안심못하는 신용카드 ''안심클릭''…수천건 해킹

[노컷뉴스 제공] 신한과 삼성ㆍ현대ㆍ롯데 등 국내 4개 신용카드를 이용하는 고객들의 온라인 결제 정보가 해킹으로 유출돼 지금까지 확인된 것만 수억원대의 부정 결제 피해가 발생하고 있는 것으로 드러나 충격을 주고 있다.

오프라인에서사용된 신용카드를 복제한 뒤 부정 사용하는 사례가 기승을 부리고 있는 가운데 이번에는 온라인 '안심클릭' 시스템까지 뚫린 것이어서 문제의 심각성을 더해주고 있다.

경찰은 카드사들과 함께 고객정보 유출 경위와 피해 규모를 파악하는 등 수사에 나섰지만, 중국에 본거지를 두고 있는 것으로 추정되는 해커 일당을 추적하는 데 어려움을 겪고 있다.

'안심클릭' 해킹…확인된 피해 금액만 1억7천만원에 달해

25일 경찰과 카드업계 등에 따르면 신한ㆍ삼성ㆍ현대ㆍ롯데카드 등 4개 카드사의 상당수 고객들이 지난해 10월부터 최근까지 지속적으로 신용카드 부정결제 피해를 당하고 있는 것으로 확인됐다.

누군가 신용카드 고객의 정보를 빼내 온라인에서 마구잡이로 사용하고 있는 것이다.

이같은 피해는 지난해 10월부터 간간이 이어지다 지난 2일부터는 약 열흘 동안 하루 수백건씩 연이어 발생했고 최근까지도 하루에 2, 3건씩 계속되고 있다.

지난 22일 기준으로 4개 카드사에서 130개 신용카드가 부정결제에 이용된 것으로 파악됐으며 피해 건수는 1천800여 건, 피해 금액은 약 1억 7천만 원에 달했다.

그런데 이들 4개 카드사의 공통점은 온라인 구매 인증에 사용되는 결제용 보안프로그램으로 '안전결제(ISP)'가 아닌 '안심클릭' 방식을 사용한다는 것이다.

삼성과 현대 등 비은행권 신용카드 결제에 주로 쓰이는 안심클릭은 온라인 거래 때 결제금액이 30만 원 미만이면 활용하는 것으로, 고객이 미리 설정한 '안심클릭 비밀번호'와 카드 뒷면 숫자 중 마지막 3자리인 'CVC(카드인증코드)번호'(카드사에 따라 CVV번호)를 차례로 입력하는 방식으로 결제가 이뤄진다.

역으로 카드번호와 안심클릭 비밀번호, CVC 번호만 알면 온라인에서 아무런 제약없이 신용카드를 사용할 수 있는 것이다.

피해를 당한 한 카드사 관계자는 "컴퓨터 바이러스를 이용한 해킹으로 카드 고객의 이메일 보관함이나 컴퓨터 등에서 안심클릭 비밀번호 등 관련 정보가 직접 빠져나간 것으로 추정된다"고 밝혔다.

신용카드 정보를 유출당한 피해자들이 사는 지역과 연령대가 제각각이어서 공통점을 찾을 수 없고, 카드사와 전자지불(PG) 대행회사 서버에 외부로부터 침입한 흔적이 전혀 남지 않았다는 이유에서다.

안심클릭의 경우 온라인 쇼핑사이트가 아닌 PG사의 서버를 통해 결제가 진행되므로 다른 경로를 통한 정보 유출은 원천적으로 차단돼 있다는 것이 카드업계의 설명이다.

부정결제, 온라인 게임사이트에 집중

그런데 피해자들의 신용카드는 특이하게도 온라인 게임머니와 아이템을 구매하는데 집중적으로 사용됐다. 카드정보를 빼돌린 일당이 실물 거래와는 달리 비교적 현금화가 쉽다는 점을 노렸기 때문으로 추정된다.

신용카드로 구입한 게임 아이템들을 온라인 거래 사이트에서 바로 되팔면 손쉽게 현금을 확보할 수 있기 때문이다.

D 온라인게임 사이트의 경우 약 400건의 부정결제로 시가 3천800만 원 상당의 게임머니와 아이템이 구매됐으며, N과 M 등 다른 온라인게임에서도 수백건의 안심클릭 부정결제가 이뤄졌다.

카드업계 관계자들은 "아이템 거래 중개 사이트에서는 대부분 현금 10만 원 단위의 게임 머니와 아이템이 거래된다"며 "온라인 쇼핑몰에서 물건을 구입한 뒤 이를 팔아 현금화하는 번거로운 방법을 피하고 클릭만으로도 현금을 확보할 수 있다는 점을 이용한 것으로 보인다"고 말했다.

중국발 해킹으로 추정…수사 난항

피해 업체들의 제보에 따라 수사에 착수한 경찰은 중국에 본거지를 둔 일당이 개인 컴퓨터에 저장된 신용카드 정보를 직접 해킹한 뒤 아이템 거래 사이트에서 부정결제하는 수법으로 돈을 빼돌리는 것으로 보고 있다.

지난해 12월 서울지방경찰청이 적발한 중국인 해커 일당도 개인 이메일과 컴퓨터 등에 보관하고 있던 금융계좌 비밀번호와 보안카드 정보를 해킹하는 수법으로 4억4천만 원을 가로챈 바 있다.

중국 현지에서 컴퓨터 해킹으로 안심클릭 정보를 유출해 온라인 게임거래 사이트에서 결제를 하면 국내에 미리 들어와 있던 다른 일당이 이를 현금화한 뒤 '환치기' 를 통해 중국으로 돈을 송금하는 수법이다.

또한 경찰은 안심클릭 정보 해킹이 기존 개인정보유출사건과 연관이 있거나 PG사의 서버 등 다른 경로에서 유출됐을 개연성도 배제할 수 없다고 보고 정보가 유출된 경위를 파악하고 있다.