토스 명의도용 부정결제 사태

2020년 6월 3일 오후 토스를 통해 온라인 가맹점 3곳에서 이용자 8명의 정보가 도용돼 부정결제가 이뤄지는 사고가 발생했다. 피해자들은 자신도 모르는 사이 게임업체 등 온라인에서 결제가 진행됐다며 피해를 호소했다. 총 피해금액은 938만원이었고, 이 중 한 이용자는 200만원의 피해를 입었다. 제3자가 사용자의 인적사항과 비밀번호 등을 이용해 웹결제로 돈을 빼간 방식이었다. 간편결제 서비스의 보안 신뢰가 흔들리는 사고였다.

토스 운영사 비바리퍼블리카는 사고 다음 날인 6월 4일 피해금액 938만원을 전액 환급했다. 문제가 발생한 이용자 계정을 차단하고, 해당 가맹점의 결제 내역을 전수조사해 추가 피해고객 4명을 찾아냈다. 회사는 우선 피해자 구제에 나서며 진화를 시도했다. 그러나 어떻게 명의가 도용됐는지에 대한 근본 원인 규명 요구가 이어졌다. 신속한 보상에도 불구하고 결제 보안에 대한 불안은 쉽게 가라앉지 않았다.

사고 원인으로는 토스의 웹결제 인증 방식이 지목됐다. PC 웹결제에서 토스는 이름, 전화번호, 생년월일, 토스 비밀번호(PIN)만 입력하면 결제가 완료되는 구조였다. 다른 간편결제는 PC 결제 시 휴대전화 문자 인증 등 추가 절차를 한 번 더 거쳤지만 토스는 이 과정이 빠져 있었다. 개인정보가 도용되면 그대로 결제가 뚫릴 수 있는 취약점이었다. 편의성을 앞세운 설계가 보안 공백으로 이어졌다는 비판이 나왔다.

토스는 이번 사고가 자사 시스템 해킹이나 개인정보 유출 때문이 아니라고 해명했다. 회사는 고객 비밀번호를 서버에 저장하지 않아 토스를 통한 정보 유출은 불가능하며, 외부에서 확보된 개인정보를 이용한 가맹점 결제 도용 사고라고 강조했다. 다만 어떤 경로로 이용자 정보가 도용됐는지는 명확히 규명되지 않아 논란이 이어졌다. 이용자들은 결과적으로 토스 결제망에서 피해가 났다는 점을 문제 삼았다. 책임 소재를 둘러싼 공방이 계속됐다.

사고가 확산되자 금융감독원은 토스 부정결제 사고에 대한 조사에 착수했다. 금감원은 토스뿐 아니라 간편결제 서비스 전반의 보안 실태를 점검하겠다고 밝혔다. 편의성을 강조한 핀테크 결제가 늘어나는 가운데 인증 절차 미비가 소비자 피해로 이어질 수 있다는 우려가 반영됐다. 감독당국이 간편결제 업계 전반을 들여다보는 계기가 됐다. 업계에는 보안 강화 압박이 커졌다.

토스는 재발 방지를 위해 부정결제가 일어난 가맹점을 앱에서 한 번 더 인증하는 방식으로 전환했다. 남아 있는 웹결제 가맹점도 필요 시 협의해 인증 절차를 강화하기로 했다. 회사는 "도용된 고객 정보라 할지라도 토스에서는 부정결제가 이뤄질 수 없도록 더욱 고도화된 이상거래 감지·대응 시스템(FDS)을 만들겠다"고 밝혔다. 편의성과 보안 사이의 균형을 다시 잡겠다는 취지였다. 간편결제 업계 전반의 인증 강화 흐름으로 이어졌다.

2021년 4월 금융감독원은 토스에 대한 검사 결과 경영유의 2건, 개선사항 13건 등의 조치를 내렸다. 금감원은 내부통제 체계를 강화하고 전자금융·IT 부문 업무 전반에서 발견된 미흡 사항에 대한 구체적 개선 계획을 세우라고 요구했다. 부정결제 사고를 계기로 촉발된 감독 조치가 실제 제재로 이어진 셈이다. 급성장한 핀테크 기업의 리스크 관리 수준이 도마에 올랐다. 토스는 지적 사항을 성실히 개선하겠다고 밝혔다.