등은 포함되지 않았다는 입장이다.
토스페이먼츠는 9일 입장문을 통해 “특정 가맹점의 웹사이트에서 이용하는 결제연동플랫폼의 인증정보인 연동키가 외부에 노출됐다”고 설명했다. 제3자가 이를 이용해 결제연동플랫폼에서 추가 정보를 수집한 뒤 해당 가맹점의 결제내역을 조회했다는 것이다.
회사 측은 토스페이먼츠 시스템에 대한 침입이나 취약점 공격은 확인되지 않았다고 강조했다. 이번 사안과 관련해 조회된 결제내역은 총 4131건이며 정보주체는 2671명으로 파악됐다. 토스페이먼츠는 이들 전원에게 관련 사실을 통지했다.
앞서 일부 보도에서 카드정보 유출 규모가 수만 건에 달할 수 있다는 내용이 나왔지만 토스페이먼츠는 자사와 관련해 확인된 규모와는 다르다고 선을 그었다. 다른 가맹점의 결제정보는 이번 사안과 무관하며 토스 애플리케이션과 다른 계열사 서비스의 고객정보 역시 영향을 받지 않았다는 설명이다.
조회된 정보는 구매자 성명과 마스킹 처리된 카드번호, 승인번호 등 영수증에 표시되는 수준의 결제내역이다. 카드 비밀번호와 유효기간, CVC 등 실제 결제에 필요한 정보는 포함되지 않았다. 토스페이먼츠는 해당 정보만으로 추가 결제나 기존 결제 취소를 할 수 없으며 현재까지 부정결제 피해도 확인되지 않았다고 밝혔다.
토스페이먼츠 관계자는 “사고를 확인한 직후 해당 접근 경로를 차단하고 전체 접속 기록을 분석해 영향 범위를 파악했다”며 “금융위원회와 금융감독원에 관련 내용을 보고했으며 당국 검사에도 협조하고 있다”고 밝혔다.
또 다른 PG사인 코엠페이먼츠 역시 지난달 30일 오전 8시 13분부터 이달 1일 오전 5시 34분 사이 해킹 공격을 받은 것으로 알려졌다. 코엠페이먼츠에서는 카드번호와 유효기간을 비롯해 일부 결제 방식에서 카드 비밀번호 앞 2자리 등이 노출됐을 가능성이 제기됐다.
금감원은 7일부터 두 회사에 대한 점검을 진행했으며 이날부터 현장 검사로 전환했다. 검사에서는 고객정보의 유출 경로 보유·관리 실태, 보호 의무 준수 여부 등을 들여다볼 예정이다.