결제대행사 해킹 신고, 가맹점 정산자금 약 2억원 비정상 이체
전자지급결제대행업체(PG사)인 P사가 10월 중순 해킹으로 가맹점에 지급할 정산자금 약 2억원이 비정상 이체됐다고 신고했다.
유선영 기자
전자지급결제대행업체(PG사) P사가 10월 중순 해킹을 당해 가맹점에 내줘야 할 정산자금 약 2억원이 비정상적으로 이체됐다고 신고했다.
박홍배 더불어민주당 의원실이 11월 3일 금융감독원에서 받은 자료에 P사의 신고 내용이 담겼다. P사는 10월 중순 해킹으로 가맹점 정산자금 약 2억원이 비정상 이체됐다고 신고했다. 정산자금은 손님이 결제한 돈 가운데 판매자 몫으로 넘어가야 할 대금이다. 이번 사례에서 금융권 해킹은 정보 유출에 그치지 않았다. 판매대금을 맡아 두는 결제대행사의 돈까지 빠져나갔다.
P사는 앞서 금융권 해킹에 쓰인 인터넷주소(IP)를 넘겨받아 자체 점검을 하다가 돈이 빠져나간 사실을 찾아냈다. 금융감독원은 10월 28일부터 이 업체를 현장점검하고 있다. 기존 금융권 해킹과 이번 사고가 연결돼 있는지도 함께 조사하는 중이다.
피해를 본 곳은 P사에 그치지 않는다. 가상자산거래소와 온라인투자연계금융업체도 피해를 봤다. 10월 24일 가상자산거래소 프라뱅에서는 약 1억원어치 코인이 탈취됐다. 온라인투자연계금융업체 줌펀드에서는 고객 예치금 약 3억원이 제3자 계좌로 넘어갔다. P사까지 합친 세 곳의 자산 피해는 약 6억원이다. 거래소에서 털린 코인과 고객 예치금, 판매자에게 줄 정산자금이 모두 이 금액에 들어 있다.
금융회사가 가진 정보가 밖으로 새는 사고도 잇따랐다. 한양증권은 10월 29일 해킹으로 계좌번호 등 고객 정보 15건과 임직원 정보 2건, 주민등록번호 등 일반 개인정보 14건이 유출됐다고 밝혔다. 해커는 외부 업무용 프로그램인 다우오피스를 통해 들어왔다. 빗썸 해킹 때도 취약점이 드러난 프로그램이다. 금융권에서는 개인정보 유출에 더해 중소형 금융회사의 자산 피해도 늘고 있다.
금융당국은 금융회사가 외부와 연결되는 지점을 더 넓게 점검하기로 했다. 금융감독원은 11월 3일 임원회의에서 전 금융권의 외부 접점을 하나도 빠짐없이 점검하겠다고 밝혔다. 전자금융거래법을 적용받지 않는 법인보험대리점(GA), 대부업, 가상자산업, 온라인투자연계금융업도 점검 대상에 넣는다. 금융회사가 실제로 이행하는지는 정보기술(IT) 전문 인력이 확인할 계획이다.
금융보안원은 업권별 협회·중앙회와 함께 자동화된 공동 보안 관제 시스템을 만드는 방안을 검토한다. 금융감독원은 보안 취약점을 내버려 뒀다가 해킹 사고가 난 금융회사에 감독분담금을 더 물리는 방안도 추진한다.
가맹점 처지에서 보면 이번 사고에 휘말린 돈은 손님이 이미 치른 물건값이다. 판매자에게 넘겨줄 대금을 맡아 두는 결제대행사에서 정산자금이 비정상 이체됐다는 신고가 나왔다. P사가 신고한 피해는 약 2억원이다. 금융감독원은 이 업체에 대한 현장점검을 이어가고 있다.