금감원, 지난 7일부터 검사… 현장검사로 전환
토스 "마스킹 처리된 카드번호, 승인번호 등 영수증 수준"
토스의 PG(전자지급결제대행) 자회사인 토스페이먼츠 가맹점에서 결제 정보가 유출돼 금융당국이 검사에 착수했다. 2600여명의 4000여건 정보가 유출됐는데 토스 측은 비밀번호·유효기간·CVC 등 민감한 결제 정보는 포함되지 않았다고 밝혔다. 금융당국은 유출 규모 등 구체적인 사실관계를 파악 중이다.
9일 금융당국에 따르면 금융감독원은 지난 7일부터 PG 업체인 토스페이먼츠와 코엠페이먼츠를 대상으로 점검을 진행했으며 이날부터 현장 검사로 전환했다.
당초 해킹으로 인해 카드 정보 등이 유출됐다고 알려졌으나 토스 측은 시스템 해킹이나 취약점 공격으로 사고가 발생한 건 아니라고 밝혔다. 당사 PG 서비스를 이용하는 특정 가맹점 1곳의 웹사이트에서 인증정보(연동키)가 노출돼 있었고, 제3자가 이를 이용해 결제연동 플랫폼에서 추가 정보를 수집한 후 해당 가맹점 결제 내역을 조회한 건이라고 회사는 설명했다. 또 토스 시스템에 대한 침입 시도는 확인되지 않았다고 덧붙였다.
정보가 노출된 곳은 가맹점 1곳으로 알려졌다. 지금까지 확인된 정보 유출 규모는 결제 건수 4131건이다. 정보 유출 피해자 수는 2671명이며 전원에게 관련 사실이 통지됐다. 토스는 유출된 정보가 자사 계열사나 앱(애플리케이션) 이용 고객과는 관련이 없다고 했다.
토스는 유출된 정보가 마스킹 처리된 카드번호, 승인번호 등 영수증 수준이며 해당 정보만으로는 추가 결제나 결제 취소가 불가능하다고 설명했다. 카드 비밀번호나 유효기간, CVC 등 결제에 필요한 정보는 포함되지 않았다. 현재까지 확인된 부정 결제 등 피해 사례는 없는 것으로 알려졌다.
토스는 "법령에 따른 대상 고객 통지와 금융감독원, 금융위원회 보고를 완료했다"며 "현재 진행 중인 검사에도 성실히 협조하고 있다"고 밝혔다.
금융당국은 현장 검사에서 유출 정보와 규모 등 정확한 피해 실태를 점검할 예정이다. 금감원 관계자는 "중간 가맹점 쪽에서 유출된 게 맞는지 사실관계를 따지고 있고, 해외 부정 결제나 도용은 파악하기로는 아직 없다"며 "어느 정도 규모로, 어떻게 유출됐는지 파악하고 있는 단계"라고 말했다.
