토스페이먼츠 가맹점 결제정보 유출 사고, 연동키 관리 허점 드러나 - API 인증정보 보호 중요성 재조명

핵심 요약

- 토스페이먼츠 가맹점의 결제연동 플랫폼 '연동키'가 외부 유출되어 결제정보 침해 사고 발생 - 토스페이먼츠 내부 시스템 해킹이 아닌, 가맹점이 이용하는 제3자 플랫폼의 인증정보 유출이 원인 - API 인증키, 연동키 등 접근 권한 정보의 안전한 관리와 제3자 제공 시 보안통제 필요성 부각

주요 내용

2026년 9월, 토스페이먼츠의 가맹점에서 결제정보 유출 사고가 발생했다. 이번 사고는 토스페이먼츠의 내부 시스템이 직접 해킹당한 것이 아니라, 해당 가맹점이 사용하는 결제연동 플랫폼의 인증정보인 '연동키'가 외부로 유출되면서 발생했다. 연동키는 가맹점과 결제 시스템 간 API 통신을 인증하는 핵심 자격증명으로, 이것이 노출되면 제3자가 정상적인 API 호출을 가장하여 민감한 결제정보에 접근할 수 있다.

토스페이먼츠 측은 사고 원인이 자사 시스템의 취약점이 아닌, 가맹점이 이용하는 외부 결제연동 플랫폼의 보안 관리 미흡에 있다고 밝혔다. 이는 최근 급증하는 공급망 보안 사고의 전형적인 패턴으로, 직접적인 시스템 침해보다는 연결된 제3자 서비스나 파트너사의 보안 취약점을 통해 정보가 유출되는 사례가 증가하고 있음을 보여준다.

특히 결제 서비스의 경우 가맹점, 결제대행사(PG), 결제연동 플랫폼, 쇼핑몰 솔루션 등 다층적인 생태계를 형성하고 있어, 각 연결 지점마다 API 키, 연동키, 비밀키 등 다양한 인증정보가 생성되고 공유된다. 이번 사고는 이러한 복잡한 연동 구조에서 단 하나의 인증정보 유출이 전체 결제정보 침해로 이어질 수 있음을 명확히 보여주는 사례다.

이번 사고를 계기로 결제 생태계 전반에서 API 인증정보의 생명주기 관리(생성, 저장, 전송, 폐기), 접근권한 최소화, 정기적 갱신, 암호화 저장 등에 대한 보안 강화가 시급한 상황이다. 또한 가맹점과 연동 플랫폼 선정 시 보안 수준을 사전 검증하고, 계약 단계에서 보안 요구사항을 명확히 규정하는 것이 필요하다.

전문가 시각

ISMS-P 심사 현장에서 가장 빈번하게 발견되는 취약점 중 하나가 바로 API 키, 인증토큰, 연동키 등의 부적절한 관리다. 많은 기업들이 소스코드에 하드코딩하거나, 평문으로 설정파일에 저장하거나, 이메일·메신저로 전달하는 등 기초적인 보안원칙을 위반하는 경우가 많다. 이번 토스페이먼츠 사고는 직접 피해 기업이 아니더라도, 자사가 제공한 인증정보가 제3자에 의해 유출될 경우 연쇄적인 개인정보 침해로 이어질 수 있음을 보여준다. 특히 결제정보는 개인정보보호법상 '민감정보'에 준하는 고위험 정보로 분류되므로, 유출 시 과징금과 손해배상 등 막대한 법적·재정적 책임이 발생한다.

기업의 실무 대응 방향으로는 첫째, API 키 관리 전용 솔루션(Key Management System, Vault 등)을 도입하여 인증정보를 암호화 저장하고 접근 로그를 관리해야 한다. 둘째, 제3자에게 API 키를 제공할 때는 IP 화이트리스트, 사용 기간 제한, 호출 횟수 제한 등의 통제를 적용하고, 정기적으로(최소 분기 1회) 키를 갱신해야 한다. 셋째, 가맹점이나 파트너사가 연동 플랫폼을 선택할 때 해당 업체의 ISMS-P 인증 여부, 보안관리 수준을 사전 검증하는 절차를 계약서에 명시해야 한다.

ISMS-P 심사원 체크포인트

1. 인증 및 권한관리 (2.8.2) - API 인증정보 관리
- API 키, 연동키, 액세스 토큰 등 인증정보의 생성·저장·전송·폐기 절차가 문서화되어 있는가?
- 인증정보는 암호화하여 저장하며, 소스코드나 설정파일에 평문으로 하드코딩되지 않는가?
- 제3자에게 제공된 API 키는 IP 제한, 유효기간 설정, 권한 최소화 원칙이 적용되는가?
- 개인정보보호법 제29조(안전조치의무) 위반 여부 점검 필요

2. 외부자 보안 (2.10.3) - 제3자 서비스 보안관리
- 가맹점, 연동 플랫폼 등 제3자에게 개인정보 처리 권한을 위임할 때 보안요구사항을 계약서에 명시하는가?
- 제3자의 보안 수준을 정기적으로 평가·점검하는 절차가 있는가?
- 제3자 서비스 연동 시 최소권한 원칙을 적용하고, 접근 로그를 6개월 이상 보관하는가?
- 개인정보보호법 제26조(업무위탁에 따른 개인정보 처리 제한) 준수 여부

3. 암호화 적용 (2.8.6) - 중요정보 전송·보관 시 암호화
- API 통신 시 TLS 1.2 이상의 안전한 암호화 프로토콜을 사용하는가?
- 연동키, 결제정보 등 중요정보는 전송 및 저장 시 모두 암호화되는가?
- 정보통신망법 시행령 제15조(개인정보의 암호화 조치) 이행 여부

CPPG·ISMS-P 연계 포인트

API 인증 보안 (Authentication Security)
API 키, 연동키, 액세스 토큰 등 인증정보는 시스템 간 신뢰관계를 수립하는 디지털 자격증명이다. CPPG에서는 인증정보의 안전한 생성(충분한 복잡도·무작위성), 안전한 저장(암호화·접근통제), 안전한 전송(TLS/SSL), 정기 갱신, 유출 시 즉시 폐기 등 전체 생명주기 관리를 요구한다. 특히 제3자에게 제공 시 최소권한 원칙, IP 화이트리스트, 유효기간 설정 등의 추가 통제가 필수다.

공급망 보안 (Supply Chain Security)
개인정보 처리 과정에서 가맹점, 파트너사, 외부 플랫폼 등 제3자가 개입할 경우, 자사뿐만 아니라 연결된 모든 주체의 보안 수준이 전체 보안을 결정한다. ISMS-P 2.10.3(외부자 보안)에서는 제3자 선정 시 보안 수준 평가, 계약서 내 보안요구사항 명시, 정기 점검 등을 요구한다. 개인정보보호법 제26조는 업무 위탁 시 수탁자 교육·감독 의무를 명시하며, 위반 시 위탁자도 연대 책임을 진다.