‘신한카드 정보유출’ 업계 1위 카드사인 신한카드에서 3만 5000명의 개인정보가 유출됐다. 1억건의 정보 유출로 물의를 일으켰던 국민카드와 농협카드에서 6만여명의 고객 정보가 추가로 빠져나간 것으로 밝혀졌다. 금융당국은 모든 카드사들이 부정사용방지시스템(FDS)을 가동해 부정 사용 적발 시 곧바로 경찰에 통보하도록 했다. 금융감독원은 지난 12월 포스단말기 관리업체 서버를 해킹해 320만건의 카드 거래 정보를 빼낸 일당을 적발한 경찰이 수사 도중 이런 사실을 알게 된 것으로 밝혀졌다. 카드사별로는 제휴카드를 제외할 때 신한카드가 3만 5000건으로 고객 정보가 유출된 10개 회사 중 가장 많았다. 이밖에 국민카드는 3만 3000건, 농협카드는 3만건의 정보가 유출된 것으로 확인됐다. 금융당국 관계자는 “경찰에서 피해 내역을 받아 320만건을 분석해보니 유출 고객은 20만 5000명이었다”며 “신한카드의 정보 유출 고객이 가장 많았고 국민카드와 농협카드가 그 다음이었다”고 했다. 카드사에서 빠져나간 개인 정보는 이름, 전화번호, 카드번호, 유효 기간, OK캐시백 포인트카드 비밀번호 등으로 거의 모든 정보를 포함하고 있었다. 다만 신용카드 비밀번호는 빠져나가지 않았다. 그러나 신용카드와 포인트카드 비밀번호를 같이 쓰는 경우가 많아 카드 위조와 현금 인출에 악용된 것으로 알려졌다. 경찰청이 확인한 사고액만 268건에 1억 2000만원에 달한다. 적발된 일당들은 카드 이용자들에게 포인트 할인을 해준다며 직접 포인트카드 비밀번호를 물어본 뒤 이를 피해자들의 신용카드에 일일이 입력해 현금을 몰래 인출했다. 금융권 관계자는 “이용자들에게 구두로 비밀번호를 요구하는 경우는 없다”면서 “비밀번호를 요구받으면 반드시 입력기를 이용해야 한다”고 말했다. 이에 금감원은 현재 35만대의 포스단말기가 가동되는 점을 고려해 소프트웨어 방식의 보안 표준 프로그램을 조속히 설치, 해킹 등에 대처하도록 할 방침이라고 밝혔다. 온라인뉴스부 iseoul@seoul.co.kr

신용카드 결제용 POS(point of sales) 단말기를 해킹해 신용카드 비밀번호를 빼내 위조 카드를 만들어 1억여원을 빼돌린 해킹 사건이 발생했다. 경찰청 사이버테러대응센터는 9일 POS 단말기 수십대를 해킹해 커피 전문점 등에서 결제된 카드 마그네틱 정보를 20만건 이상 빼돌린 뒤 149장의 위조카드를 만들어 현금지급기에서 1억여원을 인출한 일당을 적발해 수사하고 있다고 밝혔다. POS 단말기 해킹으로 신용카드 고객정보가 유출된 적은 종종 있었으나 카드 비밀번호까지 빠져 나간 것은 이번이 처음인 것으로 알려졌다. 또 포스단말기 해킹을 통한 정보 유출 사건 중 빠져나간 신용정보의 양이 가장 많다. POS 단말기는 거래 내역만 저장되는 일반 단말기와 달리 카드번호와 유효기간 등 각종 신용정보도 담겨 있다. 유대근 기자 dynamic@seoul.co.kr

마이크로소프트(MS)가 윈도XP 운영체계(OS)의 서비스 지원을 8일부터 종료함에 따라 금융사 자동화기기 보안에 비상이 걸렸다. 최신 드라이버 및 보안 업데이트가 중단되면서 윈도XP를 기반으로 하는 은행의 현금자동입출금기(ATM)와 현금지급기(CD), 카드사 가맹점 등에 설치돼 있는 구형 포스단말기가 각종 악성코드와 바이러스 노출에 취약해지기 때문이다. 금융당국은 은행의 지점별로 윈도7 등 상위 버전의 OS를 설치한 ATM을 최소 1대 이상 설치하도록 했지만 대비는 미흡한 상태다. 이날 금융권과 금융감독원에 따르면 전국의 은행에서 설치해 운영하고 있는 ATM, CD 8만 7082대 가운데 8만 1929대(94.1%)가 윈도XP를 사용하고 있다. MS가 이미 4년 전부터 윈도XP의 서비스 지원 종료를 예고했지만 운영체계 업그레이드나 기기 전환이 제대로 이뤄지지 않은 것이다. 각 은행들은 서둘러 업그레이드를 하고 있지만 예산과 일정의 문제로 교체 작업은 더딘 상태다. 업그레이드 작업이 비교적 간단한 개인용 컴퓨터와 달리 상위 운영체계를 지원하지 않는 ATM이나 CD는 한 대당 1500만~2000만원을 들여 기기 자체를 교체해야 한다. 이 때문에 상당수 은행은 당장 ATM을 교체하는 대신 해킹 사고를 막기 위한 보안 프로그램을 강화하고 있다. 국민은행 관계자는 “외부망에서 ATM 접근을 제한할 수 있도록 보안 솔루션을 설치했다”고 말했다. 기업은행과 외환은행도 ATM에 인터넷망 접근을 차단하고 별도의 백신 프로그램을 돌려 악성코드를 걸러내는 작업을 하고 있다. 하지만 윈도XP를 기반으로 하고 있는 운영체계를 그대로 두고 보안만 강화하는 것은 근본적인 대책이 아니라는 지적이 많다. 보안 프로그램 개발업체인 I사의 최연목 소장은 “오는 5월 상위 버전인 윈도7과 윈도8이 업데이트되면 업데이트에서 제외되는 윈도XP의 취약점은 노출되면서도 이에 대한 보안 패치는 제공되지 않아 악성코드 등에 더욱 취약해질 수 있다”고 말했다. 금융당국은 ATM이 폐쇄 시스템을 쓰고 있어 보안 사고 발생 가능성이 적다면서도 만일의 사태를 대비해 2017년까지 은행과 카드사 등 각 금융사에 윈도XP 상위 버전으로 전환할 것을 지시했다. 금감원은 이달 안에 윈도XP 기반의 ATM을 운영하는 은행과 상호금융사에 불시 점검을 나갈 계획이다. 금감원 관계자는 “ATM은 폐쇄적인 시스템이어서 해커가 은행 전산망 자체를 뚫지 않는 이상 ATM 자체에서 해킹이 일어나지는 않을 것”이라면서 “미리 대비하지 못하고 관련 보안사고가 발생하면 해당 금융사에 책임을 물을 것”이라고 말했다. 윤샘이나 기자 sam@seoul.co.kr

개인정보 유출 사고 이후 책임 회피와 눈치만 보던 카드업계가 결국 1000억원대 기금을 조속히 조성하기로 했다. 금융당국은 성의 없는 카드업계에 대놓고 압박을 가했고, 카드업계는 금융당국의 성화에 못 이겨 마지못해 나선 모습이다. 6일 금융권에 따르면 금융감독원은 지난 4일 국민카드와 삼성카드, 신한카드, 롯데카드, 하나SK카드, 우리카드, 현대카드, 비씨카드 등 8개 카드사 사장을 불러 1000억원대 기금을 조성하라고 요구했다. 조영제 금감원 부원장이 긴급회의를 주재할 정도로 카드사에 대한 불편한 심기를 내비친 것이다. ‘카드 사태’ 이후 무책임하게 어물쩍 넘어가려는 카드사에 강한 질책이 있었다는 후문이다. 금감원은 개인정보 유출 방지대책 중 하나인 집적회로(IC) 카드용 단말기 보급과 관련, 카드사 사장들에게 연내에 전환기금을 마무리하라고 지시했다. 현재 50억원에 불과한 카드업계의 사회공헌 기금을 1000억원까지 만들어 보안에 취약한 구형 결제단말기(포스단말기)를 IC단말기로 바꾸라는 얘기다. 카드업계가 2011년부터 매년 200억원씩 기금을 조성하겠다고 약속한 만큼 이대로 이행한다면 충분할 것으로 보고 있다. 금융당국 관계자는 “IC 단말기 전환기금 조성은 선택이 아닌 필수사항”이라면서 “기금 조성과 집행 방식은 카드업계가 생각하는 바람직한 방안으로 논의하되, 결론은 조속히 내도록 했다”고 밝혔다. 카드사들도 금융당국의 이런 입장을 전달받고 조속히 IC 단말기 전환기금을 만들기로 했다. 여신금융협회 주관으로 실무 절차에 속도를 낼 계획이다. 금감원은 또 결제단말기 가맹점에 대한 정보 보안 관리도 철저히 하라고 요구했다. 김경두 기자 golders@seoul.co.kr

