A은행 체크카드 정보 유출, 3분 만에 340만원 탈취…MFA·FDS 부재가 화 키웠다

---

2025년 하반기, A은행 고객의 체크카드 정보가 외부로 유출돼 제3자 금융앱에 무단 등록되는 사고가 발생했다. 해커는 단 3분 만에 7건의 온라인 결제를 시도해 340만원을 탈취했으며, 다중인증(MFA) 미적용과 이상거래탐지시스템(FDS) 미작동이 핵심 원인으로 지목되고 있다.

---

사건 개요: 3분간의 연쇄 부정결제

이번 사고는 피해자의 체크카드 정보(카드번호, 유효기간, CVC 등)가 알 수 없는 경로로 유출되면서 시작됐다. 공격자는 탈취한 정보를 이용해 제3자 간편결제 앱에 피해자 명의의 카드를 무단 등록한 뒤, 불과 3분이라는 짧은 시간 동안 7건의 온라인 결제를 연속 실행했다.

피해자는 결제 알림 문자를 뒤늦게 확인하고 카드사에 신고했으나, 이미 340만원 상당의 금액이 빠져나간 후였다. 통상 이상거래탐지시스템이 정상 작동했다면 동일 카드로 단시간 내 다수 결제가 발생할 경우 자동 차단됐어야 하나, 이번 건에서는 FDS가 전혀 작동하지 않았던 것으로 확인됐다.

---

원인 분석: 이중 보안 체계의 동시 실패

금융보안 전문가들은 이번 사고의 핵심 원인으로 두 가지 보안 장치의 동시 부재를 지적한다.

첫째, 다중인증(MFA) 미적용이다. 문제의 제3자 금융앱은 카드 등록 시 카드 정보 입력만으로 등록이 완료되는 구조였다. 본인 명의 휴대폰 인증, ARS 확인, 생체인증 등 추가 인증 절차가 없어 탈취된 정보만으로도 손쉽게 카드 등록이 가능했다.

둘째, 이상거래탐지시스템(FDS) 미작동이다. 3분간 7건의 연속 결제는 명백한 이상 패턴임에도 FDS가 이를 감지하지 못했다. 이는 탐지 룰셋의 부실 설정 또는 시스템 자체의 장애 가능성을 시사한다.

---

공통 패턴: 간편결제 확대의 그림자

최근 간편결제 서비스가 급격히 확산되면서 '편의성'과 '보안' 사이의 균형이 무너지는 사례가 반복되고 있다. 카드 등록 절차를 간소화할수록 부정 등록 위험은 높아지고, 실시간 모니터링 체계가 뒷받침되지 않으면 피해는 순식간에 확대된다.

금융당국은 2024년부터 전자금융업자에 대해 FDS 구축 의무를 강화했으나, 중소형 핀테크 업체의 경우 비용 부담을 이유로 형식적 도입에 그치는 경우가 적지 않다는 지적이 나온다.

---

기업·기관 대응 방안

• 카드 등록 시 MFA 의무화: 카드번호 외 본인 확인 수단(SMS, 생체인증, 공동인증서 등)을 필수 적용해야 한다.
• FDS 고도화 및 상시 점검: 단시간 다건 결제, 신규 기기 등록 후 즉시 결제 등 고위험 시나리오에 대한 탐지 룰을 정교화하고, 정기적인 모의훈련을 실시해야 한다.
• 실시간 알림 및 즉시 차단 체계 구축: 이상 징후 발생 시 고객에게 즉시 푸시 알림을 발송하고, 일정 횟수 이상 연속 결제 시 자동 차단하는 체계가 필요하다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

[ISMS-P 인증기준 2.9.7 이상행위 분석 및 모니터링]

>

개인정보처리시스템에 대한 접근 및 이용 행위를 실시간으로 분석·모니터링하고, 이상행위 발생 시 즉시 대응할 수 있는 체계를 수립해야 한다. 본 사례는 FDS 미작동으로 인한 이상행위 탐지 실패의 전형적 사례로, "이상행위 탐지 기준의 적절성"과 "실시간 대응 체계 구축 여부"가 핵심 점검 사항임을 보여준다.

---

백남정 기자 | 개인정보보호 전문