쇼핑몰 결제창까지 파고든 피싱…카드정보 5707건 탈취

[사진=게티이미지뱅크]

【투데이신문 김효인 기자】 카드정보 탈취 수법이 온라인 쇼핑몰의 결제 단계까지 파고들었다. 정상 결제 화면과 유사한 피싱 페이지가 실제 구매 과정에 삽입되면서 소비자가 결제를 마친 뒤에도 피해 사실을 인지하기 어려운 구조로 드러났다.

6일 금융당국에 따르면 금융감독원은 금융보안원과 함께 일부 국내 온라인 쇼핑몰을 대상으로 한 해킹·피싱 공격 정황을 확인하고 카드 부정사용 피해 예방을 위한 소비자경보 ‘주의’ 단계를 발령했다.

금융보안원 조사 결과, 지난달 29일 기준 카드정보 탈취 전문 공격조직에 의해 총 5707건의 카드정보가 탈취된 것으로 파악됐다. 금융보안원은 관련 정보를 카드사에 공유해 부정 결제 시도를 차단하고 있으며, 카드사들도 고객 안내와 카드 재발급, 이상거래 모니터링 등 후속 조치에 나섰다.

가짜 쇼핑몰 아닌 ‘결제창’ 노렸다

이번 공격은 기존 피싱과는 다른 방식으로 확인됐다. 소비자를 가짜 쇼핑몰로 유인하는 대신 보안이 취약한 일부 온라인 쇼핑몰의 실제 결제 과정에 피싱 페이지를 삽입하는 수법이 사용됐다.

공격자는 정상 결제 화면과 유사한 페이지를 띄워 카드번호와 유효기간, CVC는 물론 정상 결제 과정에서는 요구하지 않는 카드 비밀번호 전체와 주민등록번호까지 입력하도록 유도했다.

특히 정보를 입력한 뒤 곧바로 결제가 중단되는 것이 아니라 ‘결제 오류’ 메시지를 띄운 후 정상 결제 페이지를 다시 호출하는 방식이 사용됐다. 소비자는 다시 결제를 진행하면 상품 구매가 정상적으로 완료되기 때문에 카드정보가 이미 탈취됐다는 사실을 알아차리기 어렵다.

금융당국은 탈취된 정보가 카드 부정결제뿐 아니라 동일한 비밀번호를 사용하는 다른 서비스 계정까지 노리는 ‘크리덴셜 스터핑’ 공격으로 이어질 가능성도 있다고 보고 있다.

금감원은 온라인 결제 과정에서 주민등록번호 전체나 카드 비밀번호 전체 입력을 요구할 경우 정상적인 결제 절차가 아닐 가능성이 높은 만큼 즉시 결제를 중단해야 한다고 당부했다.

정보 유출 의심되면 즉시 카드 정지

카드정보 유출이 의심될 경우에는 카드사에 즉시 카드 사용 정지와 재발급을 신청하고 카드 비밀번호와 PIN 번호도 함께 변경해야 한다.

또 부정 결제 등 비대면 금융사고가 발생하면 통합신고센터 112에 신고한 뒤 사건사고사실확인원 등을 준비해 카드사에 보상을 신청할 수 있다. 해킹 등 부정한 방법으로 탈취된 카드정보가 악용된 경우 소비자에게 고의나 중대한 과실이 없다면 카드사의 보상 대상이 될 수 있다.

금감원 관계자는 “정상적인 카드 결제 과정에서는 카드 비밀번호 전체나 주민등록번호 전체를 요구하지 않는다”며 “평소와 다른 개인정보 입력을 요구하는 화면이 나타난다면 즉시 결제를 중단하고 카드사에 문의해 달라”고 당부했다.