부모에게 아이의 컴퓨터는 판도라의 상자와 같다. 착하고 순진하기만 한 우리 아이가 설마 야동(야한 동영상)을 볼까 싶지만 수상쩍게도 자꾸 문을 잠그는 아이의 행동을 볼 때마다 혹시나 하는 마음에 상자를 열고픈 유혹이 생기기 마련이다. 과거에는 유해 사이트의 접근 자체를 막아 주는 프로그램이 백신 역할을 했지만, 요즘은 상황이 달라졌다. 클라우드 컴퓨터부터 이동식디스크(USB), 외장하드까지 기술의 발달은 아이들이 검색한 야동을 숨기기에도 점점 유리한 환경을 제공한다. 게다가 정작 대부분의 부모들은 아이에 비해 컴퓨터 실력이 모자란다. 현장범(?)으로 걸리지 않으면 근거를 잡기도 쉽지 않다. 이런 배경에선지 최근엔 부모가 스마트폰으로 집안의 컴퓨터를 실시간 관찰할 수 있는 애플리케이션까지 등장했다. 지난달 8일 경기 고양시 일산 킨텍스에서 열린 한국전자전 행사장. 한 벤처업체 부스 앞에 30~40대 남녀들이 삼삼오오 모여들었다. 내 아이가 컴퓨터나 휴대전화를 어떻게 쓰고 있는지를 외부에서 관찰할 수 있는 애플리케이션 ‘너머해(www.watchdoing.com)’에 관심을 보인 부모들이다. 해당 프로그램은 관리가 필요한 컴퓨터에 프로그램을 깔아 놓은 후 휴대전화 애플리케이션을 연결하면 현재 컴퓨터 화면에 어떤 내용이 나오는지 바로 확인할 수 있다. 부모 입장에선 집 컴퓨터에 폐쇄회로(CC)TV를 달아 놓은 것과 같은 효과를 누릴 수 있다. 원래 해당 애플리케이션은 지난 7월 자영업자가 매장을 비울 때 카운터 포스단말기 속 매출 등을 확인할 수 있도록 하는 상업용으로 개발됐다. 하지만 현재 실제 이용자 7000명 중 30~40%는 아이를 둔 부모와 같은 개인 이용자라는 것이 개발업체의 설명이다. 디벨로피언스 유승호(41)씨는 “같은 부모 입장에서 개인용도로 쓰는 부모들에게는 공짜로 서비스를 제공하고 있다”면서 “야동도 야동이지만 게임에 빠진 아이를 통제하는 수단 등으로도 유용하게 쓸 수 있다”고 말했다. 몰론 이런 프로그램에 의지하지 않고 몇 가지 테스트만으로도 아이의 야동 이용 여부를 확인할 방법은 있다. 우선 최근 컴퓨터 사용목록을 보는 방법이다. ‘윈도 키+R’ 자판을 누르면 ‘실행’창이 뜨는데 여기에 영문자 ‘recent’를 입력해 보자. 목록에 수상한 이름의 파일들이 뜨면 누군가 컴퓨터를 통해 야동을 본 것이다. 해당 콘텐츠를 본 시간 등도 뜨는데 제목을 클릭하면 내용이 어디에 숨겨져 있는지도 알 수 있다. 해당 파일에 마우스를 얹어 놓은 후 마우스 오른쪽을 클릭해 ‘속성’을 누르면 파일크기와 마지막으로 본 날짜(수정한 날짜)까지 좀 더 자세한 내용을 확인할 수 있다. 윈도탐색기를 이용하는 방법도 있다. ‘윈도 키+F’를 누르면 검색창이 뜨는데 여기에 각각 ‘*.avi’ ‘*.mpeg’ ‘*.asf’ ‘*.wmv’ ‘*.rm’ ‘*.mp4’ ‘*.k3g’ ‘*.skm’ ‘*.flv’ 등 최근 동영상 파일로 많이 쓰이는 확장자 이름을 *표와 함께 입력하면 된다. 물론 이런 확장자 파일이 나온다고 해서 모두 야동은 아니니 확인이 필요하다. 좀 번거롭기는 해도 최근 사용목록을 지워 놓거나 과거 숨겨 놓은 파일까지 찾아낼 수 있다. 동영상은 유독 파일 크기가 크다는 점을 이용해 찾는 법도 있다. 앞서 말한 윈도탐색기의 검색 필터를 추가해 찾는 방법이다. ‘윈도 키+F’를 누른 후 검색창 위에서 마우스를 클릭하면 ‘유형’ ‘크기’ ‘이름’ 등 검색 필터 옵션이 나타나는데 이 중 ‘크기’ 버튼을 누르면 된다. 여러 옵션 중 비교적 큰 용량을 선택하면 컴퓨터 속 대형 용량의 파일들이 검색되는데 이 속에 야동이 있는지를 점검하면 된다. 수상한 이름의 파일이 나와 클릭했는데도 동영상이나 사진 등이 보이지 않으면서 ‘파일 경로를 찾을 수 없습니다.’라는 등의 메시지가 뜨면 음란동영상이 해당 컴퓨터 속이 아닌 이동식 디스크나 USB 등에 숨겨져 있을 가능성이 있다. 청소년의 경우 기술적으로 파일을 보이지 않게 숨겨 놓기도 하지만 찾는 방법은 있다. 제어판에 들어가 폴더옵션-보기 순으로 들어간 뒤 ‘숨김파일 및 드라이브 표시’란을 체크한 뒤 앞서 말한 검색 방법을 쓰면 된다. 사실 요즘 아이들이 맘먹고 숨기려고 한다면 그만큼 확인은 어렵다. 컴퓨터 내부에 가상 하드디스크(VHD) 등을 만들어 놓는 식이 대표적이다. 역시 확인하는 방법은 있지만 설명하기도 이해하기도 복잡하니 간단한 방법만 소개한다. 앞서 말한 대로 ‘윈도 키+F’를 누른 후 ‘*.VHD’를 입력하자. 컴퓨터를 전문적으로 공부하는 학생이 아닌데도 VHD 파일이 있다는 것은 뭔가 숨기고 싶은 내용이 있을 가능성이 크다는 것. 적지 않은 경우 가상의 공간에 게임이나 야동이 자리 잡고 있는 일이 많다. 그렇다면 판도라의 상자를 연 뒤에는 어떻게 해야 할까. 성윤숙 청소년정책연구원 박사는 “아이가 음란물에 노출돼 있다는 것을 알게 됐다고 해서 당장 다그치기보다는 시간을 두고 성교육을 하는 방법을 택하는 편이 낮다”면서 “음란물의 내용은 현실의 성과 다르며 자칫 왜곡된 성의식을 심어 줄 수 있다는 점을 아이의 수준에 맞춰 일러주고 이해시켜야 한다”고 말했다. 유영규 기자 whoami@seoul.co.kr

국내 고객들의 신용카드 정보가 전국 카드 가맹점의 ‘포스(POS·Point of Sale)단말기 해킹’을 통해 해외로 유출돼 불법으로 사용되는 사례가 해마다 급증하고 있다. 이 같은 문제가 4년 전 처음 기사화<서울신문 2009년 11월 4일자 1면>된 뒤 금융감독원이 태스크포스(TF)를 구성해 여러 대책을 내놨지만 피해 사례는 오히려 늘고 있다. 30일 금감원에 따르면 국내외 신용카드 부정(위·변조) 사용 건수와 피해액은 2009년 2486건, 45억원에서 지난해 1만 5819건, 101억원으로 급증했다. 불법 복제된 카드는 대부분 유럽과 미국 등 해외에서 사용되고 있다. 2009~2012년 카드사별 피해는 B카드가 매년 전체 피해액의 20% 이상을 차지해 가장 많았고 K카드가 13% 안팎으로 2위를 기록했다. 또 W카드는 카드 시장 점유율이 7%에 불과하지만 피해 규모는 10% 이상을 차지하고 있다. 포스단말기 해킹에 정통한 한 경찰 관계자는 “신용카드 부정 사용의 80% 이상이 포스단말기 해킹을 통해 빼낸 카드 정보를 이용해 복제카드를 만들어 불법 사용한 것”이라고 설명했다. 그는 “카드사들이 금감원에 자발적으로 신고한 피해액이 지난해 기준 100억원”이라면서 “카드사들이 대외 이미지를 고려해 쉬쉬하는 것까지 감안할 경우 연간 피해액은 수백억원에 달할 것”이라고 말했다. 금감원의 부실한 대책과 책임 떠넘기기가 해킹을 사실상 방치하고 있다는 비판도 적지 않다. 금감원 관계자는 “포스단말기 해킹 방지를 위한 보안 강화는 여신금융협회에서 담당하고 있다”는 입장이다. 반면 여신금융협회 관계자는 “금감원이 포스단말기 해킹 방지 대책을 마련하고 있지만 그 내용에 대해선 우리가 답할 사안이 아니다”라며 금감원의 눈치만 보고 있다. 포스단말기는 백화점·할인점·편의점·식당·주유소 등 대부분의 업소에 설치돼 있는 단말기로 여기에 카드번호·유효기간 등 모든 신용정보가 저장돼 있어 카드 불법복제를 노린 해커들의 집중 표적이 되고 있다. 최지숙 기자 truth173@seoul.co.kr 한재희 기자 jh@seoul.co.kr

