'인터넷 안전결제' 어떻게 뚫렸나

대규모 신용카드 도용사건을 저지른 혐의로 13일 경찰에 적발된 추모(23)씨 등은 인터넷 상거래에 널리 쓰이는 '안전결제'와 '안심클릭'의 허점을 파고들었다.

이들은 대부분 사람들이 동일한 아이디와 패스워드를 여러 사이트에 공통으로 쓰는 점에 착안, 신용카드사, 결제대행업체, 인터넷 쇼핑몰 등에서 빼낸 각종 정보를 조합해 신용카드 도용에 이용했다.

◇ 안전결제·안심클릭이란 = 안전결제와 안심클릭은 인터넷상에서 결제를 할 때 별도의 팝업창을 띄우고 패스워드를 입력토록 하는 방식으로 보안을 강화한 전자결제 보안 시스템이다.

2000년대 초반까지는 카드번호, 유효기간, 카드 소지자 성명만 알면 결제가 가능한 경우가 많았으나 민감한 개인정보를 일일이 전송하면 개인정보 유출 위험이 커진다는 지적에 따라 국내 사이트와 금융기관들이 이런 시스템들을 도입했다.

해외 사이트에는 아직 이런 최소한의 인증 제도조차 없는 경우도 드물지 않다.

안전결제와 안심클릭은 통신 과정에서 패스워드를 가로채는 일을 방지하는 데는 효과가 크지만 아이디와 패스워드 자체가 유출된 경우에는 별다른 대비책이 없다.

추 씨 등도 이런 약점을 범행에 악용했다.

◇ 범행수법 = 추씨 등은 일단 구글(google) 등 강력한 인터넷 검색엔진을 통한 검색이나 보안이 허술한 인터넷 상거래 관련 사이트에서 사용자들의 아이디와 패스워드를 빼냈다.

대부분의 사용자들이 포털, 게임사이트, 인터넷뱅킹, 인터넷 결제 등에 동일한 아이디와 패스워드를 쓰기 때문에 한 곳에서 빼낸 아이디와 패스워드로 다른 사이트에 로그인할 수 있는 경우가 많았기 때문이다.

추 씨 등은 이렇게 알아낸 아이디와 패스워드로 인터넷 쇼핑몰, 신용카드사 홈페이지, 결제대행업체 홈페이지 등에 차례로 접속해 카드 결제 관련 정보를 조회한 뒤 사이트마다 부분적으로 남아 있는 카드번호 정보를 조합하는 방식으로 16자리 카드번호를 짜맞춰 알아냈다.

예를 들어 특정 회원의 카드번호가 한 사이트에는 '4523-2134-7956-****' 식으로 표시되고 다른 사이트에는 '45**-****-****-8845' 식으로 표시된다면 이런 조각 정보들을 맞춰 16자리 카드번호를 모두 알아낼 수 있다.

◇ 안전결제·안심클릭 심각한 허점 = 이번 사건을 수사한 경찰은 안심클릭과 안전결제 모두 기본적으로 카드번호와 패스워드만 알면 부정사용이 가능하다는 점이 가장 큰 문제라고 지적했다.

안전결제의 경우 일종의 인증서를 사용하긴 하지만 이 인증서는 공인인증서와 달리 재발급이 이뤄지더라도 기존의 인증서를 폐기하지 않고 휴대전화를 이용한 본인인증도 거치지 않는다.

신용카드 도용 시도가 있더라도 알아차릴 방법이 없다는 것이다.

많은 고객들은 카드 결제가 이뤄질 경우 휴대전화 문자메시지로 통보되도록 해 두고 있으나 이번 경우처럼 아이디와 패스워드가 통째로 유출됐을 경우는 별 소용이 없다.

신용카드 도용자가 카드회사 홈페이지에 들어가 문자메시지 통보 서비스를 취소하면 속수무책이기 때문이다.

보안성을 높이기 위해서는 공인인증서를 항상 사용하도록 제도를 바꾸면 되지만 인터넷 상거래 업계와 금융기관 등은 소비자들의 불편을 이유로 이에 난색을 표하고 있다.

당초 금융당국은 2004년 하반기부터 모든 인터넷 결제에 대해 공인인증서 사용을 의무화하는 방안을 추진했으나 업계의 반발에 밀려 이를 지난해 11월에야 도입했고 의무 적용 범위도 30만원 이상의 거래에 한정했다.

(서울=연합뉴스)