"처녀가 피임약을 샀다고?" 보안 구멍난 '포스단말기'

보안표준 있어도 단말기 '먹통'된다며 설치 꺼려

금융당국은 내년도 IC카드 도입되면 카드 복제는 막을 수 있다는 주장

포스단말기(자료사진)

카드 3사 개인정보 유출로 2차 피해를 봤다는 의심신고가 잇따르는 가운데, 시중에 나도는 카드정보의 유출지는 '포스(POS)단말기'라는 주장이 제기됐다.

12일 카드업계와 금융당국에 따르면, 지난 2012년 국내외 신용카드 부정사용 건수는 1만5819건이고 피해 금액은 101억원이다. 지난 2009년과 비교했을 때 건수는 6배, 피해액은 2배 이상 증가했다.

금융감독원 관계자는 "신용카드 부정사용 중 80% 이상은 포스단말기 해킹에 의한 것"이라며 "신용카드 부정사용 건수가 증가했다는 건 포스단말기 해킹이 늘었다는 증거"라고 전했다.

매출 규모가 큰 대형 가맹점부터 중·소 가맹점까지 포스단말기를 이용하는 가맹점이 크게 늘고 있다. 이는 포스단말기가 매출 정산 시 효과적이기 때문이다. 가맹점은 따로 장부를 작성하지 않아도 되고 실시간으로 매출을 알 수 있다.

이 같은 이유로 가맹점마다 포스단말기를 설치하고 있지만, 보안에 취약하다는 큰 문제점을 안고 있다. 또 제대로 된 보안표준도 없어 카드정보 유출의 진원지로 꼽히고 있다.

대부분의 가맹점에서 이용하는 포스단말기는 인터넷 선(LAN)이 연결돼 있다. 이전 카드단말기와 달리 카드 승인내역을 전화선이 아닌 인터넷으로 보내고 받는 시스템이다.

포스단말기를 카드리더기가 달린 PC로 봐도 무방하다. 중·소가맹점에선 포스단말기로 웹서핑도 하고 게임도 한다. 이 과정에서 악성코드나 해킹프로그램이 설치될 수 있다.

더 큰 문제는 포스단말기에 카드정보가 고스란히 저장돼 있다는 점이다. 포스단말기는 카드 고객의 카드번호는 물론 CVC(카드 뒷면에 적힌 세 자리 숫자의 유효성검사코드), 유효기간 등을 보관하고 있다. 모두 카드 위·변조에 필요한 자료다. 또 포스단말기에는 가맹점에서 어떤 물품을 언제, 얼마만큼 구매했는지도 저장돼 있다.

카드사 관계자는 "포스단말기 해킹으로 카드 부정사용이 해마다 늘어나고 있다"면서 "포스단말기가 결제에 사용한 정보를 지우지 않고 보관하고 있다 보니 이 같은 일이 생기는 것"이라고 알렸다.

이어 그는 "카드정보보다 더 민감한 정보는 유통업체 정보"라면서 "만약 약국 포스단말기가 해킹되면 처녀가 피임약을 구매한 사실이 만천하에 공개되는 것"이라고 덧붙였다.

민감한 정보를 담고 있음에도 포스단말기에 대한 보안표준이 잘 지켜지지 않는 이유는 황당하다. 관계 당국은 포스단말기를 제조하는 업체가 너무 많아 통제가 어렵다는 주장이다.

금융당국 관계자는 "우리가 지정한 보안프로그램을 설치하면 일부 포스단말기가 먹통이 됐다"면서 "이런 이유로 우리도 제조업체에 보안표준 준수를 강제할 수 없었다"고 해명했다.

이어 그는 "포스단말기를 제조하는 업체가 너무 많아 통제하기 어려운 것도 사실"이라고 시인했다.

이 관계자는 포스단말기 해킹으로 인한 카드 위·변조 사고의 방지 대책을 묻자 내년도 IC카드 결제가 이뤄지면 해킹이 되더라도 카드를 복제할 수 없게 된다고 잘라 말했다.

이는 해킹에 대한 근원적 차단이 아닌 땜질식 처방에 불과하다. 또 포스단말기에 담긴 유통업체 정보에 대해선 방관하는 모습이다. 누가 봐도 미봉책이다.