토스페이먼츠 가맹점 결제정보 유출…금감원 검사 착수

연동키 노출로 2671명 정보 영향…시스템 직접 침입은 없어
금감원, 코엠페이먼츠와 함께 현장점검서 검사 전환

(사진제공=토스페이먼츠)

토스페이먼츠의 결제대행(PG) 서비스를 이용하는 특정 가맹점에서 고객 결제정보가 제3자에게 조회된 것으로 확인됐다. 금융감독원은 토스페이먼츠에 대한 현장점검을 검사로 전환했다.

토스페이먼츠는 특정 가맹점 한 곳의 웹사이트에서 사용하는 결제연동플랫폼 인증정보인 ‘연동키’가 노출돼 제3자가 해당 가맹점의 결제내역을 조회한 사실을 확인했다고 9일 밝혔다. 토스페이먼츠 자체 시스템에 대한 해킹이나 취약점 공격, 침입 시도는 확인되지 않았다.

영향 범위는 해당 가맹점의 결제 4131건으로, 정보주체는 2671명이다. 토스페이먼츠는 대상자 전원에게 관련 사실을 통지했다. 다른 가맹점의 결제정보와 토스 앱, 계열사 서비스·고객 정보는 이번 사안과 관련이 없다고 설명했다.

조회된 정보는 구매자 성명과 마스킹 처리된 카드번호, 승인번호 등 영수증 수준의 결제내역이다. 카드 비밀번호와 유효기간, CVC 등 실제 결제에 필요한 정보는 포함되지 않았다.

토스페이먼츠 측은 해당 정보만으로 추가 결제나 결제 취소는 불가능하며 현재까지 확인된 부정결제 피해 사례도 없다고 설명했다. 또한 다른 가맹점의 결제정보와 토스 앱, 계열사 서비스·고객 정보는 이번 사안과 관련이 없다고 설명했다.

금감원은 7일부터 토스페이먼츠와 코엠페이먼츠를 대상으로 현장점검을 진행한 뒤 이날 현장검사로 전환했다. 점검 과정에서 유출 정보가 신용정보에 해당할 가능성이 있다고 판단한 데 따른 것이다. 코엠페이먼츠에서도 카드번호와 유효기간 등 일부 고객정보가 유출됐을 가능성이 제기됐다.

금감원은 두 업체의 정보 침해 경위와 고객정보 보유·관리, 보호조치의 적정성 등을 들여다볼 방침이다.

토스페이먼츠 관계자는 “사실 확인 직후 해당 접근 경로를 차단하고 전체 접속 기록을 분석해 영향 범위를 파악했다”며 “금융당국에도 관련 사실을 보고했으며 현재 진행 중인 검사에 협조하고 있다”고 말했다.