[그게머니]해킹당한 내 카드, 해외서 결제?…60일 내 신고하면 보상받는다 - 중앙일보

blogpolitikgue.blogspot.com
카드 정보 수난시대입니다. 이달 초 국내 고객의 카드 정보 90만 건이 유출돼 해외 불법사이트에서 유통된 사실이 드러났습니다. 한 시중은행 전산망에 악성 코드를 심으려던 혐의로 구속된 피의자 이모(42)씨의 압수물에서 다수의 카드 정보가 담겨있는 대용량 USB가 발견되기도 했습니다. 카카오뱅크 신용카드에서 유출된 카드 정보로 해외에서 실제 결제가 이뤄진 일도 있었죠. 소중한 내 개인정보는 괜찮을까요?

카드정보 유출. 셔터스톡

#어떤 정보가 털리나

=최근 불법 유통 사실이 드러난 건 카드 번호, 유효기간, CVC 번호(카드 뒷면에 적힌 마지막 세 자리 보안 숫자) 등 총 세 가지 정보다. 결제 비밀번호는 포함되지 않았다. 한 카드에서 이 세 가지 정보가 전부 유출된 경우도 드물었다. 다크웹에 유통된 90만건 카드 정보 중 한 카드에서 세 가지 정보가 전부 유출된 경우는 1000건 이하로 0.001% 수준이다.

#어떻게 털렸나

=국내 카드결제는 ‘마그네틱 결제(긁기)’→‘IC칩 결제(꽂기)’ 방식으로 진화해왔다. 마그네틱 선에는 카드 번호, 발급 일자, 유효기간 등 정보가 저장돼 있는데, 한 번 마그네틱을 단말기에 긁어서 결제하면 해당 정보가 기기에 저장된다. 이 때문에 가맹점에서 단말기를 해킹당하거나 도난당할 경우엔 복제 위험이 컸다.

=이를 보완하기 위해 2015년 데이터를 암호화해 저장하는 IC칩 결제가 도입됐다. IC칩으로 결제한 후엔 단말기에 정보가 남지 않는다. 2015년 시작해 2018년 7월까지 전국의 모든 단말기가 IC칩 단말기로 교체됐다. 금융당국과 여신협회는 최근 논란이 된 카드정보는 대부분 2018년 7월 이전에 마그네틱 결제방식을 통해 단말기에 남아있던 것이 개별 단말기 해킹 등으로 조금씩 유출된 것으로 보고 있다.

2014년 2월 국회 정무위원회에서 열린 카드3사 개인정보 대량유출 관련 실태조사 및 재발방지를 위한 국정조사 청문회. 중앙포토

#유출의 역사

=2014년엔 '대통령도 털렸다'며 화제가 된 국내 최대 정보유출 사고가 있었다. 은행 이상금융거래방지시스템(FDS)을 관리하는 책임자로 파견 근무 중이던 한 신용평가업체 직원이 개인 정보를 대거 유출했다. KB국민카드, NH농협카드, 롯데카드 3사에서 총 1억580만 건의 정보가 유출됐다. 주민등록번호, 연락처, 결혼 여부 등 개인 신상정보와 카드 정보, 신용등급 등 민감 정보가 대거 포함됐다. 정보유출 피해자 소송 등으로 1인당 10만원의 배상금이 지난해 확정됐다.

=금융권에선 “최근 카드 정보 유출은 2014년과 질적으로 다르다”고 한다. ▶당시처럼 카드사 내부 시스템에서 고객의 개인정보가 한꺼번에 유출된 게 아니라 산발적으로 가맹점 단말기를 통해 카드정보가 유출됐고 ▶해당 사건 이후 카드 단말기가 전부 IC칩 결제방식으로 바뀌어 카드번호, 유효기간, CVC번호만으로 결제가 어려운 데다 ▶은행들도 2014년 이후 부정거래를 방지하는 FDS를 고도화해왔기 때문에 해당 정보만으로 결제가 어렵다는 이유다.

#해외는 여전히 위험

=국내는 어렵다지만 해외에서 카드 결제를 할 경우엔 여전히 정보 유출 위험이 있다. IC칩 결제가 의무인 국내와 달리 마그네틱 결제를 활용하는 가맹점이 제법 많기 때문이다. 해외 직구 사이트 가운데 카드 번호와 유효기간, CVC 번호만 입력하면 결제가 가능한 곳이 많아 이를 통해 해당 정보가 유출될 가능성도 있다.

=유출 자체는 못 막아도, 부정 결제는 막을 수 있다. 국내 카드사 FDS는 해외 결제 이력이 전혀 없는 고객의 카드에서 갑자기 해외결제가 발생하는 등 평소 패턴과 다른 결제가 발생하면 고객에게 바로 고지하는 시스템을 갖추고 있다. 일부 카드사는 해외에 나갈 일이 당분간 없는 고객에게 아예 해외결제를 원천 차단할 수 있는 서비스를 제공하고 있다.

#부정거래 발생해도

=이상하다는 걸 빨리 감지해야 한다. SMS로 결제문자가 왔는데 본인이 한 결제가 아닐 경우, 즉시 카드사에 전화해 이상 거래 발생을 알려야 한다. 카드가맹점에서 결제승인 요청을 하면 카드사 최종 승인까지 2~3일 정도가 걸리는데, 그 사이에 이상 거래 신고가 들어오면 승인이 보류된다.

=2~3일 후라고 해도 이상 거래 발생 후 60일 이내에 신고만 하면 카드사로부터 결제 금액을 보상받을 수 있다. 여신전문금융업법 제16조에 따라 해킹, 정보유출 등 부정한 방법으로 얻은 신용카드 정보를 이용한 사용금액에 대해서는 신용카드업자가 책임져야 한다. 다만 본인이 결제 비밀번호를 타인에게 직접 유출했거나 카드를 양도하는 등 '중대한 과실'이 있는 경우엔 보상을 받지 못한다.

성지원 기자