“챗GPT인줄 몰라 못 막았다”는 카드사⋯FDS 사각지대 찌른 ‘봇 공격’ 방치

수천 건의 무단 결제가 고속도로 뚫리듯 승인되며 4억원대의 피해액을 낳은 이번 사태를 두고 국내 신용카드사들의 이상거래탐지시스템(FDS)이 무력화됐다는 지적이 제기된다. 그러나 카드업계는 결제망 구조의 한계를 탓하며 책임을 회피하고 있다. 진화하는 명의 도용 무단결제와 AI 등 해외 플랫폼 구독 증가에 따라 금융권의 FDS 가이드라인을 강화해야 한다는 비판의 목소리가 커지고 있다.

11일 본지 취재 결과 개별 카드사들은 이번 4억원대 대규모 도용 사태를 초기에 인지해 브레이크를 걸지 못한 이유에 대해 전산망의 한계를 전면에 내세웠다. 한 카드사 관계자는 “해외 가맹점인 오픈AI가 국내 PG사(나이스페이)의 대표 가맹점 계정 밑으로 들어와 결제를 태우는 방식을 썼다”며 “이 경우 카드사 실시간 승인 전산에는 ‘나이스정보통신’이라는 대행사 이름만 찍힐 뿐 ‘오픈AI’라는 개별 하위 가맹점 코드가 즉시 인지되지 않아 이상 거래를 필터링하는 데 구조적 시차가 발생할 수밖에 없었다”고 말했다.

그러나 보안 전문가들은 카드사의 이러한 해명이 기술적 사각지대를 구조적 한계를 드러낸 해명에 불과하다고 꼬집는다. 박기웅 세종대학교 정보보호학과 교수는 “현재 국내 금융권이 적용하고 있는 FDS 알고리즘은 철저히 특정 개인이 과거에 쓴 소비 이력 평균치와 비교해 차단하는 ‘개인 중심 규칙’에 갇혀 있다”며 “이번 사태처럼 자동화된 매크로 봇을 들고 동일한 금액(29만9000원)을 전국의 수많은 카드 계정으로 짧은 시간 안에 동시다발적으로 쏘아 올리는 연쇄 공격은 개인 이력의 범주를 허물어야 한다”고 지적했다.

박 교수는 이어 “카드사가 거시적이고 전체적인 관점에서 금액적·공간적 유사성 ‘패턴’을 탐지하는 룰을 세워뒀다면 가맹점 이름과 상관없이 초기에 막을 수 있었을 것”이라며 “공격자들은 자동화 기술로 진화하는데 금융권 방어선은 구시대적 규칙에 묶여 있다”고 비판했다.

더 큰 문제는 이번 무단 결제 성공으로 인해 피해 소비자들의 금융 정보가 블랙마켓에서 ‘A급 매물’로 가치가 급등할 수 있다는 점이다. 최병호 고려대학교 휴먼인스파이어드 AI연구원 연구 교수는 “피해 소비자들이 나이스 측으로부터 환불을 빨리 받거나 신규 결제를 차단하는 게 핵심이 아닌 수준”이라며 “이번 사태로 유효성이 증명됐기 때문에 향후 블랙마켓에서 끊임없이 활용될 수 있다”고 말했다.

금융감독원은 이번 사태의 심각성을 인지하고 즉각적인 실태 파악과 제도 개선에 나서겠다는 방침을 밝혔다. 금융감독원 고위 관계자는 본지와의 통화에서 “이번 사태와 관련해 FDS 등 카드사가 안일하게 대응한 부분이 있는지 점검하고 FDS 룰을 보완하겠다”고 말했다.