스마일페이 뚫린 G마켓...이커머스 간편결제 서비스 ‘적신호’[이커머스 보안 쇼크]

외부 유출 계정으로 스마일페이 무단 결제
플랫폼 자체 간편 결제 시스템 보안 점검 불가피
간편 결제, 원아이디, 인증 토큰 등 보안 체계가 흔들

▲G마켓 앱 사용 이미지 (사진제공=G마켓)

쿠팡의 대규모 개인정보 유출 사태에 이어 G마켓에서 ‘무단 결제’ 피해가 발생하면서 이커머스업계 전반의 위기감이 고조되고 있다. 무엇보다 G마켓 사건은 해당 이커머스가 자체 운영 중인 페이 서비스를 통해 발생한 터라, 개인정보 유출에 더해 이커머스 간편결제 시스템 전반에 대한 점검 필요성이 커지고 있다.

3일 이커머스업계에 따르면 지난달 29일 G마켓 이용자 60여 명은 G마켓 모바일상품권 무단결제 사고를 당했다며 금융감독원에 신고했다. 외부 공격자가 무단으로 계정에 등록된 간편 결제서비스인 ‘스마일페이’를 통해 기프트 상품권(금액 상품권)을 결제한 것으로 추정된다.

G마켓은 이번 사건이 내부 해킹이 아닌 외부 침입에 따른 사고란 입장이다. 외부에서 탈취된 계정 정보로 부정 결제가 이뤄졌다는 것. 자사의 내부 보안 문제가 아니라면 간편결제 비밀번호 등의 유출 경로가 핵심 쟁점이다. 금융감독원은 이와 관련해 정확한 사실관계를 확인 중이며 G마켓도 문제 인지 즉시 긴급점검을 실시했고 수사에도 협조 중이다.

G마켓 사례는 플랫폼 자체의 개인정보 유출은 아니지만, 외부에서 탈취된 계정 정보만으로 내부 간편결제 시스템이 악용됐다는 점에서 소비자 불안감은 더 크다.

문제는 쿠팡도 간편결제 시스템을 쓰고 있다는 점이다. '쿠팡페이'로 결제할 경우 별도 비밀번호 없이 결제 화면상 드래그 바를 밀기만 하면 결제가 끝난다. 쿠팡에서 유출된 개인정보가 무단으로 활용될 경우, 쇼핑몰-금융 서비스가 연동된 시스템으로 금융 계정이 뚫리는 보안 사고 뿐만 아니라 간편결제 시스템에 따른 실제 피해 규모가 더 커질 수 있다는 우려가 나오는 이유다.

이커머스업계도 촉각을 곤두세우며 만약의 사태를 대비하는 모습이다. 업계 한 관계자는 “작년부터 통신사 등에서 대규모 유출 사태가 계속 되면서 이커머스 보안 강화 필요성도 커지고 있다"면서 "이번 쿠팡 사태로 내부 통제를 더 강화해야 한다는 분위기”라고 전했다.

신세계그룹 계열 SSG닷컴은 지난달 26일부터 해외‧새로운 환경 로그인 알림 대상을 ‘로그인 알림 미동의’까지 확대 적용하고 비밀번호 변경 캠페인을 시작했다. 이커머스 해킹 피해 악용 스미싱‧피싱 주의사항을 담은 공지사항도 게시했다. SSG닷컴 관계자는 “정기, 수시 점검에 더해 내부 통제를 지속 강화하고 있다”고 전했다.

11번가도 이번 쿠팡 사태로 서버 및 DB 접속 이력에 대해 재점검에 돌입했다. 11번가는 고객의 개인정보가 분실, 도난, 유출, 변조 또는 훼손되지 않도록 암호 알고리즘으로 암호화해 저장하며, 네트워크 상 송수신 시에도 안전한 암호화 알고리즘으로 전송하고 있다. 보안관제전문서비스를 통해 24시간 365일 침해 위협도 모니터링하고 있다.

특히 양사는 G마켓 사태를 대비해 자체 간편결제 시스템 보안도 강화하고 있다. 11번가는 결제 정보 고객의 배송 정보와 결제정보 DB를 분리 관리하며 개인정보처리시스템의 대량 조회 기록을 상시 점검하고 있다. 서버와 DB의 경우 과다 사용 이력, 허용되지 않은 접속 시도에 대해 상시 점검 중이다. SSG닷컴은 개인정보 및 결제‧금융정보는 외부접근 불가능한 서버에서 분리 보관 중이며, 결제 과정 전반에 대해 상시 점검과 보안 체계를 강화하고 있다고 밝혔다.

쿠팡 사태로 ‘인증 토큰’ 실효성에도 의구심이 제기되고 있지만, 대부분의 이커머스는 인증 토큰 사항은 보안과 직결되는 터라 외부에 상황을 공개할 수 없다는 입장이다.

전문가들은 실질적 리스크 관리가 중요해졌다고 입을 모은다.

황석진 동국대 국제정보보호대학원 교수는 “접근 권한을 단계별로 나눠 제한하고 접근 시도에 대한 점검을 강화하는 등 접근권한 부여‧회수 절차, 상시 로그 점검, 이상행위 탐지 등의 내부 통제가 중요하다”며 “정부도 ISMS-P 이상 인증 사업자 대상 현황 점검 및 인증 업그레이드 등에 적극적으로 나서야 한다”고 전했다.

또 금융정보 피해로 확산하는 것에 대해 “시간이 소요될 수 있지만, 데이터 분리 보관이 중요하고 간편 결제 시스템에도 경각심이 필요한 상황”이라고 덧붙였다.