국민들이 주로 이용하는 할인마트, 패밀리레스토랑, 주유소 등의 포스(POS)단말기 해킹을 통해 국민 피해가 늘고 매년 수백억원(경찰·업계 추정)의 국부가 유출되고 있지만 정부 대책은 4년 가까이 제자리를 맴돌고 있다. 주무부처인 금융감독원은 전문가가 전무해 해외 신용카드 위·변조의 근본 원인도 모른 채 미봉책만 남발하고 있어 피해를 더욱 키우고 있다는 지적이 일고 있다. 금감원은 2009년 11월 서울신문이 포스단말기 해킹의 문제점을 지적하자 태스크포스(TF)를 구성했다. 이어 2010년 8월 ‘포스단말기 보안표준’을 마련, 시행하겠다고 천명했다. 금감원은 당시 “포스단말기를 통해 개인 회원 정보가 해외로 유출돼 부정 사용되는 사고가 발생함에 따라 포스단말기의 신용카드 회원 정보 보안 강화 필요성이 대두됐다”면서 “단말기 보안 강화 방안을 마련해 전국 모든 가맹점에 적용하겠다”고 밝혔다. 금감원 포스단말기에 보안프로그램을 설치해 포스단말기 내 신용카드 정보가 저장되지 않도록 하거나 중요 정보는 암호화해 신용카드 정보 유출을 원천 차단하는 등의 대책을 내놨다. 하지만 금감원은 지금까지도 “보안프로그램을 설치하고 있다”는 말만 되풀이하고 있다. 금감원 관계자는 “포스단말기 해킹 방지는 기본적으로 여신금융협회에서 담당하고 있다”면서 “포스단말기에 보안프로그램을 설치하는 중인데 보안프로그램이 기존 시스템과 충돌해 오류나 바이러스가 생겨 단말기 속도가 느려지는 등 문제가 있는 것으로 알고 있다”고 해명했다. 금감원은 현재 ‘신용카드 국내 도용’에만 초점을 맞추고 대책을 추진하고 있다. 금감원 관계자는 “우리나라뿐 아니라 전 세계적으로 사용되고 있는 MS카드(마그네틱카드)는 복제가 잘 된다”면서 “2015년 복제가 안 되는 IC카드 전면 사용을 목표로 현재 IC카드와 IC카드 단말기 보급을 확대하고 있다”고 밝혔다. 이 관계자는 “우리나라 신용카드 부정사용 건수는 전 세계 평균의 10분의1밖에 되지 않는데 IC카드로 전환하면 그마저도 차단될 것”이라고 덧붙였다. 하지만 신용카드 해외 부정 사용이 해마다 증가하는 근본 원인은 ‘포스단말기 해킹’에 있다. 금감원도 “중국 등 다른 나라에서는 MS카드가 사용되고 있어 IC카드 전면 도입이 해외 신용카드 부정 사용을 막을 수는 없다”며 IC카드 도입이 능사가 아니라는 점은 인정하면서도 해킹 방지 대책 추진에 대해선 ‘꿀 먹은 벙어리’다. 한재희 기자 jh@seoul.co.kr

포스(POS)단말기 해킹을 통한 해외 복제카드 도용으로 매년 수백억원(경찰·업계 추정)에 달하는 국부가 해외로 고스란히 빠져나가고 있다. 포스단말기 해킹의 문제점은 일단 포스단말기 해킹을 통해 신용카드 정보가 해외로 빠져나가면 복제카드로 만들어져 끊임없이 해외 명품점 등에서 불법 사용된다는 점이다. 위조카드 조직들의 해외 가맹점 사용으로 국내 카드 고객들이 이용 사실을 인지하거나 카드 고객들이 해외 유출된 카드를 해지하지 않는 한 계속 도용될 수밖에 없는 구조다. 2011년 9월 D생활용품전문점 60여곳 매장의 포스단말기가 해킹돼 최소 100만명의 신용카드 정보가 영국, 루마니아, 중국 등 해외로 빠져나갔다. 유출된 카드정보들은 지금도 복제카드로 만들어져 해외 매장에서 도용되고 있다. 당시 해외 해킹 조직으로부터 카드정보를 구매한 해외 위조카드 조직들은 복제카드를 만들어 국내에 반입, 사용하다 경찰에 적발되기도 했다. 특히 해킹을 통해 유출된 카드 정보들은 한꺼번에 불법 복제돼 사용되는 것이 아니라 시차를 두고 복제에 활용되면서 언제, 어디서 불법 복제 카드가 도용될지 모르는 것이 큰 문제라는 지적도 나온다. 포스단말기 해킹을 수사했던 경찰 관계자는 “포스단말기 해킹을 통해 2009년부터 해외로 빠져나간 신용카드 정보가 현재도 복제카드로 만들어져 유럽, 미국 등지에서 불법 사용되고 있다”고 설명했다. 이 관계자는 “해커들이 여러 가맹점에서 빼낸 카드 정보로 복제카드를 만든 뒤 한번에 모두 사용하는 게 아니라 필요할 때마다 시차를 두고 한두 개씩 복사해 사용하고 있다”면서 “오래전에 유출된 정보 때문에 매년 신용카드 부정사용 피해가 늘어날 수밖에 없다”고 설명했다. 한재희 기자 jh@seoul.co.kr

지난 5월 경상도의 한 중소형 마트에서 사용하는 ‘포스(POS)단말기’가 해킹돼 고객들의 신용카드 정보 4000~5000건이 해외로 빠져나갔다. 해킹 조직들은 빼돌린 카드 정보를 활용해 복제카드를 만든 뒤 프랑스, 이탈리아 등 해외에서 무차별적으로 사용하고 있다. 현재 추정 피해액은 수천만원이지만 시간이 갈수록 피해는 더욱 커지고 있다. 최근 서울의 A프랜차이즈 음식점도 포스단말기가 해킹돼 고객들의 신용카드 정보 수천 건이 국외로 빠져나갔다. 이 카드 정보도 불법 복제카드로 만들어져 미국 등지에서 도용되고 있다. 서울신문이 2009년 11월 포스단말기 해킹 문제를 처음 지적한 뒤 여러 대책이 쏟아졌지만 포스단말기는 여전히 해외 해킹 조직들의 주된 표적이 되고 있다. 특히 할인마트, 프랜차이즈 음식점, 패밀리레스토랑 등 일반 고객들이 자주 찾는 카드 가맹점의 포스단말기가 해킹에 무방비 상태로 노출돼 있어 심각성을 더하고 있다. 포스단말기 해킹은 이전과 큰 차이가 없다. 해커들은 원격제어프로그램인 VNC(가상 네트워크 컴퓨팅)가 설치된 포스단말기의 VNC를 타고 들어가 침투한 뒤 단말기 내에 저장된 카드번호·유효기간·PVV(카드 비밀번호 암호화값)·CVV(신용인증값) 등의 정보를 통째로 가져간다. 다른 하나는 이메일 해킹 수법이다. 해커들이 인터넷상에 ‘패킷’(네트워크를 통해 전송하기 쉽게 자른 데이터 전송 단위)을 발송, 보안이 취약한 포스단말기를 찾아낸 뒤 뚫고 들어가 ‘퍼펙트 키로거’(해킹 프로그램)를 설치한다. 이어 해당 포스단말기에 카드를 긁는 순간 카드 정보가 러시아, 중국, 칠레, 독일 등 여러 나라를 거쳐 미리 지정해 놓은 이메일 주소로 전송되도록 하는 방식이다. 해외 해킹 조직들은 중국, 동남아, 유럽 등 여러 나라를 거쳐 국내 가맹점의 포스단말기를 해킹해 신용카드 정보를 빼내고 있다. 이들 조직은 해킹한 카드 정보로 복제카드를 만들어 직접 사용하거나 해외 위조카드 조직에 일정 수수료를 받고 카드 정보를 판매한다. 포스단말기 해킹을 수사했던 한 경찰 관계자는 “해킹 세력들이 여러 나라를 거치며 해킹 출발지를 세탁해 해킹 진원지 파악이 어렵다”면서 “중국이나 유럽 동구권 국가를 진원지로 추정하고 있을 뿐”이라고 전했다. 유출된 카드 정보로 만들어진 복제카드는 영국, 스페인, 프랑스 등 유럽 지역과 미국 등지에서 주로 도용하고 있다. 경찰과 업계에 따르면 유럽 41%, 미국 39%, 동남아(아시아·태평양 포함) 11%, 중남미, 중동, 아프리카 등 기타 국가 9% 순이다. 피해 고객들은 황당해하며 분통을 터뜨리고 있다. W카드의 한 고객은 “최근 새벽에 해외에서 물품을 구입했다는 문자단문서비스(SMS)를 받고 깜짝 놀랐다”며 “날이 밝자마자 카드사에 전화해 ‘해외에 나가지도 않았는데 어떻게 이런 일이 일어날 수 있느냐. 카드 정보를 어떻게 관리하기에 이런 일이 일어나느냐고 따졌다”고 말했다. B카드의 한 고객은 “해외에 나가지 않았다는 사실을 카드사에 직접 찾아가 증명해야 하는 등 피해 보상을 받는 절차가 너무 까다롭고 번거로웠다”면서 “매달 카드명세서를 일일이 확인하지 않으면 피해를 입어도 모르는 것 아니냐”고 지적했다. 카드사 관계자들은 “포스단말기가 해외 해킹 조직들에 의해 뚫린 이후 해외에서 카드가 불법 사용됐다는 고객들의 항의 전화가 끊이지 않고 있다”면서 “고객 항의가 있을 경우 해외 출국 여부 등을 확인한 뒤 피해 금액을 카드사에서 물어주고 있다”고 설명했다. 최지숙 기자 truth173@seoul.co.kr

