토스 해킹 소식이 알려졌지만 정확히는 토스페이먼츠 자체 시스템이 직접 뚫린 것으로 확인된 것은 아닙니다. 특정 가맹점의 결제 연동 인증정보가 노출되면서 2671명의 결제정보가 조회됐고, 더 눈길을 끈 부분은 피해 업체보다 해커가 먼저 관계기관에 침해 사실을 알렸다는 점입니다. 현재까지 알려진 피해 범위와 해킹 경위도 함께 확인해볼 필요가 있습니다.
🚨 토스가 직접 해킹당한 건 아닙니다
이번 토스 해킹 사건에서 가장 먼저 구분해야 할 부분입니다.
토스페이먼츠 자체 결제 시스템이 직접 해킹당한 것으로 확인된 것은 아닙니다.
토스페이먼츠 설명에 따르면 PG 서비스를 이용하는 특정 가맹점 한 곳의 결제 연동 플랫폼 인증정보가 외부에 노출됐습니다.
이를 이용한 제3자가 해당 가맹점의 결제내역을 조회한 것으로 파악됐습니다.
영향을 받은 규모는 결제 4,131건, 정보주체 2,671명입니다.
👀 토스 해킹 어떤 정보가 조회됐을까요?
토스페이먼츠가 밝힌 조회 정보는 생각보다 범위가 명확합니다.
| 구분 | 토스페이먼츠 확인 내용 |
|---|---|
| 영향받은 결제 | 4,131건 |
| 정보주체 | 2,671명 |
| 구매자 이름 | 조회 |
| 카드번호 | 마스킹된 정보 |
| 승인번호 | 조회 |
| 카드 비밀번호 | 포함되지 않음 |
| 카드 유효기간 | 포함되지 않음 |
| CVC | 포함되지 않음 |
| 부정결제 | 현재까지 확인되지 않음 |
즉 카드 비밀번호나 CVC까지 토스에서 유출됐다는 식으로 이해하면 안 됩니다.
토스페이먼츠 건에서 확인된 것은 이름과 마스킹된 카드번호, 승인번호 등 영수증에서 확인할 수 있는 수준의 결제내역입니다.
🕵️ 더 특이한 건 해커가 먼저 알려줬다는 점입니다
이번 토스 해킹 사건이 특히 관심을 받은 이유는 따로 있습니다.
피해 업체나 금융당국보다 해커로 추정되는 인물이 먼저 침해 사실을 알렸다는 점입니다.
해커로 추정되는 인물이 한국인터넷진흥원(KISA) 등 관계기관에 피해 업체와 침투 시스템,
확보한 정보 등을 전달하면서 사건이 알려졌습니다.
금품을 요구하거나 확보한 정보를 판매한 정황도 현재까지 확인되지 않았습니다.
그래서 취약점을 찾아 알려주는 화이트해커가 아니냐는 이야기도 나왔습니다.
하지만 허가 없이 시스템에 들어가 실제 정보를 확보했다면 이야기가 달라집니다.
보안업계에서는 이런 경우를 일반적인 화이트해커보다 ‘그레이햇’에 가깝게 보는 시각도 있습니다.
🇨🇳 중국인 해커라는 말은 아직 ‘추정’입니다
여기서도 조심해야 할 부분이 있습니다.
일부 보도에서는 중국인 해커, 또는 중국계 해커라는 표현이 등장했습니다.
하지만 금융당국이 공격자의 국적을 최종적으로 중국인이라고 확정한 것은 아닙니다.
중국계로 추정할 만한 흔적이 발견됐지만 해외 서버나 VPN을 거쳤을 가능성도 있기 때문입니다.
따라서 현재 단계에서는 ‘중국인 추정 해커’라고 표현하는 것이 더 정확합니다.
💳 카드 비밀번호 유출 가능성은 코엠페이먼츠 쪽입니다
토스페이먼츠와 함께 검사 대상이 된 곳이 코엠페이먼츠입니다.
두 사건을 함께 다룬 보도가 많다 보니 정보가 섞이기 쉬운데요.
코엠페이먼츠에서는 카드번호와 유효기간뿐 아니라 일부 결제 방식에서 생년월 관련 정보와 카드 비밀번호 앞 두 자리까지 포함됐을 가능성이 조사되고 있습니다.
반면 토스페이먼츠 건에서는 카드 비밀번호·유효기간·CVC가 조회 정보에 포함되지 않았다고 회사가 밝혔습니다.
같은 PG사 관련 보안 사고라도 피해 범위는 구분해서 볼 필요가 있습니다.
🏦 금융감독원도 정식 검사에 들어갔습니다
금융감독원은 토스페이먼츠와 코엠페이먼츠를 대상으로 점검을 진행하다 9월 9일 현장검사로 전환했습니다.
확인할 부분은 단순히 몇 명의 정보가 조회됐느냐만이 아닙니다.
어떤 경로로 접근했는지, 실제 유출 범위가 어디까지인지, 정보 관리가 적절했는지 등이 검사 대상입니다.
특히 이번 사건처럼 외부 제보가 먼저 이뤄졌다면 자체 보안 시스템에서 이상 접근을 얼마나 빠르게 탐지할 수 있었는지도 중요한 부분입니다.
🔐 토스 결제 이용자라면 무엇을 해야 할까요?
이번 토스 해킹 사고 때문에 토스 이용자 전체가 카드를 바꿔야 하는 상황은 아닙니다.
토스페이먼츠가 밝힌 영향 대상은 특정 가맹점의 정보주체 2,671명입니다.
토스페이먼츠는 대상 고객에게 통지를 진행했으며 문제가 된 접근 경로도 차단했다고 밝혔습니다.
현재까지 해당 사고와 관련된 부정결제 피해도 확인되지 않았습니다.
다만 금융당국은 정보 유출 피해가 확인된 고객에 대해서는 카드 정지나 재발급 등의 후속 조치를 안내하도록 카드업계에 권고하고 있습니다.
따라서 관련 안내를 받은 경우에는 안내 내용과 최근 카드 승인내역을 확인하고 필요하다면 카드사에 재발급 여부를 문의하는 편이 좋습니다.
📝 결론
이번 토스 해킹 논란은 제목만 보면 토스페이먼츠의 결제 시스템이 중국인 해커에게
직접 뚫린 대형 사고처럼 느껴질 수 있습니다.
하지만 현재 토스 해킹 사건의 확인된 내용은 조금 다릅니다.
토스페이먼츠는 특정 가맹점의 결제 연동 인증정보가 노출돼 2,671명의 결제내역이 조회된 사고이며, 비밀번호·유효기간·CVC는 포함되지 않았다고 밝혔습니다.
중국인 해커라는 부분도 아직 확정된 사실이 아니라 중국인 또는 중국계로 추정되는 단계입니다.
오히려 이번 사건에서 눈여겨볼 부분은 해커로 추정되는 인물이 관계기관에 먼저 침해 사실을 알리면서 사고가 드러났다는 점입니다.
결제망은 대형 금융회사 하나만 안전하다고 끝나는 구조가 아닙니다. PG사와 가맹점까지 연결돼 있기 때문에 상대적으로 보안이 약한 곳이 새로운 취약점이 될 수 있다는 점을 보여준 사건에 가깝습니다.