PG사 해킹 막는다…카드 부정결제 대응 강화

금융당국이 최근 해킹 사고가 발생한 전자지급결제대행(PG)업계의 보안체계를 점검한다. 카드정보가 유출되면 카드사와 즉시 공유해 부정결제를 감시하고 고객 안내와 카드 재발급 등 피해 예방 조치도 강화하기로 했다.

금융위원회는 16일 금융감독원, 금융보안원, 카드사·PG사 등과 함께 '프런티어 인공지능(AI) 보안위협 금융권 상황대응반' 6차 회의를 열고 이 같은 방안을 논의했다.

PG사는 가맹점과 카드사 사이에서 결제를 중계하며 고객의 개인정보와 결제정보를 처리한다. 이 때문에 PG사나 연결된 가맹점의 보안망이 뚫리면 정보 유출과 부정결제로 이어질 수 있다.

회의에서는 PG사 시스템의 취약점을 직접 노리는 공격과 보안이 상대적으로 약한 가맹점을 거쳐 들어오는 우회 공격이 함께 거론됐다. 참석자들은 PG사가 여러 카드사·가맹점과 연결된 만큼, 자체 시스템뿐 아니라 외부 연결 지점의 위험까지 고려해 해킹을 탐지하고 대응해야 한다는 데 의견을 모았다.

PG사가 수집·보관하는 정보도 줄여야 한다는 지적이 나왔다. 카드정보 등이 유출되면 고객이 알아차리기 전에 부정결제가 발생할 수 있으므로, 업무에 필요하지 않은 개인정보나 과도한 결제정보는 받지 않아야 한다는 취지다.

PG사에서 카드정보 유출 사고가 발생하면 카드사와 금융감독원·금융보안원에 관련 정보를 신속히 공유하는 방안도 논의됐다. 카드사가 유출 정보를 이상거래탐지시스템에 등록하고 수상한 결제를 집중 감시할 수 있도록 하기 위해서다. 신속한 고객 안내와 카드 재발급, 소비자 피해 전액 보상 등 보호조치의 필요성도 강조됐다. 다만 이번 회의에서 보상 기준이 새로 확정된 것은 아니다.

AI를 활용한 보안 강화도 과제로 제시됐다. 금융위는 이달 3일 발표한 제2차 망분리 규제 긴급 완화 조치의 참여 대상에 전자금융업자를 포함했다. 일정 요건을 충족한 업체가 통제수단을 갖추면 AI를 이용해 보안 취약점을 찾아 개선하는 시험에 참여할 수 있다. 유 정책관은 PG업계에 금융 AI 보안 관련 연구·지원 정책과 가이드라인도 활용해 달라고 당부했다.

유 정책관은 "PG사는 금융회사에 비해 상대적으로 규모가 작지만 다수의 금융회사, 가맹점과 연결되어 대량의 개인신용정보를 처리하고 있는 만큼, 보안사고로 인한 소비자 피해가 발생하지 않도록 철저한 보안관리가 중요하다"고 말했다. 이어 "이번 회의를 계기로 PG업권의 보안체계 및 소비자 보호체계를 보다 면밀히 살펴보고, 제도개선 사항도 적극 발굴·검토해 나가겠다"고 밝혔다.