밴사ㆍ가맹점에 `보안 인증` 등록 강제못해
“해킹기술 개발” 루머… 금감원 “대책 모색”
“해킹기술 개발” 루머… 금감원 “대책 모색”
카드사들의 개인정보 관리 시스템에 허점이 노출되면서 각 가맹점에서 사용중인 `판매시점정보관리시스템(POS) 단말기'와 관련한 보안 위협 이슈가 또 다시 수면 위로 떠오르고 있다.
당초 재고 관리나 물품 관리를 위해 개발된 POS는 결제 기능까지 추가돼 현재 전국 가맹점에서 사용되고 있다. 전국 대다수 가맹점은 그동안 마그네틱(MS)카드 전용 POS를 사용해왔지만 당국이 보안성이 우수한 IC카드 전환 정책을 강도 높게 펼치면서 기존 MS용 단말기의 60% 가량이 IC용 POS단말기로 교체된 상태다.
12일 카드업계 관계자는 MS용 단말기의 경우 고객이 POS에서 긁은 정보가 암호화처리 되지 않은 상태에서 송수신 되기 때문에 유출될 경우 고객 정보가 고스란히 노출될 위험성이 있다고 밝혔다. 실제 지난 2000년대 중반부터 MS전용 POS 단말기에서 정보가 유출되는 사고가 발생하고 있다.
이에 따라 금융감독원은 지난해 10월 `단말기 보안 체계 인증제도'를 수립하고 여신금융협회에 등록된 단말기만 시장에서 유통될 수 있도록 계도하는 등록제 도입 카드를 꺼내들었다. 하지만 아직 법제화가 되지 않아 밴사나 가맹점에 이를 강제할 수 없는 상태다.
IT업계에서는 해커들이 MS용 단말기를 공격할 수 있는 악성코드 개발을 넘어서 IC카드전용 POS단말기의 보안 허점을 뚫을 수 있는 해킹 기술을 개발중이라는 이야기도 나돈다. 다만 각 가맹점에서 사용중인 POS단말기의 종류가 다양하고, 악성코드를 심기 위해 접근하는 방법이 쉽지 않아 해킹 가능성은 그리 크지는 않지만 내부 공모자 등이 개입되면 이론상 얼마든지 해킹을 할 수 있을 정도의 어렵지 않은 기술이라는 것이다.
특히 최근 백화점이나 의류매장 등 일부 가맹점에서 무선 POS 단말기를 사용하는 경우가 늘어나고 있고 3G망이 아닌 보안에 취약한 와이파이 환경에서 결제 정보를 주고받는 경우가 있어 고객 결제 정보의 유출 가능성은 항상 열려 있다.
한 IT보안 전문가는 "내부 공모자가 있어야 가능하겠지만 만약 범죄자가 밴사의 결제망을 장악하는 방법을 찾고 POS 단말기 정보 조작에 나설 경우 카드 금융 거래가 조작될 가능성도 배제할 수 없다"고 말했다. 이번 카드 3사 대량 개인정보유출사고 역시 IT컨설팅을 맡았던 신용평가사(KCB) 전산개발팀장이 직접 개입 됐던만큼 `사람 관리'에 만전을 기할 수 있는 보안 대책 수립을 서둘러야 한다는 분석이다.
김영기 금감원 상호여전감독국장은 "현재까지 자체 암호화 처리가 잘 돼 있는 IC카드 단말기에 보안 사고가 터진 사례가 없기 때문에 내년초까지 전국 가맹점에 IC카드 전용 POS단말기 공급 사업이 잘 진행되면 문제가 없을 것으로 보고 있다"며 "결제와 관련된 부분에 별도의 통제 장치를 찾기 위해 금융당국과 카드업계, 밴사 등이 함께 모여 회의를 진행하면서 대책을 모색하고 있다"고 밝혔다.
신동규기자 dkshin@
당초 재고 관리나 물품 관리를 위해 개발된 POS는 결제 기능까지 추가돼 현재 전국 가맹점에서 사용되고 있다. 전국 대다수 가맹점은 그동안 마그네틱(MS)카드 전용 POS를 사용해왔지만 당국이 보안성이 우수한 IC카드 전환 정책을 강도 높게 펼치면서 기존 MS용 단말기의 60% 가량이 IC용 POS단말기로 교체된 상태다.
12일 카드업계 관계자는 MS용 단말기의 경우 고객이 POS에서 긁은 정보가 암호화처리 되지 않은 상태에서 송수신 되기 때문에 유출될 경우 고객 정보가 고스란히 노출될 위험성이 있다고 밝혔다. 실제 지난 2000년대 중반부터 MS전용 POS 단말기에서 정보가 유출되는 사고가 발생하고 있다.
이에 따라 금융감독원은 지난해 10월 `단말기 보안 체계 인증제도'를 수립하고 여신금융협회에 등록된 단말기만 시장에서 유통될 수 있도록 계도하는 등록제 도입 카드를 꺼내들었다. 하지만 아직 법제화가 되지 않아 밴사나 가맹점에 이를 강제할 수 없는 상태다.
IT업계에서는 해커들이 MS용 단말기를 공격할 수 있는 악성코드 개발을 넘어서 IC카드전용 POS단말기의 보안 허점을 뚫을 수 있는 해킹 기술을 개발중이라는 이야기도 나돈다. 다만 각 가맹점에서 사용중인 POS단말기의 종류가 다양하고, 악성코드를 심기 위해 접근하는 방법이 쉽지 않아 해킹 가능성은 그리 크지는 않지만 내부 공모자 등이 개입되면 이론상 얼마든지 해킹을 할 수 있을 정도의 어렵지 않은 기술이라는 것이다.
특히 최근 백화점이나 의류매장 등 일부 가맹점에서 무선 POS 단말기를 사용하는 경우가 늘어나고 있고 3G망이 아닌 보안에 취약한 와이파이 환경에서 결제 정보를 주고받는 경우가 있어 고객 결제 정보의 유출 가능성은 항상 열려 있다.
한 IT보안 전문가는 "내부 공모자가 있어야 가능하겠지만 만약 범죄자가 밴사의 결제망을 장악하는 방법을 찾고 POS 단말기 정보 조작에 나설 경우 카드 금융 거래가 조작될 가능성도 배제할 수 없다"고 말했다. 이번 카드 3사 대량 개인정보유출사고 역시 IT컨설팅을 맡았던 신용평가사(KCB) 전산개발팀장이 직접 개입 됐던만큼 `사람 관리'에 만전을 기할 수 있는 보안 대책 수립을 서둘러야 한다는 분석이다.
김영기 금감원 상호여전감독국장은 "현재까지 자체 암호화 처리가 잘 돼 있는 IC카드 단말기에 보안 사고가 터진 사례가 없기 때문에 내년초까지 전국 가맹점에 IC카드 전용 POS단말기 공급 사업이 잘 진행되면 문제가 없을 것으로 보고 있다"며 "결제와 관련된 부분에 별도의 통제 장치를 찾기 위해 금융당국과 카드업계, 밴사 등이 함께 모여 회의를 진행하면서 대책을 모색하고 있다"고 밝혔다.
신동규기자 dkshin@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
