다크웹에서 국내 신용카드 정보 약 90만건이 불법 유통된 것으로 나타나면서 내 카드는 안전한지, 정보 유출이 어떤 경로로 발생하는지 등에 대한 불안도 커지고 있다. 다크웹은 일반적인 브라우저로 접근이 불가능하고 아이피(IP) 주소 추적도 어려운 것으로 알려진 인터넷 영역이다. 사용자를 특정할 수 없다 보니 각종 암거래와 범죄의 온상이 되고 있다.

10일 여신금융협회와 금융당국에 따르면 이번에 불법 유통된 국내 신용카드 정보는 카드 번호, 유효기간, 세 자리 인증번호(CVC) 등이다. 결제 과정에 꼭 필요한 이 세 가지 정보가 모두 유출된 경우는 전체 피해 건수의 0.001%인 1,000건 이하로 파악됐다. 비밀번호 정보는 유출되지 않았다. 국내 신용카드의 다크웹 불법 유통 사실을 처음 공개한 싱가포르의 사이버보안업체 ‘그룹-IB(GIB)’에 따르면 한국 카드 정보는 1건당 5달러 수준으로 판매된 것으로 알려졌다.

viewer

그나마 다행인 점은 이 정보로 실제 금전적 피해나 부정 사용이 발생할 위험이 크지 않다는 사실이다. 이번에 불법 유통된 90만건 가운데 절반(54%) 가량은 이미 유효기간이 만료됐거나 카드 재발급이 이뤄져 실제 사용은 불가능한 정보로 파악됐다. 업계에서는 이번에 불법 유통된 정보가 2015년 전후에 도난된 것으로 보고 있다.

나머지 유효 정보 41만건도 실제 금융 거래에 즉시 악용될 가능성은 낮다고 전문가들은 설명한다. 국내에서도 이미 마그네틱 방식 카드 대신 반도체 칩을 추가 장착해 보안성을 높인 IC카드 거래가 의무화됐기 때문이다. 이번에 불법 유통된 카드 정보의 대부분은 ‘트랙2’라고 부르는 카드의 마그네틱 부분 데이터다. 여기에는 카드 번호, 발급일자, 유효기간 등 결제 과정에 필요한 정보가 저장돼 있는데, 이를 빼내 복제한 마그네틱 방식 카드를 긁으면 실제 카드 소유자가 아니어도 결제가 이뤄질 수 있다. 하지만 2018년 7월 이후로 국내 모든 가맹점에서 IC거래가 의무화된데다, 온라인 결제 때도 본인 인증 절차를 거쳐야 해 복제 카드를 이용한 부정 거래 시도가 성공할 가능성은 낮다는 게 카드업계의 설명이다.

마그네틱 방식 거래가 여전히 이뤄지는 해외에서는 부정 시도가 발생할 수 있다. 카드사들은 이를 차단하기 위해 불법 유통이 확인된 모든 카드 정보를 부정사용방지시스템(FDS)에 반영해 감시를 강화했다. 의심스러운 카드 결제나 평소와 다른 결제 패턴이 감지되면 자동으로 차단하는 시스템이다. 그럼에도 불구하고 부정 사용이 확인될 경우에는 카드사가 전액 보상한다. 카드사들은 또 카드번호와 유효기간, CVC까지 세 가지 정보가 모두 유출된 카드에 대해서는 해외 이용을 제한하고 카드 정지 또는 재발급을 안내할 계획이다.

viewer