해외 범죄 조직들이 생활용품 전문점 A사의 포스(POS:Point Of Sale)단말기 해킹을 통해 위조 신용카드를 만든 뒤 국내에 들어와 위조 카드 사용에 나서 경찰이 대대적인 수사를 벌이고 있다. 경찰은 18일 “A사 단말기를 통해 고객 100만명의 신용카드 정보가 유출됐고, 이 정보를 토대로 만들어진 위조 카드가 해외는 물론 국내에서도 사용되고 있어 카드사 및 고객들의 주의가 요망된다.”고 밝혔다. 서울송파경찰서와 경기경찰청 국제범죄수사대 등에 따르면 유럽과 중국에 거점을 둔 해커들은 지난해 9월 A사 매장들의 포스단말기를 무차별적으로 해킹, 신용카드 이용 고객들의 카드 정보를 빼낸 뒤 해외 카드 위조 조직에 넘겼다. <서울신문 1월 19일자 1, 9면> 경찰이 파악한 해킹 피해 매장은 서울 성북구 하월곡점, 경기 오산 세교점 등 60여곳이고, 카드정보 유출 피해 고객은 100만여명에 이른다. 경찰 관계자는 “유럽으로 빠져나간 카드 정보는 유럽과 미국 등에서 위조 카드로 만들어져 사용되고 있고, 중국 랴오닝(遼寧)성 다롄(大連) 등지로 빠져나간 카드 정보는 국내외 카드 위조 조직에 넘겨져 국내에서 도용되고 있다.”고 설명했다. 이와 관련, 송파경찰서는 최근 홍콩 국적의 황모(49)씨 등 2명을 여신전문금융업법 위반 혐의로 구속하고, 공범 2~3명을 쫓고 있다. 지난 2일 입국한 황씨 등은 4일부터 10일까지 서울의 유명 백화점을 돌며 위조 카드로 루이비통, 구찌 등 명품 수천만원어치를 구입했다. 경찰 관계자는 “피해 사례를 조사해 보니 카드정보 유출 진원지가 A사로 파악됐다.”면서 “이미 유출된 카드 정보가 많아 피해가 더욱 늘어날 것”이라고 우려했다. 앞서 서울경찰청 사이버범죄수사대는 지난 1월 19일 A사 매장의 포스단말기를 해킹한 중국 소재 해커로부터 카드 정보를 개당 12만원에 산 뒤 위조 카드 220여장을 만들어 2억원 상당의 물품을 구입한 혐의(여신전문금융업법 위반)로 신모(44)씨 등 2명을 구속한 바 있다. A사 전산 담당자는 “아직 경찰로부터 해킹 매장 현황을 통보받지 못했지만 자체적으로는 서울·경기 지역 매장 4곳이 해킹된 것으로 추정하고 있다.”면서 “보안을 더욱 철저히 하기 위해 전문 기관과 함께 전 매장 단말기의 보안 시스템을 대폭 강화하고 있다.”고 말했다. 포스단말기는 단순히 거래 내역만 저장되는 카드 단말기와 달리 카드번호·유효기간 등 모든 신용정보가 저장돼 있어 해커들의 집중 표적이 되고 있다. 백화점·할인점·편의점·식당·주유소 등 대부분의 업소에 설치돼 있다. 김승훈·조희선기자 hunnam@seoul.co.kr

서울경찰청 사이버범죄수사대는 19일 해킹한 개인정보로 신용카드를 위조, 수억원대의 물건을 구입한 신모(44)씨 등 2명을 여신전문금융업법 위반 혐의로 구속, 2명을 조사하고 있다. 신용카드 범죄 조직들은 신용정보가 들어 있는 포스(POS)단말기를 해킹, 지난해 해외에서 79억여원을 불법 사용한 것으로 드러났다.<서울신문 1월 19일 자 1, 9면> 이들은 중국 해커로부터 사들인 신용카드 정보로 신용카드 220여장을 위조한 뒤 지난해 4∼12월 현금화하기 쉬운 귀금속 등 2억원 상당의 물품을 구입했다가 인터넷에서 되판 혐의를 받고 있다. 조사결과 신용카드 정보를 판 중국 해커는 한국의 일반 식당이나 주유소 등 신용카드 결제에 사용되는 포스단말기에 해킹프로그램을 설치, 카드정보를 빼내 개당 12만원씩에 팔았다. 신씨 등은 신용카드 위조에 쓰는 기계인 라이터와 위조프로그램, 물품 구매책들이 사용할 사진이 첨부된 가짜 주민등록증도 인터넷을 통해 구입했다. 또 수사기관의 추적을 피하기 위해 대포폰과 대포차를 사용하는 치밀함을 보였다. 경찰에 따르면 지난해 포스단말기를 통해 유출된 개인정보가 확인된 것만 6만건에 달하며, 100억원 상당이 부정 사용됐다. 백민경기자 white@seoul.co.kr

생활용품 대형 유통점인 A업체는 지난해 9월 점포의 포스단말기가 해킹당해 100만건 이상의 신용카드 정보가 영국·루마니아·스페인 등 유럽 지역으로 빠져나갔다. 해외 범죄조직은 빼낸 카드정보로 복제카드를 제작, 유럽 곳곳에서 사용했다. A업체의 정보 관리부실 탓에 불법 사용된 카드금액은 올해 1월 기준으로 30억원에 달한다. 쌀국수 전문점 등 프랜차이즈 업체들의 상황도 마찬가지다. 2009년 11월부터 최근까지 고객들의 카드 정보가 국외로 빠져나가 도용된 것으로 알려졌다. B전문점의 경우 현재 50만건 이상의 신용카드 정보가 미국과 유럽 등지로 흘러갔다. 이른바 포스단말기의 해킹 실태다. 지난 2009년 11월 서울신문이 처음 보도한 이래 주무부서인 금융감독원이 대책을 마련하겠다는 방침을 밝혔지만 사실상 달라진 게 없다. 해킹이 계속되고 있는 것이다. 해킹 수사를 전담하는 한 관계자는 “포스단말기는 쉽게 말해 하드웨어와 소프트웨어로 이뤄진 일반 PC와 같기 때문에 해킹을 통한 정보 유출이 가능하다.”고 말했다. 정보 유출 방식은 크게 두 가지다. 원격제어프로그램인 VNC(Virtual Network Computing·가상 네트워크 컴퓨팅)가 설치된 포스단말기는 VNC를 타고 들어가 포스단말기에 침투, 단말기 내에 저장된 카드번호·유효기간·PVV(카드 비밀번호 암호화값)·CVV(신용인증값) 등 신용카드 정보를 통째로 가져간다. 다른 하나는 이메일 해킹이다. 해커들이 인터넷상에 ‘패킷’(packet·네트워크를 통해 전송하기 쉽도록 자른 데이터의 전송 단위)을 발송, 보안이 취약한 포스단말기를 찾아낸 뒤 뚫고 들어가 ‘퍼펙트 키로거’(Perfect Keylogger·해킹 프로그램)를 설치한다. 이어 해당 포스단말기에 카드를 긁는 순간 카드 정보가 러시아·중국·칠레·독일 등 여러 나라를 거쳐 미리 지정해 놓은 이메일 주소로 전송되도록 하는 방식이다. 금융당국 관계자는 “최근에는 원격제어프로그램이 깔린 업소가 표적이 되고 있다.”면서 “한 건 한 건 빼내는 것보다 한 번에 수백만 건의 카드정보를 빼낼 수 있기 때문”이라고 강조했다. 해외 범죄조직들은 ‘리드앤드라이트기’(컴퓨터에 저장된 카드정보를 공카드에 옮기는 기계)에 공카드를 긁어 10초 이내에 복제 카드를 만든다. 금융당국의 대처는 안일했다. 피해 규모는 2009년 45억원에서 지난해 9월 기준 79억여원으로 크게 증가했다. 지난 한 해 통틀어 100억원가량으로 추산됨에 따라 2년 사이 2배 이상 늘어난 셈이다. 금융감독원 관계자는 “사고 발생 이후 전국 가맹점 포스단말기에 보안프로그램을 설치하는 작업을 해오고 있는데 시간이 오래 걸리고 작업이 쉽지 않다.”면서 “가맹점주들이 협조를 잘 안 해줘 작업이 지연되고 있다.”고 해명했다. 카드사 관계자들은 “해외에서 발생하는 피해 금액은 모두 카드사에서 부담한다.”고 말했다. 김승훈기자 hunnam@seoul.co.kr

