"FBI까지 뜨는데" 금융당국, 카드정보 유출 '불구경'

포스단말기 민감한 금융정보 다루는데도 사실상 관리 주최 없어

금융당국 보안표준 마련했지만 강제성 없어 유명무실

경찰은 구글에 카드번호를 입력하면 결제정보를 포함한 금융정보와 개인정보가 뜬다는 제보를 받고 수사에 나섰다. 경찰 수사결과 실제 지난해 1월부터 1년간 카드정보와 이름, 전화번호, 주소 등이 담긴 서버가 별다른 보안조치 없이 노출된 사실이 확인됐다.(자료사진) ⓒ데일리안

국내 카드 결제정보가 미국으로 새어나간 정황이 포착된 가운데 금융당국이 별다른 후속조치 없이 강넘어 불구경 하듯 지켜만 보고 있다. 최근 카드 3사 고객정보 유출 이후 머리 숙여 사과하며 재발방지 대책을 내놓은 모습과 대조적인 모습이다.

5일 광주 서부경찰서에 따르면, 카드정보(450만건)와 고객정보(750만건) 1200만건을 별다른 보안조치 없이 방치한 혐의로 포스단말기 판매업체 대표 A씨와 직원 B씨가 붙잡혔다.

경찰 수사결과 이들은 식당이나 마트, 술집 등 카드 가맹점의 포스단말기를 통해 얻은 카드번호와 결제정보를 서버에 보관했다. 결제정보에는 어떤 카드로 언제, 어디서, 어떤 서비스를 이용했는지도 포함돼 있다.

이런 민감한 정보는 지난해 1월부터 1년간 포털사이트에 고스란히 노출됐다. 경찰은 문제 서버에 접속한 IP를 확인한 결과 미국 쪽에서 접속한 사실도 확인했다.

김낙종 광주 서부경찰서 팀장은 "미국 쪽에서 문제 정보를 반복적으로 내려받은 사실이 확인됐다"며 "이에 오늘 중 미국 연방수사국(FBI)에 수사공조를 요청할 계획"이라고 밝혔다.

이어 그는 "빠져나간 정보로 카드복제는 불가능하지만, 혹시 모를 2차 피해를 방지하기 위해 수사를 확대할 방침"이라고 덧붙였다.

경찰이 수사를 시작하게 된 이유는 검색사이트 '구글'에 카드번호만 입력하면 결제정보와 개인정보가 뜬다는 제보를 받아서다.

실제 아직도 특정 카드번호를 입력하면 문제 서버가 노출된다. 다만 현재 아이디와 비밀번호를 입력하도록 해 외부 접속을 차단한 상태다. 이전에는 누구나 카드 결제정보를 볼 수 있었다는 얘기다.

민감한 금융정보가 인터넷에 무방비로 나돌았는데도 금융당국은 "우리 소관이 아니다"는 답변을 내놓았다. 누가 봐도 어처구니없는 처사다.

금융감독원 고위 관계자는 "기사를 통해 이번 사건을 처음 알게 됐다"며 "포스단말기 보안 문제는 어제오늘의 일이 아니다. 또 우리가 300여개가 넘는 이들 업체를 다 관리할 의무는 없다"고 강변했다.

그러면서 "포스단말기 업체가 민감한 결제정보를 보관한 게 문제지 금융당국의 문제는 아니다"고 잘라 말했다.

금융감독원이 포스단말기 업체를 관리할 근거가 없다는 이유는 이들 업체가 금융회사가 아니기 때문이다. 이는 가맹점과 카드사 사이에 결제 업무를 돕는 밴(VAN)사를 금융당국이 감독하지 않는 이유와 같다.

밴 사업자는 전기통신사업법상 부가통신사업자로 금융회사가 아니다. 따라서 관련 법을 따를 이유가 없다. 다만, 카드사와 밴사의 계약서에는 밴사가 금감원의 관리·감독을 받도록 하는 내용이 담겨 있다.

사실상 포스단말기 제조사는 밴사와 마찬가지로 민감한 카드정보를 다루는데도 감독의 사각지대가 남아있다는 것이다. 금융정보가 유출돼도 금융당국이 불구경만 하는 셈이다.

포스단말기 제조업체 대표는 "사실 우리도 누가 우리를 관리하는지 모르겠다"며 "관리 주최도 명확하지 않고 강제성 있는 보안 규제도 없다 보니 계속해서 포스단말기를 통해 정보가 빠져나가는 것"이라고 꼬집었다.

카드업계는 이번 사건이 카드사의 책임도 일부 있다고 시인하면서도 본질은 컨트롤타워 부재로 인한 문제라고 지적했다.

카드업계 관계자는 "카드사가 밴사와 포스단말기 제조사 관리해야 하는 건 맞다"면서도 "하지만 현실적으로 카드사 자체적으로 할 수 있는 일이 아니다. 이를 제대로 관리·감독할 컨트롤타워가 필요하다"고 주장했다.

한편 금융당국은 오래전부터 포스단말기 해킹 등에 따른 카드복제나 금융정보가 유출된 사실을 인지하고 '포스단말기 보안표준'을 마련한 바 있다. 하지만 시스템 먹통 등을 이유로 보안표준을 지키는 업체는 거의 없고 강제성도 없다.