금융위, PG사 가맹점 보안 강화 지시…토스페이먼츠 인증정보 노출 사고 계기

핵심 요약

- 금융위원회가 PG(전자지급결제대행)사를 대상으로 가맹점 보안 강화 방안을 논의하며 관리·감독 강화 방침 제시 - 토스페이먼츠 가맹점 웹사이트에서 결제연동 플랫폼의 API 인증정보가 외부에 노출되는 보안사고 발생 - PG사 자체 시스템뿐 아니라 가맹점 보안 관리 체계까지 점검 범위 확대 필요성 대두

주요 내용

금융위원회는 2026년 9월 최근 회의에서 PG업계를 대상으로 금융권 해킹 동향과 피해 대응 체계를 집중 논의했다. 이번 회의는 토스페이먼츠 가맹점에서 발생한 결제연동 플랫폼 인증정보 노출 사고가 직접적인 배경이 된 것으로 알려졌다. 금융당국은 PG사 자체 시스템의 보안뿐 아니라 가맹점에 대한 보안 관리 책임까지 강화해야 한다는 입장을 명확히 했다.

토스페이먼츠 사고는 가맹점 웹사이트에 구현된 결제 API 연동 과정에서 인증키(API Key), 시크릿키(Secret Key) 등 민감한 인증정보가 클라이언트 측 코드에 하드코딩되거나 공개 저장소에 노출된 것으로 추정된다. 이러한 인증정보가 탈취될 경우 공격자는 정상 가맹점을 사칭해 결제 요청을 위조하거나 고객 결제정보에 무단 접근할 수 있어 심각한 개인정보 침해 및 금융사고로 이어질 수 있다.

PG사는 수많은 가맹점과 API 기반으로 연동되어 있어 공급망(Supply Chain) 보안 관점에서 취약점이 상존한다. 특히 중소 가맹점의 경우 보안 인력과 예산이 부족해 개발 단계에서 보안 검토 없이 결제 모듈을 구현하는 경우가 많다. 금융당국은 이번 회의를 통해 PG사가 가맹점 온보딩 시 보안 가이드 제공, 주기적인 보안 점검, 이상 거래 탐지 시스템 고도화 등을 의무화하도록 권고한 것으로 전해진다.

전문가 시각

이번 사안은 단순한 기술적 실수를 넘어 PG 생태계 전반의 보안 거버넌스 부재를 드러낸 사례다. ISMS-P 심사 현장에서 PG사를 심사할 때 자체 시스템은 비교적 잘 관리되지만, 가맹점 관리 영역은 '우리 책임 범위 밖'이라는 인식이 여전히 강하다. 하지만 개인정보보호법 제26조(업무위탁에 따른 개인정보 처리 제한)와 제25조(안전조치의무)는 수탁자뿐 아니라 위탁자의 관리·감독 책임을 명확히 규정하고 있다. PG사는 가맹점을 단순 고객이 아닌 개인정보 처리 생태계의 일부로 인식하고, 계약 단계부터 보안 요구사항을 명시하며 정기 점검 체계를 구축해야 한다.

특히 API 키 관리는 2026년 현재 클라우드 네이티브 환경에서 가장 빈번한 침해사고 원인 중 하나다. PG사는 가맹점에게 환경변수 분리, 시크릿 관리 도구(Vault, KMS 등) 사용, IP 화이트리스트 적용, 키 순환(Rotation) 정책 등 구체적인 기술 가이드를 제공하고, 이를 준수하지 않는 가맹점에 대해서는 연동 중단 등 강제 조치도 고려해야 한다. 금융위의 이번 조치가 실효성을 갖기 위해서는 PG사 감독규정에 '가맹점 보안 관리 의무' 조항을 신설하고, 미이행 시 과태료 부과 등 제재 수단을 마련하는 입법적 보완이 필요하다.

ISMS-P 심사원 체크포인트

1. 인증 및 권한 관리 (2.8.2 ~ 2.8.4)
- API 키, 시크릿키 등 인증정보의 생성·발급·폐기 절차 문서화 여부
- 가맹점별 인증정보 발급 대장 관리 및 주기적 갱신(최소 연 1회) 실시 여부
- 하드코딩 금지, 암호화 저장, 접근통제 등 인증정보 보호 가이드를 가맹점에 제공하고 교육한 증적
- 개인정보보호법 제29조(안전조치의무), 동법 시행령 제30조 제1항 제2호(접근통제) 준수 여부

2. 외부자 보안 및 공급망 관리 (2.10.1 ~ 2.10.3)
- 가맹점 계약 시 보안 요구사항 포함 여부 (개인정보 처리 위탁 계약서 포함)
- 가맹점 대상 보안 점검(취약점 스캔, 모의해킹 등) 연간 계획 및 실시 기록
- 보안사고 발생 시 가맹점 통지 및 대응 프로세스 수립 여부
- 개인정보보호법 제26조(업무위탁 시 수탁자 관리·감독 의무) 이행 증적

3. 개인정보 유출 및 침해사고 대응 (3.2.1 ~ 3.2.4)
- 가맹점 경유 개인정보 유출 시나리오를 포함한 침해사고 대응 매뉴얼 구비
- 이상 거래 탐지 시스템(FDS)에 비정상 API 호출 패턴 탐지 룰 적용 여부
- 개인정보보호법 제34조(개인정보 유출 통지·신고 의무) 이행 체계 점검

CPPG·ISMS-P 연계 포인트

API 보안 3원칙: 인증(Authentication), 인가(Authorization), 감사(Audit)
API 키는 인증 수단이지만 그 자체로는 불충분하다. OAuth 2.0, JWT 등 표준 프로토콜 적용, 세분화된 권한(Scope) 부여, 모든 API 호출 로깅 및 이상 패턴 모니터링이 필수다. ISMS-P 2.8.2(식별 및 인증), 2.8.4(권한 관리) 통합 적용 개념.

공급망 보안(Supply Chain Security)과 제3자 위험 관리
PG-가맹점 관계는 전형적인 공급망 구조다. 위탁·수탁 관계가 아니더라도 데이터 흐름이 있다면 제3자 보안 평가, SLA 명시, 정기 모니터링이 필요하다. 개인정보보호법 제26조와 ISMS-P 2.10.1(외부자 보안) 연계 숙지 필수.