신용카드 범죄 조직들이 지난해 1~9월 국내 고객들의 카드를 9000여건 불법 복제해 해외에서 멋대로 사용한 금액이 79억여원에 달하는 것으로 확인됐다. 대부분 식당, 주유소 등 가맹점에 설치된 포스(POS:Point of Sale)단말기 해킹을 통해 정보를 빼낸 뒤 카드를 제작했다. 단순히 거래 내역만 저장되는 카드단말기와는 달리 카드번호·유효기간 등 모든 신용정보가 들어 있는 포스단말기는 백화점·할인점·편의점 등 중·대형 카드가맹점에 설치돼 있다. 포스단말기의 해킹 실태는 서울신문의 첫 보도<2009년 11월 4일 1·3면 참조>로 드러났지만 금융 당국과 카드회사들의 안일한 대처로 피해 규모는 불어나고 있다. 피해액은 대체로 카드사가 떠안지만 고객은 애꿎게 신용카드를 해외에서 쓴 적이 없다는 사실을 입증하기 위해 곤욕을 치를 수밖에 없다. 18일 금융 당국에 따르면 시중 10개 카드회사의 지난해 1~9월 신용카드 해외 부정(위·변조) 사용은 9033건, 피해 금액은 78억 8500만원이다. 10월 이후까지 추산할 경우 추세로 미뤄 지난해 피해 금액는 100억원이 훨씬 넘을 가능성이 크다. 카드사별 해외 부정 사용은 BC카드가 2371건에 29억 6300만원으로 가장 많았다. 신한카드는 1794건에 12억 3000만원, 현대카드는 1145건에 7억 9900만원, 하나카드는 733건에 5억 4000만원, 국민카드는 546건에 5억 3900만원 등이다.<표 참조> 금융 당국 관계자는 “해외 부정 사용의 80% 이상이 시중 가맹점의 포스단말기 해킹에서 비롯된 것”이라고 밝혔다. 이에 따라 첨단 장비·시스템 도입, 모니터링 강화 등 이른바 ‘완벽 보안’을 강조해온 BC카드를 비롯한 카드회사들의 정보 보안 체제에 구멍이 뚫린 게 아니냐는 지적도 나오고 있다. BC카드 고객서비스팀장은 “타사보다 시장점유율(30%)이 커서 피해가 커 보이는 것”이라며 “포스단말기 업체와 핫라인을 구축하는 등 포스단말기 해킹 대비를 철저히 하고 있다.”고 해명했다. 김승훈기자 hunnam@seoul.co.kr 36) 목졸려 살해된 시신, 라면박스만 없었어도…　범죄가 흔적을 남기기 위해… 35) 그녀와 만난 남자는 모두 죽는다　마약에 눈먼 20대 명품녀의 엽기적 살인행각 34) 하얀 피부와 사후강직이 일러준 토막살인의 진실　전철역 화장실에 유기된 30대女의 시신 33) 억울한 10대 소녀의 죽음…두줄 상처의 비밀 추락에 의한 자살? 몸을 통해 타살 증언하다 32) 살해된 20대女의 수표에 ‘검은 악마’의 정체가 담기다 완전범죄를 꿈꾸던 엽기 살인마 31) 최악의 女연쇄살인범 김선자, 5명 독살과 비참한 최후　청산염으로 가족, 친구 무차별 살해 30) 동거女 잔혹하게 살해한 30대, 시신이 물속에서 떠오르자…　살인후 물속으로 던진 사건 그후 29) 살인자가 남기고 간 화장품 향기, 그것은 ‘트릭’이었다　강릉 40대女 살인사건의 전말 28) 소리없이 사라진 30대 새댁, 알고보니 들짐승이…　부러진 다리뼈가 범인을 지목하다 27) 40대 여인 유일 목격자 경비 최면 걸자　법최면이 일러준 범인의 얼굴 26) 목졸리고 훼손된 60대 시신… 그것은 범인의 속임수였다　‘파란 옷’ 입었던 살인마 25) 그녀가 남긴 담배꽁초 감식결과 놀라운 사실이　살인 현장에 남은 립스틱의 반전 24) 택시 안에서 숨진 20대 직장女 살인범은 과연…　돈 버리고 납치한 이상한 택시 강도 23) 살인현장에 남은 별무늬 운동화 자국의 비밀　60대 노인의 치밀한 트릭 22) 70% 부패한 시신 유일한 증거는 ‘어금니’　억울한 죽음 단서 된 치아 21) 자다가 갑자기 세상을 뜨는 젊은 남자들…누구의 저주인가?　청장년 급사증후군의 비밀 20) 아파트 침대 밑 女 시신 2구…잔인한 ‘진실게임’ 결과는?　누명 벗겨준 거짓말 탐지기 19) 자살이라 보기엔 너무 폭력적인 죽음…왜?　가해자·피해자는 하나였다 18) 헤어드라이어로 조강지처 살해한 50대의 계략…　몸에 남은 ‘전류반’은 못 숨겼네 17) 물속에서 떠오른 그녀의 흰손…토막살인범 잡고보니　바다에서 건진 시신 신원찾기 16) 이태원 옷집 주인 살인사건…20대 여성이 지목한 범인은?　찢어진 장부의 증언 15) 무참히 살해된 20대女…6년만에 살인범 잡고보니…　274만개의 눈이 잡은 연쇄살인범의 정체 14) 백골로 발견된 미모의 20대女, 성형수술만 안 했어도…　가련한 여성의 한 풀어준 그것 13) 車 운전석에서 질식해 숨진 그녀의 주먹쥔 양팔 12) 불탄 시신의 마지막 호흡이 범인을 지목하다　화재사망 속 숨어있는 타살흔적 증거는 11) 자살한 40대 노래방 여주인, 살인범은 알고 있었다　생활반응이 알려준 사건의 진실 10) 소변 참으며 물 마시던 20대女, 갑자기 몸을 뒤틀며…　생명을 앗아가는 ‘죽음의 물’ 9) “그날 조폭은 왜 하필 남진의 허벅지를 찔렀나?”…　칼잡이는 당신의 ‘치명적 급소’를 노린다 8) 변태성욕 30대 살인마의 아주 특별한 핏자국　혈흔속 性염색체의 오묘한 비밀 7) 정자가 수상한 정액…씨없는 발바리’ 과학수사 얕봤다가　정관수술까지 한 연쇄 성폭행범 6) 천안 母女살인범, 현장에서 대변만 보지 않았더라도…　‘미세증거물’ 속에 숨은 사건의 진상 5) 강간 후 살해된 여성, 그리고 부검의 반전　죽을 때까지 여성이고 싶었던 여성의 사연 4) 살해당한 아내의 눈속에 담긴 죽음의 비밀…　흔해서 더 잔인한 위장 살인의 실체는 3) 친구와 함께 차안에서 아내에 몹쓸짓 한 남편 …사고로 위장한 최악의 선택 2) 죽음의 性도착증 ‘자기 색정사’　혼절직전의 성적 쾌감 탐닉…‘질식에 중독되다’ 1) 데이트 강간을 위한 ‘악마의 술잔’　한모금에 블랙아웃…24시간내 검사 못하면 미제사건 ’범죄는 흔적을 남긴다’ 전체 시리즈 목차보기 (클릭)

