구멍뚫린 안전결제

 

금감원, BC·KB카드 현장 점검 - 190여명 1억8000만원 피해
카드사, 피해액 보상해주기로… 게임사이트 결제 시스템, 공인인증서 이용하도록 바꿔
해커들 먹잇감 된 쇼핑몰 - 쇼핑몰을 해킹… 가격 조작, 헐값에 물건 산 뒤 되팔아
개인 정보 빼내 은행에서 인증서 발급받아 돈 인출

30만원 미만 소액 온라인 결제 때 이용하는 안전결제(ISP·Internet Secure Payment) 시스템 해킹 사건과 관련, 금융감독원이 해킹 피해가 발생한 BC카드와 KB국민카드에 대한 현장 점검을 실시키로 했다. 두 카드사의 ISP 이용자는 각각 960만명과 700만명에 달한다. /본지 4일자 A1·10면

금감원 관계자는 4일 "ISP 시스템이 현재 어떻게 운영되고 있는지 현황 파악에 나섰고, 다음 주 초엔 현장 조사를 벌일 것"이라고 말했다. 금감원은 현재로선 ISP 시스템 자체보다는 개인 PC의 ISP 인증서가 해킹된 것으로 보고 있다.

두 카드사는 용의자가 인터넷 게임 사이트에서 훔친 ISP 정보를 활용해 아이템을 구매한 점을 감안, 7일부터 인터넷 게임 사이트에 대해서는 소액 결제일 경우에도 30만원 이상을 결제할 때 사용하는 공인인증서를 이용하도록 결제 시스템을 바꾸기로 했다.

두 카드사는 또 해킹 피해 고객들에게 피해액을 보상해 주기로 했다. 신원 미상의 해커들이 두 카드사 회원들의 ISP 정보를 훔쳐 온라인 게임에서 아이템을 구매하고 결제하는 데 이용한 것으로 드러났는데, 경찰에 따르면 지금까지 확인된 피해자는 190여명, 피해액은 1억8000만원에 이른다. 경찰청 관계자는 "해킹에 사용된 아이피(IP) 주소 추적 등 기초 수사를 마치고 범인의 행방을 쫓는 중"이라고 말했다.

금융 감독 당국과 카드회사들이 전자 결제의 안전성을 확보하지 못하면 인터넷 쇼핑이 위축될 수도 있다. 통계청에 따르면 우리나라의 인터넷 쇼핑몰 거래액은 2011년 기준으로 한 해 29조원에 이른다.

◇해킹에 안전하다는 ISP도 뚫렸다

현재 인터넷에서 30만원 미만 소액을 결제하는 방식은 '안심클릭'과 'ISP'의 두 가지 방법이 있다.

글로벌 신용카드 회사인 비자(VISA)가 개발한 안심클릭은 카드번호와 카드 뒷면의 CVC(Card Validation Code·카드 고유의 확인 코드)번호, 비밀번호를 입력하는 방식이다. 하지만 해커가 악성 코드를 통해 개인용 PC 화면이나 키보드를 해킹하면 이런 내용이 무방비로 노출된다. 이 때문에 2000년대 중반 이후 해킹 피해가 빈번하게 발생했다.

그래픽=박상훈 기자

국내에서 자체 개발된 ISP는 이런 약점을 개선했다는 평가를 받아 왔다. 이 방식은 처음 이용할 때 본인 확인을 위해 카드번호, CVC번호 등을 입력하고 'ISP 인증서'를 개인 PC나 USB, 휴대전화 등에 다운로드하면 다음부터는 비밀번호만 입력하면 된다.

인증서라는 방화벽이 있어 해킹에 안전하다고 여겨져 왔는데 이번 사건처럼 인증서 자체가 해킹을 통해 불법 복제되면 안전성을 보장하기 어렵다.

◇인터넷 쇼핑몰은 해커들의 먹잇감

전자 결제의 취약한 안전망은 인터넷 쇼핑몰과 쇼핑객을 해커들의 먹잇감으로 만들고 있다. 해커들은 보안이 취약한 쇼핑몰 자체를 해킹하는 경우가 많다. 이모(20)씨는 작년 1월부터 해킹 프로그램을 이용해 인터넷 쇼핑몰 25곳을 해킹, 판매 가격을 정가의 10% 이하로 조작한 뒤 물건을 헐값에 사들여 되팔아 2억7000여만원을 챙긴 혐의로 지난 4월 구속됐다.

해킹을 통해 안심클릭에 필요한 신용카드번호나 비밀번호 등을 빼내거나 ISP 인증서를 몰래 발급받는 경우도 있다. 2010년 2월 서울지방경찰청 사이버수사대는 신용카드 대리점에서 빼돌린 결제 정보를 이용해 인터넷 안전결제 인증서 15개를 불법으로 발급받아 인터넷 게임 아이템을 구입해 되파는 수법으로 700만원을 챙긴 김모씨 등을 구속했다. 해킹을 통해 개인 정보를 빼낸 뒤 은행에서 공인인증서를 새로 발급받아 돈을 인출하는 범죄도 꼬리를 물고 있다.

☞안전결제(ISP:Internet Secure Payment)

인터넷에서 30만원 미만 소액을 결제하는 방식 중 하나이다. 처음 이용할 때 신용카드 정보를 입력해 ISP 인증서를 발급받으면, 이후 거래부터는 비밀번호만 입력하면 된다. 결제할 때마다 카드번호·비밀번호·유효기간을 입력해야 하는 '안심클릭'보다 안전한 것으로 알려져 왔다. 인터넷에서 30만원 이상을 결제할 때는 별도 공인인증서를 이용해야 한다.

 

-조선일보, 2012/6/4

 

----------------------------------

 

인터넷 뱅킹·쇼핑몰 이용, PC방에서는 이용 자제를
비밀번호 자주 바꾸는게 최선

자료사진=조선일보DB

전자 결제 과정에서 해킹 피해를 보지 않으려면 어떻게 해야 할까.

전문가들은 금융회사에서 발급받은 공인인증서나 ISP 인증서를 개인 PC에 넣어두지 말고 USB(휴대용 저장장치)나 휴대전화에 넣어두는 것이 좋다고 조언한다.

또 PC방 등에서는 인터넷 뱅킹이나 인터넷 쇼핑몰을 이용하지 않는 것이 좋다고 말한다. 악성 코드에 감염될 가능성이 큰 음란 사이트 등 신뢰할 수 없는 사이트를 이용하지 않는 것이 좋다.

금감원 IT감독국 관계자는 "인증서를 휴대용 장치에 넣어 다녀도 해킹에 노출될 위험을 100% 없애기는 어렵다.

현재로선 비밀번호를 자주 바꾸는 것이 최선의 방법"이라고 말했다.

-조선일보, 2012/6/4