[취재파일] 카드, 단말기에 긁기만 해도 내 정보가 빠져나간다?

지금 지갑에 몇 장의 카드가 있으신가요? 그 카드를 하루에 몇 번이나 사용하시나요? 카드가 단말기에 긁히는 순간 카드 정보가 새어 나간다고 상상해본 적 있으신가요? 안타깝게도 이런 말도 안 될 거 같은 상상이 바로 현실입니다.

서울지방경찰청이 위조카드를 만들어 2억 원 어치 물건을 산 후 이 물건을 인터넷에 중고로 팔아 부당이득을 챙긴 일당을 잡아들였습니다. 경찰조사 결과 위조 카드를 만든 과정은 너무나 간단하고 쉬웠습니다. 위조카드를 만들기 위해서는 카드를 만들 수 있는 정보와 이 정보를 넣을 수 있는 빈 카드가 필요합니다. 위조카드 일당은 우선 빈 카드를 중국에서 어렵지 않게 구했습니다. 증거품으로 제시된 카드들을 보니 정말 우리나라 카드사와 은행 로고가 선명하게 박힌 흔히 사용하는 카드와 똑같았습니다.

이젠 이 빈 카드에 개인 카드 정보를 넣어야 합니다. 이 개인 카드 정보도 중국에 있는 해커들에게 개인 정보 한 건당 12만 원에 어렵지 않게 구할 수 있었습니다. 이제 빈 카드와 개인 카드 정보까지 있으니 개인 카드 정보를 카드에 입력하는 일만 남았습니다.

용산 전자상가 같은 시장에 가면, 카드 리더기라는 카드 정보를 입력할 수 있는 장비를 아주 쉽게 구할 수 있습니다. 이 카드 리더기는 카드 뒷면에 있는 검은색 띠, 즉 자기 띠에 정보를 입력하는 장비로 스포츠센터 등에서 회원 가입을 할 때 회원증 같은 것을 만드는데 주로 사용됩니다. 따라서, 리더기를 사고팔거나 사용하는 것 자체는 불법도 아닙니다. 카드정보도 있고 이 정보를 넣은 빈 카드로 있고 정보를 넣어주는 장비도 있으니 이들이 위조카드를 만드는 건 너무나 쉬운 일이었습니다.

그렇다면, 중국에 있는 해커들은 카드 개인정보를 대체 어떻게 구했을까요. 이 부분이 정말 어처구니가 없었습니다. 해커들은 카드회사나 은행의 서버를 공격해 개인정보를 빼온 게 아니라, 우리가 매일같이 긁는 카드 단말기에서 개인정보를 빼냈습니다. 하루에도 수없이 긁혀지는 카드 단말기를 통해 내 카드 정보가 쉽게 유출될 수 있다는 황당한 이야기입니다.

어떻게 이런 일이 일어나는지 따져봐야겠습니다. 우선, 국내에서 사용하는 카드 단말기는 인터넷 선을 이용한 단말기와 전화선을 이용하는 단말기로 구분됩니다. 카드 가맹점에서 모니터가 있는 큰 단말기는 인터넷을 이용하는 단말기이고, 그냥 바닥에 놓인 조그마한 단말기는 전화선을 이용하는 단말기라고 보면 됩니다.

문제는 인터넷을 이용하는 단말기에서 발생합니다. 경찰은 이 단말기를 관리하기 위해서 단말기를 원격 제어할 수 있도록 포트를 열어놓는데서 문제가 시작된다고 지적합니다. 고장이 나거나 문제가 생겼을 때 현장을 방문하지 않고, 원격으로 문제점을 해결하기 위해 열어놓은 포트를 통해 해커들이 쉽게 침입해 해킹프로그램을 설치한다는 겁니다.