#1. 2009년 5월 김모(51)씨는 서울에 있는 식당 부근 쓰레기통에서 신용카드 전표를 줍거나 영수증을 훔쳐 카드번호와 유효기간 등을 알아낸 뒤 사업자용 휴대용 단말기에 입력,900여만원을 결제했다.휴대 단말기에는 주민번호를 입력하지 않아도 결제가 가능한 점을 이용했다. 　#2. 2002년 1월 양모씨 등 일행 3명은 서울 신촌의 한 식당에서 신용카드 전표 300장을 훔쳐 전표에 적힌 카드번호와 유효기간을 이용, 인터넷쇼핑몰 등에서 노트북 등을 구입한 뒤 경매 사이트를 통해 되팔아 돈을 챙겼다. 　신용카드 영수증(매출 전표)에 기록된 카드번호와 유효기간 등 개인정보가 아직까지도 음식점 등의 결제 과정에서 노출되는 곳이 많은 것으로 확인돼 대책 마련이 시급한 것으로 드러났다. 이들 정보가 해커 등 전문범죄집단에 넘어가면 제2,제3의 범죄가 우려된다. 　금융당국은 이와 관련,2006년 신용카드사 등에 카드번호와 비밀번호 노출에 대한 시정을 권고했으나 강제성이 없어 ‘해도 그만,안해도 그만’식으로 지나온 탓이다.지금은 업체의 자율적 판단에 맡기고 있는 형편이다. 　 　●이런 경우 때문에 취약하다 　인터넷상 결제의 경우 이곳에서 신용카드를 사용하려면 대부분 번호와 유효기간,주민등록번호까지 필요하다. 하지만 전문가들이 주민번호를 아는 것은 어렵지 않은 것으로 알려졌다. 또한 카드사와 가맹점간 특약을 맺은 ‘수기거래’를 할땐 카드번호 유효기간만으로 결제가 가능하다는 점도 취약점이다. 유명 TV홈쇼핑의 경우 상담원을 통한 상품 구매시 신용카드 번호와 유효기간만 불러주면 결제되는 것으로 확인됐다. 　금융감독원은 서울신문이 개인정보 노출 전표 등을 갖고 확인에 들어가자 “점검해서 고치겠다.”고 밝혔지만 카드업체의 의지 부족과 당국의 손길이 닿기 어려운 수천개의 결제단말기 제조업체의 난립으로 관리는 쉽지 않은 실정이다. 　 　●금감원 “카드번호·유효기간 가리라” 권고 　금감원은 2006년 신용카드의 번호와 유효기간에 숫자 대신 ‘*’ 표시 등 특수처리로 번호노출을 방지할 것을 카드사 등에 ‘지도’를 통해 당부했다. 버려진 전표를 수집한 뒤 카드정보를 이용, 범죄에 악용하는 사례가 종종 발생했기 때문이다. 지도는 강제성은 없지만, 업계 관계자들과 협의후 공문을 통해 관련사항 이행을 촉구한 것이다. 　하지만 서울신문이 영수증을 수집·점검한 결과, 지금도 카드영수증에 개인정보가 고스란히 노출되고 있었다. 서울 의 유명 호텔의 식당에서 발급된 영수증에는 카드번호 16자리와 유효기간 4자리가 고스란히 찍혀 나왔다. 대기업 소속 잡화매장의 영수증에도 유효기간이 전부 노출됐다. 한 대형 편의점에서도 마찬가지 였다. 　카드번호가 가려진 위치도 제각각이었다. 식당에서 받은 전표는 앞에서 3번째 그룹 네자리가 가려지고, 잡화점 것은 맨 뒤 네자리가 가려지는 식이다. 우체국에서 발급받은 영수증에는 맨 뒤 네자리에 ‘*’가 표시됐다. 정확하게 정한 기준이 없고 사용 기기들이 다양해 빚어지는 혼선으로,언젠가는 통일해야 할 사항이었다. 　금감원은 아쉽게도 이들 문제를 제대로,정확히 알고 있지 못했다. 한 관계자는 “유효기간은 일부라도 가려지게 돼 있는데 사실 확인을 해보겠다.”고만 말했다. 카드번호 삭제 위치 관련 규정에 대해선 “2006년 지도를 할 당시 예시로 3번째 그룹 네자리를 ‘*’ 표시하라고 했었는데 강제성은 없었다.“면서 “실제로 카드번호와 유효기간만 가지고는 다른 사람이 사용하기 어렵지만, 대응 방안을 연구해야 할 것 같다.”고 답했다. 　 　●여전한 개인정보 유출,왜? 　또 일부이지만 개인정보가 노출되는 예전 방식의 영수증과 자체 용지를 쓰는 곳도 있었다.하지만 전국에 26만대로 추정되는 포스단말기(POS·판매 재고관리 단말기)가 보급돼 있어 사실상 당국의 손길이 미치지 못하는 실정이다. 　여신금융협회는 “2006년부터 보안상 (번호가 가려지는) 새로운 매출전표를 사용할 것을 당부했다. 하지만 예전 영수증을 쓰는 가맹점이 남아 있는 것 같다.”고 말했다. 다른 관계자는 “일부 자체 용지를 쓰는 곳에서 유효기간 등이 표시되는데, 권고는 할 수 있지만 강제할 규정이 없어 100% 개선이 힘든 것이 어려움”이라고 토로했다. 　개인정보가 노출되는 실태를 종합해 보면 ▲예전 방식의 영수증 ▲업체 자체용지▲일부 포스단말기 영수증에서 ‘유효기간 등 표기’가 문제점으로 드러났다. 　 　●뒤늦은 대책…실효성은? 　금감원의 관리 감독에 어려움이 없는 것은 아니다. 금감원은 신용카드사를 감독할뿐, 밴사를 직접 통제할 수는 없다. 밴사는 카드사와 가맹점을 전산으로 연결해주는 부가통신사업자(VAN)이다. 신용카드사가 법적 효력을 가진 기관이 아니기 때문에 이들의 관리감독이 힘들다는 얘기다. 전국 수천개의 결제단말기 제조업체도 1~2명이 관리하는 곳이 많아 문제점으로 지적된다. 　금감원 관계자는 이같은 문제점과 관련, “(밴사와 직접 연관된) 신용카드사들에 점검 체계를 마련해 보고하라고 했다. 5~6월 중에 점검할 예정”이라면서 “앞으로 신용카드사가 1년에 한번씩 의무적으로 밴사를 점검해 금감원으로 보고하도록 조치했다.”고 말했다.또 “카드사와 밴사가 협의를 통해 문제가 된 포스단말기의 기술표준을 마련하고 보안모듈을 만드는 중”이라고 밝혔다. 보안모듈을 설치하지 않은 단말기의 신용카드 승인을 거절시키겠다는 의지다. 　하지만 이 대책도 ‘매출전표 정보 기록’과 관련이 없는 별개인 것으로 확인됐다. 여신협회 관계자는 “이번 기술표준은 포스단말기 내에 저장되는 개인정보를 암호화 하는 것으로 매출전표 표기와는 관계가 없다.”고 말했다. 　인터넷서울신문 최영훈기자 taiji@seoul.co.kr 　

국내 유명 프랜차이즈 음식점과 주유소 등에 설치된 신용카드 결제용 판매·재고관리단말기(POS)에 담긴 신용카드 정보 9만 5000여건이 해킹 당해 49개국에서 복제카드로 만들어진 뒤 6억 7000만원어치가 결제된 것으로 밝혀졌다.. 금융감독원과 여신금융협회는 이미 2008년에 POS단말기에 신용카드 정보 저장금지, 고객정보의 암호화 등 ‘POS단말기 보안 강화 기술표준’을 만들어 놓았지만 정작 일선에서는 지켜지지 않아 피해가 되풀이되고 있다. 경찰청 사이버테러대응센터는 11일 POS 단말기를 해킹해 고객들의 신용카드 정보를 빼낸 뒤 해외에서 위조카드를 제작·사용하도록 한 국제 해커 A씨 등 2명의 신원을 파악해 루마니아 당국 등과 공조수사를 진행하고 있다고 밝혔다. 또 해외로 유출된 신용카드 정보를 말레이시아 국제 밀매조직을 통해 다시 사들여 국내 신용카드 위조단에 제공한 엄모(37)씨 등 4명에 대해 여신전문금융업법 위반 등의 혐의로 구속하고 나모(41)씨를 같은 혐의로 불구속 입건했다. 경찰에 따르면 루마니아인 해커는 지난해 8월부터 올 1월까지 국내 음식점과 주유소 등에 설치된 36대의 신용카드 결제용 POS단말기를 해킹했다. 고객들이 카드로 결제하면 실시간으로 이메일 전송하는 수법으로 신용카드 정보 9만 5000여건을 빼냈다. 국제 밀매조직 말레이시아인은 지난해 10월부터 올 2월까지 해커로부터 건네받은 신용카드 정보 51개를 개당 30만원씩 받고 엄씨에게 넘겼다. 또 엄씨 등은 국내 신용카드 전문 위조단인 최씨 등 3명과 수익금을 절반씩 나누기로 하고 정보를 제공했다. 국내에서 빠져나간 신용카드 정보는 해외에서 위조 신용카드를 만드는데 사용됐다. 이를 위해 해외결제가 가능한 비자·마스터 계열의 신용카드 정보가 타깃이 됐다. 불법사용된 카드는 아시아, 유럽, 북미, 남미, 아프리카 등 49개국에 퍼져 있다. 위조 신용카드로 결제된 건수는 1503건, 피해액은 6억 7000여만원에 이른다. 승인이 거절된 1180여건까지 합치면 부정결제 금액은 14억여원에 달한다. 경찰 관계자는 “피해 확산 방지를 위해 해외 유출이 확인된 9만여건의 신용카드 정보는 고객들에게 유출사실을 고지하고 카드사 측에 재발급해 줄 것을 당부했다.”고 설명했다. 한편 현재 국내 POS단말기는 26만대, 결제되는 금액은 월 10조여원으로 전체 카드결제액의 30%에 달한다. 김효섭기자 newworld@seoul.co.kr

