[프리미엄 리포트]카드 긁는 순간, CVC번호까지 암시장으로 빠져나가

[대한민국 온갖 정보 다 샌다]정보유출 더 큰 구멍 ‘결제대행업체’

크게보기

신용카드 개인 정보 유출로 ‘2차 피해’를 당했다는 의심 신고가 잇따르고 있는 가운데 카드사의 결제 대행 업체(밴·VAN·Value-Added Network) 대리점과 가맹점의 결제 단말기 등 ‘카드가 긁히는 곳’이 정보 유출의 진원지로 지목되고 있다. 보안이 허술한 밴 대리점이나 판매점 등을 통해 가랑비에 옷 젖는 식의 정보 유출이 지속되고 있다는 것이다.

카드번호, 유효기간은 물론이고 CVC 번호(카드 뒷면에 적힌 세자리 숫자의 유효성검사코드)까지 이 경로로 빠져나가 브로커 손에 들어가고 있다. 이렇게 흘러나온 다수의 개인 정보는 이미 수년 전부터 중국 등을 중심으로 상시 유통되고 있어 범죄 등에 이용될 우려도 크다.

○ 정보 유출의 표적, 밴 대리점

24일 서울 마포구의 밴 대리점 ○○시스템. ‘김△△씨, ××마트, 7만5000원’ 등의 개인 결제 정보가 한눈에 드러나는 카드전표 뭉치들이 책상 여기저기에 별다른 포장 없이 쌓여 있었다. 가맹점 주인들의 신분증, 사업자등록증 등의 사본 역시 문 열린 캐비닛에 보관돼 있었다. 이 대리점 대표는 “최근 수수료 수입이 줄고 경쟁이 심해지다 보니 일부 대리점은 고객 정보와 인근 상점 정보를 팔기도 한다”라고 털어놨다.

이번 사건에서는 대형 카드사에서 정보가 대규모로 새 나갔지만 시중에 유통되는 불법 개인 정보의 상당 부분은 가맹점과 밴 대리점 등에서 빠져나간 것이라는 게 금융 당국의 판단이다. 전국 230만 개의 가맹점과 3000여 곳의 밴 대리점이 카드번호, 유효기간 등 민감한 금융 정보를 ‘암호화’ 등의 보안 조치를 하지 않은 채 단말기 등을 통해 관리하고 있기 때문이다.

소비자가 카드를 긁으면 정보는 ‘가맹점→밴 대리점→밴사→신용카드 업체’로 전송된다. 박성원 한국신용카드밴협회 사무국장은 “별다른 등록 절차 없이 밴사와 계약만 하면 돼 직원 1, 2명만 둔 영세한 대리점이 많다. 최근에는 중국 동포들도 이 사업에 뛰어들고 있다”라고 말했다.

○“무작위로 소수의 정보 골라 빼는 게릴라 수법도”

밴 대리점은 가맹점에서 들어오는 매출전표만 모아도 개인고객 정보 데이터베이스(DB)를 만들 수 있다. 가맹점 직원이 단말기를 조작하거나 해커가 단말기에 침입해 정보를 빼내기도 한다. 신용카드 위·변조 사고의 절반 이상이 단말기 해킹을 통해 빼낸 정보로 발생한 사고라는 게 당국의 설명이다. 보안 업계 관계자는 “과거에는 고객 정보를 통째로 빼돌리는 경우가 많았지만 최근에는 여러 곳에서 소규모 정보를 빼내는 ‘게릴라식’으로 유출이 이뤄져 적발이 쉽지 않다”고 말했다.

전국에 보급된 포스 단말기는 약 40만 대. 약 500여 개의 소규모 중소기업이 단말기를 만들고 일부는 중국 등에서 수입한다. 금융 당국은 단말기가 어떻게 유통·관리되는지 실태조차 제대로 파악하지 못하고 있다. 국내 230만 개 가맹점 단말기 중 복제가 거의 불가능하고 보안 성능이 뛰어난 집적회로칩(IC) 단말기는 전체의 40% 미만이다.

최근에는 카드사와 정보 제휴를 맺은 여러 업체에서 정보가 새 나간다는 지적도 있다. 카드 한 장에 담긴 개인 정보가 100∼150여 개 업체와 공유되기 때문에 제휴 업체들이 정보 유출의 표적이자 온상이 되기 쉽다. 여러 곳에서 나온 각각의 정보들은 ‘매핑(mapping)’으로 불리는 재편집 작업을 통해 신용카드 정보와 최신 전화번호, 주민등록번호 등이 결합된 고급 정보로 바뀐다.

금융 당국도 밴 대리점과 결제 단말기의 문제점을 알고 있지만 수년째 이렇다 할 대책을 내놓지 못하고 있다. 카드사와 달리 밴사 및 밴 대리점은 전기통신사업법에 따른 부가사업자이기 때문에 금융 당국의 행정지도를 받지 않는다. 금융감독원은 단말기를 통한 카드 부정 사용을 막겠다며 2010년 보안 강화 조치를 내놨지만 관리 감독이 제대로 이뤄지지 않아 흐지부지됐다.

이상훈 january@donga.com·정임수 기자