이렇게 단말기에 해킹프로그램이 설치가 되면, 그 단말기에서 긁히는 카드의 모든 개인정보가 고스란히 해커의 손으로 들어갑니다. 단말기에 카드를 긁으면 승인을 위해 카드사나 벤사에 개인 카드정보가 고스란히 전송되는데 이 정보가 해커에게도 함께 전달되는 겁니다. 이번 위조카드 일당이 사들인 개인정보도 서울 시내의 한 생활용품점에서만 결제한 고객들의 개인정보였습니다. 경찰은 그 지점에서만 6만 건의 개인카드 정보가 그대로 유출된 것으로 보고 있고, 조사가 진행될수록 그 수는 더 늘어날 수 있다고 설명했습니다.

이렇게 인터넷을 사용하는 카드단말기의 해킹 위험 노출 문제는 지난 2005년부터 제기돼 왔습니다. 이를 막기 위해서는 해킹프로그램을 차단하고 이를 적발해 낼 수 있는 보안프로그램을 설치하기 위해 80억 원의 기금도 마련돼 있습니다. 여신금융협회와 금감원, 카드회사들이 문제의 심각성을 인지하고 기금까지 마련해 보안프로그램을 설치를 추진하고 있습니다.

하지만 경찰은 아직도 인터넷을 이용하는 단말기의 보안프로그램 설치 비율은 40%에 그치고 있다고 분석하고 있습니다. 경찰은 기존의 프로그램과 충돌이 있다는 이유로 보안프로그램 보급이 더디다는 게 업계의 설명이라고 덧붙였습니다. 현재 인터넷을 이용하는 카드 단말기는 20만 대에 달합니다. 이 중에서 최소한 10만 대는 여전히 보안프로그램 없이 운영되고 있습니다. 이 단말기에 자신의 카드가 긁히는 순간 내 정보가 카드사가 아닌 다른 곳으로 흘러들어가는 건 아닌지 불안할 수밖에 없는 현실입니다.

보안프로그램도 언제 또 다른 방법으로 뚫릴지 모르는 임시방편에 불과합니다. 그래서 대안으로 제시되고 있는 게 IC칩, 전자 칩이 내장된 카드 사용입니다. 현재 우리나라 카드는 카드 뒷면에 있는 검은색 띠인 자기 띠에 개인 카드 정보를 입력하고 이 부분의 정보를 읽어내 결제승인을 받고 있습니다. 그런데 카드 리더기만 있으면 이번에 적발된 위조카드 일당처럼 너무나 쉽게 이 부분에 카드 정보를 넣을 수 있다는 것이 가장 핵심적인 문제입니다.

IC칩, 즉 전자 칩이 내장된 카드를 사용하면 쉽게 복제를 할 수 없어집니다. 게다가 IC칩에 들어가는 개인 정보에 보안설정을 할 수 있어 개인 정보 유출을 막는 수단으로도 그 효과가 탁월합니다. 경찰은 이미 외국은 IC칩이 내장된 신용카드 사용이 늘어나 이미 사용률이 50%를 넘어섰고, 카드위조가 많았던 태국을 비롯한 동남아시아 국가들은 현재 IC칩 결제만 가능하다고 설명했습니다. 하지만, 우리나라는 카드 사용이 다른 나라에 비해 너무 많다 보니, 카드교체와 IC칩을 인식하는 단말기 교체 등 많은 비용과 시간이 들기 때문에 지지부진한 상태라는 겁니다.

결국, 자기 띠 인식을 하는 단말기를 IC칩을 인식할 수 있는 단말기로 다 교체하는 비용을 누가 감당하느냐가 드러나지 않은 근본적인 문제일 겁니다. 그리고 이미 발급된 자기띠 카드를 IC칩 카드로 교체하는 비용도 포함될 것입니다. 카드사, 단말기 업체, 가맹점, 소비자 그 누구도 이 비용을 부담하려고 하진 않을 겁니다. 그리고 그 누군가가 일방적으로 이런 비용을 떠안아서도 안 될 것입니다. 특히 소비자에게 비용을 전가해서는 결코 안 될 것입니다. 결국 카드 사업을 통해 이윤을 창출하는 관련 업체들의 기금 마련이 현실적으로 빠른 해답이 될 것입니다. 언제까지 이 많은 단말기와 카드를 바꾸냐며 손을 놓고 있을 수는 없습니다.