포스단말기 해킹을 통한 고객 신용카드정보 해외 유출이 사회문제로 떠오른 가운데<서울신문 10월4~5일자 탐사보도> 경찰이 유출 사실을 파악하고 본격 수사에 착수했다. 경찰청 사이버테러대응센터는 6일 “프랜차이즈 음식점 등이 인터넷에 연결해 카드 결제와 판매내역, 재고 등을 실시간 관리하는 ‘포스(POS:Point of Sales) 시스템’이 해킹당해 수사하고 있다.”고 밝혔다. 경찰은 독일 등 유럽과 미국에서 신원을 알 수 없는 해커가 포스단말기 시스템에 접근해 신용카드 사용자의 정보를 빼내간 것으로 보고 있다. 김승훈기자 hunnam@seoul.co.kr

포스단말기 해킹을 통한 실시간 신용카드정보 해외 유출은 8월 처음 발생했다. 하지만 해당 카드사들은 이 사건을 극비에 붙였다. 카드사들이 쉬쉬하는 동안 9월과 10월에도 잇따라 카드정보가 새나갔다. 수사당국은 사건 발생 3개월이 됐지만 해커 등 범인들의 윤곽조차 파악하지 못하고 있다. 빠른 시일 내에 검거하지 못하면 피해 규모는 눈덩이처럼 불어날 수밖에 없다는 것이 카드업계나 수사당국의 공통된 시각이다. 복제카드가 세계 각지에서 무차별적으로 사용되고 있기 때문이다. 수사당국과 카드사 등에 따르면 해커들은 8월9~10일 이틀간 국내 중·대형 카드가맹점의 포스단말기에 해킹 프로그램을 깔고 9일부터 9월21일 사이 7개 카드사(신한·삼성·현대·롯데·국민·BC·외환)의 신용카드 정보를 해외로 빼돌렸다. 고객이 긁는 순간 실시간으로 빠져나갔다. 현재 바이러스 감염이 확인된 가맹점은 호아센(베트남 쌀국수 전문 체인점), 홍초불닭(불닭 체인점), 쇼부(일본식 선술집 체인점) 같은 프랜차이즈 업소와 패밀리레스토랑인 마이엑스와이프 시크릿레시피 등 4곳이다. 이들 업소를 이용한 고객 3000명의 신용카드 정보가 유출됐다. 수사당국이 IP 주소를 추적한 결과 호아센·홍초불닭·쇼부의 카드정보는 독일 올덴버그에서 접속한 해커에 의해, 마이엑스와이프 시크릿레시피는 미국 샌디에이고에서 접속한 해커에 의해 빠져나갔다. 카드업계는 “6월 기준 전국 카드가맹점은 1583만 9000여곳”이라면서 “이 중 40~50% 가맹점에 포스단말기가 설치돼 있다.”고 설명했다. 반면 단말기 공급업체 측은 “10곳 중 7~9곳에 설치돼 있다.”고 했다. 양측에 따르면 최소 633만여곳에서 최대 1425만여곳에 포스단말기가 보급돼 있다. 카드사 관계자들은 “카드사별 사고 내역을 교차·점검하는 과정에서 7개 카드사의 카드정보가 모두 유출된 가맹점이 4곳”이라며 “개별 카드사의 사고 건수는 집계조차 안 되기 때문에 바이러스에 감염된 정확한 가맹점 수는 파악하기 어렵다.”고 말했다. 유출된 카드정보는 세계 각지에서 복제·사용됐다. 9월1~2일 카드정보가 집중 빠져나간 신한카드는 미국, 이탈리아, 스페인 등지에서 29건이 복제·사용됐고 카드사용액은 5600만원이다. 삼성카드는 8~9월 카드정보가 샜고, 이탈리아 등지에서 복제·이용됐다. 삼성카드 관계자는 “현재 수사당국에 수사를 의뢰했고 자체적으로 실태를 파악하고 있다.”면서 “올 2·4분기(4~6월) 해외 부정사용(도난·분실·복제 등으로 인한 피해) 액수가 2억 1000만여원인 것을 감안하면 두 달 동안 복제로만 일어난 사고금액은 1억원에 훨씬 못 미칠 것”이라고 밝혔다. 취재과정에서 확인된 7개 카드사의 카드사용액은 3억여원이다. 카드사들에 따르면 올 상반기 기준으로 카드정보가 해외로 유출돼 복제카드로 만들어진 뒤 사용된 비율은 북미 33.42%, 유럽연합(EU) 33.0%, 아시아·태평양 지역 22.33% 등이다. 현재까지는 유럽 일부 지역에서의 카드사용액만 밝혀져 향후 조사 과정에서 다른 국가에서의 카드사용액도 줄줄이 나올 것이라는 게 카드업계 관계자들의 지적이다. 포스단말기 해킹 주도 세력은 아직 베일에 가려져 있다. 수사당국은 실체는 물론 윤곽조차 그려내지 못하고 있다. 단지 해외 범죄조직과 관련성이 있을 것으로 추측만 할 뿐이다. 수사당국 관계자는 “세계 여러 나라에서 동시다발적으로 복제카드가 사용되고 있는 것으로 보아 개인이 하기에는 힘들다.”면서 “전 세계에 조직망을 갖춘 ‘기업형 범죄조직’들이 범행을 주도하고 있는 것으로 추정된다.”고 밝혔다. 이어 “범죄 양상으로 봤을 때 총책, 해킹프로그램개발책, 해커, 정보수집책, 정보판매책, 복제카드제조유통책, 복제카드사용책 등으로 역할을 분담해 유기적으로 움직이는 것으로 보인다.”고 덧붙였다. 문제는 피해가 고스란히 소비자들에게 전가된다는 점이다. 카드사 관계자들은 “해외에서 발생하는 피해 금액은 모두 카드사에서 부담한다.”면서 “카드사들은 매년 손실금액을 마련하기 위해 무이자할부를 없애는 등 소비자 혜택을 줄이거나 가맹점 수수료를 올릴 수밖에 없다.”고 털어놨다. 김승훈기자 hunnam@seoul.co.kr

“해킹 원천 차단은 현실적으로 어렵다. 새로운 바이러스가 발견될 때마다 그에 맞는 백신을 개발해 피해를 최소화할 수 있을 뿐이다.”(안철수연구소 관계자). “금융당국이 복제가 안 된다며 추진하고 있는 ‘IC카드’도 안전하지 않다. 중국에서 이미 IC카드 판독기가 만들어졌고 암호화된 정보를 그대로 IC카드 칩에 심는 기계까지 개발됐다.”(카드업계 관계자) 포스단말기 해킹을 통한 신용카드 정보 유출이 심각한 상황을 맞고 있다. 그러나 해킹 원천 차단은 불가능하고 기대를 모았던 IC카드(마그네틱카드와 달리 카드정보가 암호화돼 칩에 저장되기 때문에 복제가 어려운 카드)도 대안이 아니다. 그렇다면 카드정보 유출방지 대책은 뭘까. 카드업계 관계자들은 “미국처럼 우리나라도 하루빨리 ‘한국형 신용카드 정보보호 표준규정’을 제정, 시행해야 한다.”고 입을 모은다. 포스단말기 해킹을 통한 신용카드 정보 유출은 2000년 미국에서 처음 발생했다. 이후 2006년 3월 후지쓰사의 포스단말기를 사용하던 대형가맹점에서 카드정보가 대량 유출되면서 사회문제로 떠올랐다. 비자·마스터·아메리칸익스프레스·JCB·디스커버 등 세계 5대 카드회사 관계자들은 곧장 대책마련에 들어갔다. 해당 카드사들은 우리나라와 달리 피해 규모나 실상도 정확히 공개했다. 이들 카드사는 실태 파악 자료를 토대로 ‘PCI DSS’(Payment Card Industry Data Security Standard, 신용카드업계 정보보호 국제표준규정)를 제정했고 관리 기구인 PCI 보안표준위원회(SSC)도 설립했다. PCI DSS는 신용카드 정보를 저장·처리·전송하는 카드 가맹점과 서비스사업자(밴사·단말기업체 등)라면 모두 준수하도록 권고하고 있다. 일정 거래 규모 이상의 서비스사업자와 가맹점은 의무적으로 이행토록 하고 있다. 어길 경우 카드결제 승인을 거부하는 등 강도 높은 제재도 하고 있다. PCI DSS가 규정하고 있는 보안 항목은 ▲카드 소유자 정보 및 민감 정보 암호화 ▲카드 소유자 정보에 대한 물리적 접근 통제 ▲바이러스 백신 소프트웨어 설치 및 정기적 업데이트 ▲데이터 보호를 위한 네트워크 침입차단시스템 설치 및 유지관리 ▲보안 시스템·프로세스 정기적 테스트 ▲네트워크·신용카드 정보접속 모니터링 등 12개다. 한 카드사 관계자는 “미국은 중소형 가맹점에도 ‘PCI DSS’ 준수가 확산돼 해킹 안전지대로 거듭났다.”고 전했다. 다른 관계자는 “우리나라는 복제카드로 인한 손실을 카드사가 부담한다. 사실상 손해가 없는 가맹점과 단말기업체는 해킹 방지 프로그램을 까는 것조차 고비용 등을 이유로 모르쇠로 일관하고 있다.”고 지적했다. 그러면서 “금융감독원을 비롯해 개인정보보호를 담당하는 방송통신위원회 등이 나서 한국형 ‘PCI DSS’를 제정, 해당 업체들이 준수토록 법적 강제 조치를 마련해야 한다.”고 밝혔다. 다른 카드사 관계자는 “포스단말기에 카드번호·유효기간 같은 정보가 저장되지 않도록 법안을 손질해야 한다.”고 강조했다. 김승훈기자 hunnam@seoul.co.kr

