BC·KB국민카드 온라인결제 정보 뚫렸다

안전결제정보 통째로 해킹

BC카드와 KB국민카드의 온라인 거래에 사용되는‘안전결제(ISP) 정보’가 해킹된 것으로 드러났다.

서울지방경찰청 사이버범죄수사대는 BC카드, 국민카드가 사용하는 ISP시스템을 이용해 온라인 게임사이트 넥슨에서 아이템을 구매한 용의자를 추적하고 있다고 3일 밝혔다.

경찰은 ISP시스템 자체가 해킹됐을 가능성보다는 소비자 개인의 이메일에 저장된 인증서가 해킹당했거나 PC가 해킹돼 PC안에 저장된 인증서가 유출됐을 가능성을 염두에 두고 수사를 진행중이다

경찰이 파악한 피해자는 모두 400여명으로 피해액은 3억여원에 달한다.

이번 해킹 사건에서 범인은 주로 밤시간대에 결제했다. 30만원 이상 온라인 결제는 공인인증서를 사용해야 하는 점을 고려해 30만원 미만 금액을 여러 번 결제해 게임사이트에서 아이템을 샀다.

과거 ISP 해킹은 개인의 신용카드 정보를 빼낸 뒤 ‘ISP 인증서’를 재발급받아 이뤄졌다. 그러나 이번에는 ‘ISP 인증서 재발급’ 없이 카드번호·CVC (카드확인코드)번호·비밀번호·유효기간·별도의 비밀번호가 담긴 ISP 정보를 통째로 빼내 카드 소지자도 모르게 결제가 이뤄졌다. 경찰은 외부에서 신용카드 정보를 훔쳐 ‘ISP 인증서’를 재발급받아 범행에 쓴 사례는 있었지만 이같은 경우는 처음이라고 밝혔다.

경찰은 개인의 ISP 정보 차원을 넘어 ISP 체제(system) 자체가 해킹됐을 경우 두 카드 회원들의 피해 규모가 더 늘어날 수 있을 것으로 보고 있다.

국민카드 관계자는 “ISP 시스템은 중계시스템으로 KB국민카드 시스템과 별도로 운영중에 있으며, 현재 악성코드 감염에 의한 ISP 인증서 유출로 추정하고 있다”고 말했다.

양 카드사는 추가적인 피해 발생 예방을 위한 제반 조치를 취하는 한편 피해금액에 대해 보상을 진행할 예정이다.

또 양 카드사는 사고 발생 즉시 부정사용 피해 발생사례를 추정하고 부정 사용된 고객의 ISP 인증서를 폐기하고 카드 역시 재발급 조치했다. 또 게임사이트에 대해 1일 4회, 1회 10만원 한도로 승인금액과 횟수를 제한했다.