관련 통계자료 다운로드 신용카드 데이터 보호 국제표준 검증 가이드라인
“A씨는 인터넷쇼핑몰이나 결제처리업체(PG)를 해킹해 이용자의 카드번호와 비밀번호 등을 수집한 뒤 온라인 카드 결제로 사이버 머니를 구입해 이를 현금으로 바꾸는 범행을 저질렀다. 쇼핑몰 등에 저장된 카드번호는 16자리중 일부분을 가려놓았지만 여러 곳에서 동일인의 카드번호를 해킹한 뒤 조합하니 16자리 전체 숫자를 맞출 수 있었다. 비밀번호는 대부분 하나를 여러 사이트에서 돌려쓰기 때문에 쉽게 알아냈다.”
신용카드 가맹점이나 PG들이 이용고객의 결제처리가 끝난 뒤에도 개인의 결제정보를 저장해 놓는 경우가 많아 이로 인한 피해가 끊이지 않고 있다.
22일 비자카드 등에 따르면 비자·마스타·JCB·아메리칸 익스프레스 등 주요 카드 브랜드사가 이로인한 피해를 막기 위해 보안표준협의회(PCI)를 결성, 신용카드 데이터 보호에 나서고 있으나 국내에선 PG와 VAN 등 결제정보 처리업체 6곳이 1단계 자가진단을 받았을 뿐 외국에 비해 도입이 미진한 것으로 나타났다.
PCI의 데이터보안표준(DSS)은 비자, 마스타 등이 각기 운영해온 AIS, SDP 등의 보안프로그램을 통합해 지난 2006년 신설한 표준으로 신용카드 데이터 보호와 네트워크 보안을 위해 △자가진단 △취약점 분석 △보안실사의 3단계를 거치도록 하고 있다.
이 표준은 가맹점 등이 신용카드 정보를 불필요하게 저장하지 못하도록 하고 카드번호와 회원이름, 유효기간에 한해 불가피한 경우 암호화해 저장하도록 규정하고 있다. 특히 민감한 정보인 자기띠 데이터, CVV(카드 뒷 면의 코드), 비밀번호 등은 저장이 불가능 하다.
하지만 아시아 태평양 지역을 대상으로 조사한 결과 전체 가맹점중 65%, 결제대행업체중 71%가 지불결제 데이터를 불필요하게 저장하고 있는 것으로 나타나 대책 마련이 시급한 상황이다.
그럼에도 불구하고 국내에선 표준 준수 대상인 17개 PG, VAN사중 6곳 만이 첫 단계인 자가진단을 거쳤고 가맹점중엔 연간 거래건수가 600만 건 이상인 온라인쇼핑몰 등 6곳중 단 한 곳도 이 표준을 준수하지 않았다. 비자카드측은 17개 PG 및 VAN사와 6개 가맹점을 대상으로 올해 안에 세 단계를 모두 마치지 않으면 페널티를 부여하는 방안을 검토하는 한편 무료 검증툴을 제공하는 등 PCI 표준 확산에 적극적으로 나서고 있다.
비자카드 관계자는 “서비스를 이용중인 가맹점과 결제대행 업체중 60%가 심각한 취약성을 가지는 것으로 조사됐다”며 “미국, 일본, 싱가포르 등의 경우 정보유출에 의한 사고발생시 가맹점에 책임을 지우는 등 환경변화로 PCI가 상당한 비율로 확산됐지만 국내에선 도입 속도가 더디다”고 말했다.
한편 신종 전자금융 범죄 예방 대책을 내놓고 있는 금융감독원은 △인터넷 결제시 본인인증 강화 △개인정보 보호위한 홍보 강화 △인터넷 신용카드 결제시스템 보완 사항을 금융기관에 통보 △IC칩 카드 이용확대 등을 신용카드 사고방지 대안으로 제시하고 있다. 김용석기자@전자신문, yskim@