POS단말기-보험대리점… 등잔밑부터 잠가라

[핀테크시대 정보보안]<5·끝>주변에 도사리는 보안사각지대

서울 시내의 한 커피숍에서 매장 직원이 포스 단말기를 조작하고 있다. 포스 단말기는 신용카드로 결제한 고객들의 정보가 그대로 입력돼 있어 정보보안에 취약하다는 지적을 받고 있다. 동아일보DB

커피전문점, 편의점 등 신용카드 가맹점에 설치된 판매시점정보관리(POS·포스) 단말기에는 매일 수백 건의 카드 결제정보가 담긴다. 이런 사실을 눈여겨본 해커 박모 씨(36)와 이모 씨(37)는 지난해 1월 한 포스 단말기 관리업체의 서버를 해킹해 악성코드를 심었다.

그러고는 이 업체가 관리하는 포스 단말기 85대에서 신용카드 비밀번호 등 총 38만 건의 결제정보를 빼냈다. 포스 단말기들이 단말기 관리업체와 인터넷 선으로 연결돼 있기에 가능한 일이었다. 박 씨와 이 씨는 이 결제정보들을 이용해 신용카드를 복제하거나 정보를 팔아넘겨 1억2000만 원을 챙겼다.

지난해 1월 카드사 정보유출 사고 이후 카드사를 비롯해 은행, 보험사 등 대형 금융회사들은 정보보안에 사활을 걸고 온갖 보완책을 마련했다. 그 결과 대형 금융회사들의 정보보안은 어느 정도 업그레이드가 됐지만 여전히 범죄집단에 노출된 정보보호 사각지대가 적지 않다.

카드 가맹점의 포스 단말기는 대표적인 보안 사각지대로 꼽힌다. 금융당국은 올해 안에 마그네틱 신용카드를 해킹과 복제가 어려운 집적회로(IC)칩 카드로 교체하고 가맹점 단말기를 IC 단말기로 전환한다는 목표를 세우고 있다.

전문가들은 가맹점 단말기를 바꿔도 기존 단말기처럼 고객들의 신용정보가 그대로 입력돼 있으면 언제라도 해커들의 공격을 받을 수 있으므로 신용정보를 암호화해야 한다고 지적한다.

카드사와 가맹점 사이에서 결제대행을 해주는 밴(VAN)사의 정보보안이 취약한 것도 문제로 지적된다. 밴사는 카드번호와 유효기간, 결제정보처럼 중요한 신용정보를 모두 가지고 있는데도 민감한 금융정보를 암호화하는 등의 보안조치는 취하지 않고 있다. 정부는 7월부터 밴사에 대해 금융위원회에 의무적으로 등록하도록 하고 정보보호를 위한 조치를 하지 않을 경우 5000만 원 이하의 과징금을 부과하기로 했다.

금융소비자연맹 강형구 국장은 “대형 밴사에 대한 관리 감독만 할 것이 아니라 영세한 밴사에서 금융정보가 유출되는 문제에 대해서도 대책이 마련돼야 한다”며 “밴사를 통해 정보가 유출될 경우 지금은 밴사 혼자 책임을 지고 있지만 카드사들이 공동 책임을 지도록 해야 한다”고 말했다.

보험업계에서는 보험대리점이 정보보호의 취약한 고리로 꼽힌다. 보험대리점은 보험상품을 판매하면서 수많은 고객정보를 수집하고 있지만 보안 수준은 대형 보험사에 비해 취약하다. 지난해 카드 정보유출 사태 이후 대리점들은 보험사 서버에 접속해 고객의 계약 리스트를 내려받거나 캡처할 수 없고 조회와 입력만 할 수 있다. 하지만 대리점이 상품을 판매하며 직접 수집한 고객 정보를 따로 저장해 놓거나 출력해 보관하는 문제까지 감독당국이 관리하는 건 사실상 불가능하다.

보험대리점을 관리하는 한 보험사 영업담당 직원은 “영세한 보험대리점에 가보면 고객 정보 명단이며 계약서 사본이 사무실에 굴러다니기도 한다”고 전했다. 보험업계 관계자는 “보험대리점에 대한 보안 규정이 예전보다 강화된 것은 사실이지만 영세한 규모의 대리점이 고객정보보호 전담조직을 설치하거나 새로운 보안시스템을 구축하기는 쉽지 않다”고 말했다.

백연상 baek@donga.com·신민기 기자