‘50억 사기’ 유발한 금융권 POS…보안책 못 찾은 금융당국

포스기기 허점으로 10년간 50억원 편취하다 덜미
금융당국, 카드사, 부가통신사업자 전부 눈치 못채
금감원이 TF 꾸려 논의했지만 허점 완벽히 못 메워
재판부 "범행에 이용된 취약점 완전히 보완 못해"

[아시아경제 송승섭 기자] 금융권에서 카드결제 등을 위해 보급한 포스(POS)단말기에 심각한 허점이 있었던 것으로 드러났다. 이를 이용해 제품을 구매하고 부당하게 결제 취소하는 방식으로 50억원을 훔친 이도 붙잡혔다. 부가통신사업자와 카드사는 10년간 해당 사실을 눈치채지 못했다. 금융당국이 취약점 보완에 나섰지만 지금도 완전한 해결책을 찾지 못한 상태다.

22일 금융권과 서울중앙지법 등에 따르면 포스단말기를 설치하고 수리하던 A씨는 2010년 포스기기에서 신용카드로 결제하면 임의취소가 가능하다는 사실을 발견했다. 이후 한 문구점에서 물건을 구매하고 결제승인을 취소한 후, 인터넷 사이트에 제품을 되팔기 시작했다. A씨는 2020년 2월까지 1400회에 걸쳐 약 50억4460만원 상당의 문구류를 팔아넘겼다.

이러한 범행이 가능했던 건 금융권 포스단말기의 보안이 유달리 취약했기 때문이다. 국내 가맹점은 신용카드 결제를 받기 위해 CAT나 포스로 불리는 기계를 사용한다. 차이점은 일련번호다. CAT에는 자체적인 일련번호가 있고 포스에는 없다. 포스기기는 일련번호가 없어 결제승인과 취소를 다른 기기로 진행해도 알 방법이 없다는 뜻이다.

이에 결제서비스를 담당하는 부가통신사업자는 결제취소 요청이 들어오면 ‘단말기 ID’를 이용해왔다. 결제취소 요청 시 프로그램에 나타나는 ID를 결제승인 당시 ID와 비교하는 식이다. 카드전표에 나오는 몇 가지 정보만 추가로 파악하면 누구나 같은 수법으로 사기범행을 저지를 수 있었던 셈이다. A씨 역시 자신의 노트북에 안시포스라는 프로그램을 깔고 카드리더기를 부착한 뒤 결제승인과 취소를 반복했다.

TF 수개월 가동했는데…재판부 "아직도 완전히 보완 못해"

보안취약점을 발견한 금융당국은 2020년 5월 문제 해결에 나섰다. 당시 금융감독원, 여신금융협회 카드운영부, 신용카드 4개사, 부가통신사업자 6개사가 태스크포스(TF)를 꾸렸다. TF는 단말기가 달라도 취소가 가능하고 카드사의 이상거래탐지 시스템이 작동하지 않은 점 등을 문제로 꼽았다.

이에 금감원은 포스기기와 신용카드에 일련번호를 부여하는 방법, 단말기 번호 일부를 ‘*’로 표시하는 방안을 제안했다. 하지만 부가통신사업자들이 프로그램을 새로 개발해야 하고 기간만 9개월이 소요된다며 "상위 6~7개 포스회사만 우선 적용하자"고 주장했다. 이후 TF는 카드결제 부정취소를 막기 위해 단말기에 15자리 고유번호를 부여하는 방침을 발표했다.

문제는 해당 방침이 일부 업체에만 적용돼 여전히 보안취약점이 남아있다는 것이다. 금융당국의 관리와 부가통신사업자의 협조가 불가능한 중·소규모 포스업체는 해당 개선방안의 적용이 어려웠다. 당시 TF는 여러 대안을 모색했지만 뚜렷한 방법을 찾지 못했다. 결국 ‘가맹점 혼란 방지’ 등을 이유로 개선된 방안이 마련될 때까지 고유번호가 달라도 결제취소 요청을 처리하기로 했다. 해결책으로 15자리 고유번호를 마련했지만, 고유번호가 불일치해도 묵인한다는 뜻이다. 이러한 가맹점은 전체 30%로 추정된다.

민사사건을 담당했던 서울중앙지법 재판부는 "TF는 현재(지난 2월)까지도 이 사건 사기 범행에 이용된 포스 기기의 취약점을 완전히 보완하지 못하고 있다"고 지적했다.

송승섭 기자 tmdtjq8506@asiae.co.kr