2007년 초 일부 카드가맹점의 포스단말기가 해킹돼 카드정보가 대량 빠져나가는 사고가 발생했다. 당시 카드사들은 극비리에 진상조사를 벌인 뒤 ‘조사결과 보고서’를 만들었다. 금융감독원에도 포스단말기의 위험성을 알렸다. 금감원은 지난해 카드사들의 우려에 대한 대책을 마련, 추진하겠다고 밝혔다. 하지만 1년반 가까운 시간이 흘렀지만 금감원은 추진방침에서 단 한발짝도 나가지 못했다. 카드사들에 정보 보안책임을 지도록 한 것 이외에 관리·감독, 관련 법률 손질 등 후속작업이 제대로 이뤄지지 않았다는 게 업계의 평가다. 이러는 사이 범죄수법은 진일보했다. 포스단말기 해킹은 ‘예고된 재앙’인 셈이다. 카드사들의 ‘2007~2008년 포스 업체의 카드정보관리 문제점 및 규제 방안’에 따르면 국내 카드가맹점의 포스단말기 해킹을 통한 카드정보 유출은 2006년 11월 처음 발생했다. 이듬해 1월에는 대구·창원 등지의 카드가맹점에서 카드정보가 무더기로 빠져나갔다. 오사카·봉이설렁탕·할리스·맥켄치킨·옛촌감자탕 등 프랜차이즈 업소와 음식·주점 등 400여 카드가맹점에서 카드정보가 새나갔다. 카드사 관계자들은 2일 “당시 금감원에 정확한 피해 규모는 전하지 않았지만 몇가지 실태를 예로 들며 포스단말기의 카드정보 유출 우려를 제기했었다.”고 말했다. 금감원은 카드사들의 지적을 토대로 지난해 5월22일 ‘신용카드 가맹점의 고객정보 보안관리 강화 지도 및 향후 추진 계획’을 발표했다. 주된 내용은 ▲포스단말기 내 매출내역과 관련 없는 정보(카드번호, 유효기간, CVV 등) 삭제 ▲포스단말기 보안 관련 기술표준 및 가맹점의 보안기준 제정·운용 ▲카드 가맹점 약관에 가맹점 보안준수사항 추가 등이다(표 참조). 금감원 관계자는 “당시 추진 안들이 잘 이행되고 있는 것으로 안다.”며 “현재 포스단말기에는 카드정보가 저장되지도 않고 저장되더라도 암호 등 보안 형태로 저장되기 때문에 정보 유출 위험이 없다.”고 강조했다. “추진 사항들이 제대로 실행되지 않아 문제가 생기면 가맹점 관리 주체인 카드사들이 책임져야 한다.”면서 “카드사는 주의·영업정지 같은 제재를 받고, 임직원도 처벌받는다.”고 덧붙였다. 금융당국의 신속하고 적극적인 대응책이 나오지 않는 틈을 타 범죄수법은 한층 지능화됐다. 과거 포스단말기 한 대를 해킹해 그 속에 들어 있던 카드정보를 통째로 빼가는 데서 대다수 포스단말기에 바이러스를 심어놓은 뒤 이메일로 실시간 빼내가는 방식으로 진화했다. 한 카드사 관계자는 “포스단말기에 저장된 카드정보를 몽땅 빼내갈 경우 수년전 카드정보도 섞여 있어 사용 전에는 거래정지·유효기간 초과 여부 등을 알 수 없다. 복제 뒤 이용할 때 위험부담이 따르기 마련”이라며 “하지만 ‘실시간 유출’은 카드사에서 사용승인이 난 카드정보를 바로 가져가기 때문에 복제 뒤 안전하게 쓸 수 있다.”고 말했다. 또 다른 관계자는 “예전에는 빼내간 카드정보를 한꺼번에 복제·사용해 유출 가맹점과 피해 규모를 쉽게 파악할 수 있었지만 요즘은 여러 가맹점에 빼내간 카드정보를 한 건씩만 복제·사용해 어느 가맹점에서 사고가 발생했는지 확인이 쉽지 않다.”고 설명했다. 김승훈기자 hunnam@seoul.co.kr

국내 고객 신용카드 정보가 전국 카드가맹점의 ‘포스단말기’를 통해 해외로 유출돼 복제된 뒤 불법 사용되고 있는 것으로 확인됐다. 8월 초부터 이 같은 움직임이 포착됐으며, 이후 수사 당국은 유출 경위와 피해 규모 등 실태파악에 들어갔다. 소프트웨어 보안전문 업체인 안철수연구소는 백신 개발 및 해법 찾기에 돌입했다. 하지만 해당 카드사들이 고객의 정보 유출을 은폐하고, 피해 규모를 축소하고 있어 정확한 규모 파악은 잘 안 되고 있다. 포스단말기는 백화점·할인점·편의점·프랜차이즈 업소 등 중·대형 카드가맹점에 설치돼 있다. 포스(POS: Point of Sale) 단말기는 단순히 거래 내역만 저장되는 다른 카드단말기와 달리 카드번호·유효기간 등 모든 신용카드 정보가 저장되는 단말기다. 이 단말기는 하드와 소프트웨어로 이뤄진 일반 PC와 같다고 보면된다. 이 때문에 포스단말기는 범죄조직들의 해킹 표적이 되고 있다. 전문가들은 포스단말기를 이용한 카드 복제는 기존의 단순 카드 복제와는 다른 신종 수법으로 이를 방치할 경우 금융피해가 눈덩이처럼 불어날 수 있다며 적극적인 대응에 나서야 한다고 말한다. 3일 수사당국과 카드사 등에 따르면 신한·국민·삼성·현대·롯데·BC·외한카드 등 7개 카드사의 고객 정보가 카드를 긁는 순간 실시간으로 빠져나가고 있는 것으로 파악되고 있다. 8월9일부터 9월21일까지 전국 카드가맹점의 ‘포스단말기’가 해킹돼 7개 카드사의 ▲카드번호 ▲유효기간 ▲PVV(카드 비밀번호 암호화값) ▲CVV(신용인증값) 등 고객들의 신용카드정보가 국외로 유출됐다. 이 기간 동안 7개 카드사들의 카드정보 3000건(명)이 새나갔으며 이 중 6개 카드사(삼성카드는 미공개) 108건이 미국·이탈리아·그리스·스페인 등지에서 불법 복제돼 3억여원의 카드사용액이 발생했다(표 참조). 또 지난달에도 경기 파주의 S편의점, 경남 진해의 F커피숍의 포스단말기가 해킹당하는 등 카드정보 유출이 계속되고 있다. 카드업계 관계자들은 “포스단말기를 통한 실시간 카드정보 유출이 언제부터 일어났는지 정확히 알 수 없지만 올 여름부터 카드사들의 고객 신용카드정보가 동시다발적으로 빠져나가고 있는 게 사실”이라고 밝혔다. 한편 금융감독원에 접수된 2006~08년 해외 복제카드 피해액에 따르면 2006년 52억여원, 2007년 34억여원, 2008년 38억여원이다. 하지만 7개 카드사들의 연간 피해액은 120여억원에 이르는 것으로 업계는 보고 있다. 한 카드사 관계자는 “카드사별 손실금액은 대외비이기 때문에 금감원에 정확한 데이터를 보내지 않는다.”고 귀띔했다. 다른 관계자는 “피해 액수가 많다고 하면 불안해서 해당 카드사 카드를 사용하겠느냐.”면서 “카드사들이 쉬쉬하는 이유가 이 때문”이라고 말했다. 김승훈기자 hunnam@seoul.co.kr