"결제창인줄 알았는데"…온라인 쇼핑몰서 카드정보 5707건 털려

(서울=뉴스1) 박현영 블록체인전문기자 = 국내 온라인 쇼핑몰 결제 과정에 실제 결제 화면과 유사한 피싱 페이지가 삽입돼 신용카드 정보가 대거 탈취된 정황이 확인됐다.

금융당국은 현재까지 카드 정보 5707건이 유출된 것으로 파악하고 카드사들과 함께 부정결제 차단. 카드 재발급 등 긴급 대응에 나섰다.

5일 금융감독원에 따르면 금융보안원은 최근 국내 일부 온라인 쇼핑몰을 대상으로 한 해킹·피싱 공격으로 신용카드 정보가 탈취된 정황을 확인하고 관련 내용을 금감원에 통보했다.

구체적으로는 지난달 29일 기준 총 5707건의 카드정보가 전문적인 카드 정보 탈취 조직에 의해 유출됐다.

공격 조직은 보안이 취약한 일부 온라인 쇼핑몰을 해킹해 카드 결제 과정에 실제 결제 화면과 유사한 피싱 페이지를 삽입하는 수법을 사용했다.

피싱 페이지는 결제를 위해 필요한 정보인 것처럼 이용자를 속여 카드번호, 유효기간, CVC뿐 아니라 정상적인 카드 결제에서는 요구하지 않는 신용카드 비밀번호 전체와 주민등록번호 등 과도한 개인정보를 입력하도록 설계됐다.

공격자는 카드 정보를 탈취한 뒤 '결제 오류' 등의 안내창을 띄우고 정상 결제 페이지를 다시 호출했다. 이용자가 결제 정보를 다시 입력하면 결제가 정상적으로 완료되기 때문에 소비자가 피싱 피해 사실을 인지하기 어려웠다는 게 금감원의 설명이다.

탈취된 카드 정보는 부정결제에 악용될 가능성이 매우 높다. 특히 카드 비밀번호와 개인정보가 함께 유출된 경우, 동일한 비밀번호를 사용하는 다른 사이트에서도 무단 로그인이나 추가 정보 유출 등이 발생하는 '크리덴셜 스터핑(Credential Stuffing)' 공격에 노출될 수 있다.

이에 금감원은 금융보안원, 카드사와 공조 체계를 구축해 대응하고 있다. 금융보안원은 탈취된 카드 정보를 카드사에 전달해 부정결제 시도를 차단하도록 지원하고 있으며, 카드사들은 정보 탈취 고객을 대상으로 개별 안내와 카드 재발급, 부정결제 차단 등 소비자 보호 조치를 시행하고 있다.

소비자들의 주의도 당부했다. 금감원은 온라인 쇼핑몰에서 카드 결제 시 전체 주민등록번호나 전체 카드 비밀번호 등 과도한 개인정보 입력을 요구하면 피싱을 의심해야 한다고 경고했다.

또 온라인 쇼핑 후 카드 정보 유출이 의심될 경우 즉시 카드사에 카드 사용 정지와 재발급, 비밀번호 변경을 신청해야 한다고 강조했다. 카드사의 부정 사용 의심거래 알림도 반드시 확인해 추가 피해를 막아야 한다고 덧붙였다.

아울러 비대면 금융사고가 발생하면 즉시 경찰청 112 통합신고센터에 신고한 뒤 사건사고사실원 등을 준비해 카드사에 배상을 신청해야 한다고 안내했다.

hyun1@news1.kr