G마켓 '스마일페이' 무단결제 개인정보 도용 사건

G마켓 회원 60여 명이 간편결제 서비스 '스마일페이'에서 자신이 결제하지 않은 기프트 상품권 등이 무단으로 결제됐다며 금융감독원에 피해를 신고했다. 피해자 1인당 결제 금액은 3만 원에서 20만 원 수준으로 소액이었지만, 짧은 기간 동시다발적으로 피해가 발생했다는 점에서 조직적인 부정 결제 공격 가능성이 제기됐다. 피해자들은 본인이 등록한 적 없는 결제 내역과 상품권 발급 알림을 뒤늦게 확인하고서야 사고를 인지한 것으로 알려졌다. 신고 직후 온라인 커뮤니티를 중심으로 유사 피해 사례가 잇따라 공유되며 사태의 심각성이 알려지기 시작했다. 이 신고는 이후 G마켓 전사 차원의 보안 점검으로 이어지는 계기가 됐다.

피해 신고가 접수된 지 며칠 뒤 관련 사실이 언론 보도를 통해 알려지며 G마켓 무단결제 사고가 공식적으로 수면 위로 떠올랐다. 보도에 따르면 피해자들은 자신의 스마일페이 계정에서 구매한 적 없는 상품이 결제된 내역을 확인했고, 일부는 결제 알림 문자를 받고서야 사고 사실을 알아챘다. G마켓 측은 사고 인지 이후 내부 시스템 점검에 착수했으나 초기에는 정확한 피해 규모와 원인을 공개하지 않아 이용자들의 불안이 커졌다. 이 사고는 앞서 발생한 쿠팡의 대규모 개인정보 유출 사태 직후에 벌어져 소비자들의 불신을 한층 키웠다. 유사 시기에 잇따른 전자상거래 플랫폼 사고로 온라인 결제 보안에 대한 경각심이 높아졌다.

G마켓은 공식 입장을 통해 이번 사고가 내부 시스템 해킹이 아니라 외부에서 유출된 고객 아이디와 비밀번호를 무작위로 대입해 로그인을 시도하는 '크리덴셜 스터핑' 공격으로 추정된다고 밝혔다. 즉 G마켓 자체 서버가 뚫린 것이 아니라, 다른 사이트에서 유출된 개인정보를 이용해 공격자가 결제 계정에 접근했다는 설명이었다. 이런 해명에도 불구하고 이용자들 사이에서는 결제 인증 절차가 허술했던 것 아니냐는 비판이 이어졌고, 플랫폼의 이상 결제 탐지 시스템이 제대로 작동하지 않았다는 지적도 제기됐다. 회사는 결제 보안 정책을 강화하고 이상 거래 탐지 체계를 재점검하겠다고 약속했다. 이 해명은 이후 유사 크리덴셜 스터핑 공격에 대한 업계 전반의 경각심을 높이는 계기가 됐다.

쿠팡에 이어 G마켓에서도 유사한 무단 결제 사고가 발생하자 금융당국은 긴급 현장점검에 나섰다. 금융감독원 관계자는 G마켓 측이 해킹이 아니라 외부에서 탈취된 계정 정보로 부정 결제가 이뤄졌다고 주장하고 있어 실제 사실관계를 확인하고 있다고 설명했다. 당국은 결제 시스템의 이상 거래 탐지 체계와 본인 인증 절차가 적절히 작동했는지를 중점적으로 살펴본 것으로 알려졌다. 연이은 대형 플랫폼의 결제·개인정보 사고로 금융당국의 온라인 결제 보안 감독 강화 필요성이 다시 부각됐다. 이번 점검 결과에 따라 향후 유사 사고 재발 방지를 위한 제도 개선 논의로 이어질 가능성이 제기됐다.

G마켓 무단결제 사고는 직전 달 발생한 쿠팡의 3370만 명 규모 개인정보 유출 사태 직후에 벌어져 소비자들에게 큰 불안감을 안겼다. 두 사고가 짧은 간격을 두고 잇따라 발생하면서, 유출된 개인정보가 다른 온라인 플랫폼에 대한 크리덴셜 스터핑 공격에 재활용되는 연쇄 2차 피해 가능성이 본격적으로 제기됐다. 전문가들은 한 플랫폼에서 유출된 아이디·비밀번호가 다른 서비스에서도 동일하게 사용되는 경우가 많아 피해가 눈덩이처럼 불어날 수 있다고 경고했다. 소비자들에게는 여러 사이트에서 동일한 비밀번호를 사용하지 말고 2단계 인증을 활성화할 것을 당부하는 목소리가 커졌다. 이 사건은 국내 전자상거래 업계 전반의 계정 보안 체계를 재점검하는 계기가 됐다.

G마켓은 무단결제 피해를 입은 고객 전원에게 피해 금액을 전액 환불하기로 결정했다고 밝혔다. 회사는 도용이 의심되는 계정에 대해 추가 보안 조치를 적용하고, 향후 유사 사고 재발을 막기 위해 이상 거래 탐지 시스템과 인증 절차를 강화하겠다고 덧붙였다. 신속한 전액 환불 조치는 초기 대응 미흡 비판을 일부 누그러뜨렸지만, 근본적인 계정 보안 강화 없이는 유사 사고가 재발할 수 있다는 우려는 여전히 남았다. 이번 사건은 쿠팡 사태와 더불어 국내 전자상거래 플랫폼들의 계정 보안 수준에 대한 소비자 신뢰를 시험한 사례로 평가된다. 이후 관련 업계에서는 크리덴셜 스터핑 방지를 위한 로그인 보안 체계 개선 움직임이 이어졌다.