온라인쇼핑몰 가짜 결제창 피싱 카드정보 5707건 탈취 사건

정체불명의 전문 공격 조직이 국내 다수 온라인쇼핑몰의 실제 결제 화면과 매우 유사하게 꾸며진 피싱 페이지를 결제 과정에 삽입해 유포하기 시작한 것으로 이후 조사에서 확인됐다. 소비자들은 정상적으로 상품을 장바구니에 담고 결제 단계로 진입했으나, 실제로는 조작된 가짜 결제창에 정보를 입력하는 상황에 놓였다. 공격 조직은 여러 쇼핑몰에 걸쳐 유사한 수법을 반복 적용한 것으로 파악됐다. 이 시점까지는 피해가 외부에 알려지지 않은 채 은밀하게 진행됐다. 금융보안원은 추후 이 시기를 공격 시작 시점으로 추정했다.

피싱 페이지는 실제 결제에는 필요하지 않은 카드 비밀번호 전체 자리, 카드 유효기간, CVC, 주민등록번호 등 과도한 개인정보까지 입력하도록 유도한 것으로 나타났다. 정상적인 온라인 결제라면 요구되지 않는 정보임에도 소비자 다수가 결제 완료를 위해 이를 그대로 입력했다. 입력이 끝나면 화면에는 '결제 오류'라는 문구가 표시된 뒤 실제 정상 결제 페이지로 자연스럽게 넘어가도록 설계돼, 피해자가 정보 탈취 사실을 알아차리기 매우 어려웠다. 이 같은 정교한 위장 수법 때문에 상당수 피해자는 뒤늦게 카드사의 이상거래 통보를 받고서야 피해 사실을 인지했다. 보안 전문가들은 이 수법을 웹 인젝션과 유사한 결제 단계 하이재킹으로 분석했다.

금융보안원은 전문 공격 조직이 온라인쇼핑몰 결제 과정에서 신용카드 정보 5707건을 탈취한 정황을 확인하고 이를 금융감독원에 통보했다. 탈취된 정보에는 카드번호, 유효기간, 비밀번호, 일부 주민등록번호 등이 포함된 것으로 파악됐다. 금융보안원은 피해 확산을 막기 위해 각 카드사와 긴급 정보 공유 체계를 가동했다. 조사 결과 피해는 특정 한두 곳이 아니라 여러 온라인쇼핑몰에 걸쳐 산발적으로 발생한 것으로 나타났다. 이는 개별 쇼핑몰의 보안 문제라기보다 결제 과정 자체를 노린 조직적 범죄로 규정됐다.

금융감독원은 7월 5일 온라인쇼핑몰 결제 피싱을 통한 카드정보 탈취 사건과 관련해 소비자경보 '주의'를 발령했다. 금감원은 결제 화면에서 카드 비밀번호 전체 숫자나 주민등록번호를 요구하는 경우 정상적인 결제 절차가 아니므로 즉시 입력을 중단하고 해당 쇼핑몰과 카드사에 확인할 것을 당부했다. 아울러 결제 도중 원인 불명의 '오류' 메시지가 뜬 뒤 곧바로 정상 결제로 넘어가는 경우 피싱 피해 가능성을 의심해야 한다고 안내했다. 금감원은 카드사들과 공조해 탈취된 카드 정보에 대한 부정결제 차단 조치에 나섰다. 피해가 확인된 고객에게는 개별 안내와 함께 카드 재발급을 권고했다.

금감원의 소비자경보 발령 다음 날 각 카드사는 정보 유출이 확인된 고객을 대상으로 개별 문자·전화 안내를 시작했다. 카드사들은 피해 고객에게 카드 재발급을 권고하고 이상거래 탐지 시스템을 통한 추가 모니터링을 강화했다. 일부 카드사는 피해 규모 확산을 막기 위해 해당 카드번호에 대한 선제적 사용 정지 조치를 취하기도 했다. 소비자들 사이에서는 어느 쇼핑몰에서 피해가 발생했는지 구체적으로 공개되지 않은 점에 대한 불만도 제기됐다. 금융당국은 특정 쇼핑몰명을 공개할 경우 수사에 지장을 줄 수 있다는 이유로 구체적 명단 공개는 하지 않았다.

언론을 통해 온라인 의류 쇼핑을 하려다 가짜 결제창에 속아 카드 정보를 도용당했다는 소비자 사례들이 잇따라 보도됐다. 피해자들은 정상적인 쇼핑몰 주소로 접속했음에도 결제 단계에서 위조된 화면이 나타나 의심하지 못했다고 진술했다. 보도는 해외 직구 사이트 등에서도 유사한 카드정보 탈취 사기가 성행하고 있다는 점을 함께 지적하며 소비자 주의를 당부했다. 전문가들은 온라인쇼핑몰 운영사들이 결제대행사(PG) 연동 구간의 보안을 강화해야 한다고 조언했다. 이 사건은 이커머스 결제 인프라 전반의 보안 취약점을 드러낸 사례로 평가됐다.

금융당국의 통보를 받은 경찰과 사이버수사대는 피싱 페이지를 유포한 공격 조직의 실체를 규명하기 위한 추적 수사에 착수했다. 수사는 피싱 페이지가 삽입된 경로, 서버 위치, 탈취된 카드정보의 유통 경로 등을 중심으로 진행됐다. 국내외 여러 서버를 경유한 정황이 확인되면서 국제 공조 수사 필요성도 제기됐다. 수사 당국은 유사한 수법의 추가 피해를 막기 위해 온라인쇼핑몰 업계에 결제 시스템 점검을 요청했다. 사건은 장기 수사로 이어질 가능성이 있는 것으로 전망됐다.