우리은행과 지역 농협 등의 현금카드 위조사건은 ‘카드가 없어도 계좌번호와 비밀번호 등만 알면 위조할 수 있다’는 점에서 충격적이다.
고객도 모르는 사이에 전문 위조단이 현금카드를 위조해 계좌에서 돈을 빼내간 것이다.
도대체 어떻게 이런 일이 가능할까.
전문가들은 이번 사고가 금융회사들이 고객 정보를 허술하게 관리한데다 현금카드 방식을 제때 업그레이드하지 않아 발생한 ‘예견된 사고’라고 설명한다.
지역 농협은 위조하기 쉬운 오래된 현금카드 방식을 고집하면서 사고를 불렀다.
계좌번호와 비밀번호를 암호화하지 않고 입력한 구형 현금카드는 마그네틱띠(MS)에 입력되는 고객정보 몇 가지만 알면 쉽게 위조할 수 있다.
시중에서 구할 수 있는 MS 제작기(writer)를 PC에 연결해 놓고 PC에 ‘데이터 인코더’ 소프트웨어를 설치한다. 이 소프트웨어에서 카드 제작에 필요한 계좌번호 등의 정보를 입력한 뒤 ‘전송’ 버튼을 누르면 MS카드에 자료가 입력돼 새로운 현금카드가 탄생한다.
그러나 이 카드도 비밀번호가 없으면 사용할 수 없다. 농협은 위조단이 고객들이 버린 청구서나 어깨너머로 비밀번호를 입수했다고 하지만 수십명의 비밀번호가 새나간 상황에서는 설득력이 떨어진다.
전문가들은 금융기관의 비밀번호 관리체계에 문제가 있다고 지적한다.
은행은 지점별로 고객 비밀번호를 조회할 수 있는 전산 ID를 한 개씩 부여한다. 이 ID는 자신의 비밀번호를 잊어버린 고객을 위한 것이지만 마음만 먹으면 얼마든지 외부로 유출할 수 있다.
구형 현금카드를 쓰던 시중은행들은 1998년 말 위조 가능성이 있다는 사실을 알고 고객 정보를 암호화해 입력한 신형 현금카드로 교체했다. 따라서 계좌번호와 비밀번호만으로는 위조할 수 없다.
카드업체 관계자들은 “오래 전 구형 현금카드를 발급받은 고객들은 신형 카드로 바꾸는 게 좋다”고 말했다.
하지만 우리은행의 경우에서 보듯이 신형 현금카드라고 모두 안전한 것은 아니다.
직원이 위조에 필요한 정보를 유출할 수 있기 때문이다. 우리은행측은 계좌번호와 비밀번호에 카드 발급일자 등 추가 정보가 유출돼 카드 위조에 사용됐다고 설명한다.
우리은행 관계자는 “시중은행의 현금카드 보안 수준은 대부분 비슷하다”면서 “다른 은행의 현금카드도 위조가 가능하다”고 말했다.
반면 신용카드는 현금카드와 달리 국제표준에 따라 엄격하게 암호화해 관리되기 때문에 마그네틱띠를 읽어 ‘복제’할 수는 있어도 실물 없이 위조하기는 거의 불가능하다고 전문가들은 말한다.
신치영기자 higgledy@donga.com
나성엽기자 cpu@donga.com
▼관련기사▼
- 오래된 카드 '마그네틱 정보' 쉽게 위조