9만 명 신용카드 정보 국제조직에 유출됐다

지난해 8월 국내 대형 마트와 음식점·주유소의 카드 결제용 단말기인 ‘POS(Point Of Sales:판매시점 관리시스템)’ 36대가 해킹당하는 사건이 발생했다. 유출된 고객의 카드 정보는 모두 9만5266건이었다. POS는 인터넷을 통해 결제와 판매·재고량을 동시에 기록하는 시스템으로 대형 업소에서 많이 사용한다.

그로부터 2개월 후, 유출된 정보 중 일부가 국내로 다시 유입됐다. 이 정보는 위조카드 복제에 사용됐다. 경찰청은 11일 카드 정보를 사들여 위조카드를 만든 엄모(37)씨 등 4명을 구속했다. 엄씨는 “말레이시아의 국제 밀매단으로부터 건당 30만원을 주고 51건의 카드 정보를 사들였다”고 경찰에 진술했다. 경찰 관계자는 “엄씨가 사들인 정보는 카드 뒷면의 마그네틱선에 입력된 37자리 숫자와 기호의 조합으로 이를 공(空)카드에 입력하면 쉽게 복제카드를 만들 수 있다”고 말했다.

경찰은 즉각 말레이시아 경찰에 수사 협조를 요청했다. 조사 결과 말레이시아 밀매단은 루마니아인으로부터 정보를 사들인 것으로 밝혀졌다. 그 루마니아인은 지난해 국내의 POS 단말기를 해킹한 장본인이었다. 루마니아 경찰은 해커를 붙잡아 조사 중이다. 해커는 인터넷에 연결된 POS가 해킹에 취약하다는 점을 간파하고, 악성코드를 설치했다. 악성코드는 시스템에 저장된 카드 정보를 고스란히 해커에게 전달해 주는 역할을 했다.

해커로부터 카드 정보를 산 말레이시아 국제 밀매단은 세계 곳곳으로 이를 유통시켰다. 경찰에 따르면 국내의 카드 정보는 해외에서 943장의 위조카드로 복제됐다. 결제가 이뤄진 국가만 49개국이었다. 실제로 결제된 액수는 6억7700만원에 이르렀다. 경찰 관계자는 “얼마나 많은 나라에서 이 정보가 떠돌고 있는지 정확하기 파악하기 힘들다”고 말했다.

지난해 말 기준으로 전국 POS 단말기는 26만 대에 이른다. POS 결제 비율은 전체 카드결제액의 30% 정도로 월 10조원에 달한다. 경찰에 따르면 POS 해킹 사건은 2007년 이후 발생했다. 41개 가맹점이 피해를 보았다. 대부분 대형 업소여서 유출 규모가 크다. 작은 소매점에 사용하는 카드 단말기는 전화선을 사용하기 때문에 해킹하기 힘들다고 한다.

경찰 관계자는 “금융감독원과 카드사에 제도적·기술적으로 보안을 강화하도록 권고했다. 정보가 유출된 9만여 건의 카드 고객에게 유출 사실을 통보하고 재발급받을 것을 당부했다”고 말했다.

강인식 기자