A은행 체크카드 정보 유출, 3분 만에 340만원 증발…MFA·FDS 부재가 화 키웠다

---

금융권 보안 허점 여실히 드러나…다중인증 미적용·이상거래탐지 실패로 고객 피해 발생

A은행 고객의 체크카드 정보가 외부로 유출되어 제3자 간편결제 앱에 무단 등록되는 사고가 발생했다. 해커는 단 3분 만에 7건의 온라인 결제를 통해 340만원을 탈취했으며, 금융보안의 핵심 방어선인 다중인증(MFA)과 이상거래탐지시스템(FDS)이 모두 작동하지 않아 피해를 키운 것으로 드러났다.

---

사건 경위

이번 사고는 A은행 고객의 체크카드 번호, 유효기간, CVC 등 결제 정보가 유출되면서 시작됐다. 유출 경로는 현재 조사 중이나, 피싱 사이트나 정보탈취 악성코드(인포스틸러) 감염 가능성이 제기되고 있다.

공격자는 탈취한 카드 정보를 이용해 제3자 간편결제 앱에 해당 카드를 무단 등록했다. 문제는 이 과정에서 본인 확인을 위한 추가 인증 절차가 전혀 요구되지 않았다는 점이다. 카드 정보만으로 등록이 완료되자, 해커는 곧바로 온라인 쇼핑몰에서 7건의 결제를 연속 시도해 총 340만원을 빼돌렸다.

더욱 심각한 것은 3분이라는 극히 짧은 시간 동안 7건의 연속 결제가 이루어졌음에도 FDS가 이를 이상거래로 탐지하지 못했다는 사실이다. 통상적으로 동일 카드에서 단시간 내 다수의 결제가 발생하면 FDS가 거래를 차단하거나 고객에게 알림을 보내야 하지만, 이번 사고에서는 어떠한 방어 조치도 작동하지 않았다.

---

핵심 원인 분석

1. 다중인증(MFA) 미적용

간편결제 앱에 카드 등록 시 SMS 인증, 생체인증, ARS 확인 등 **추가 본인확인 절차가 없었다**. 카드 정보만 입력하면 누구나 등록할 수 있는 구조적 허점이 공격의 빌미가 됐다.

2. FDS 탐지 규칙의 부실

단시간 내 동일 카드의 연속 결제, 신규 디바이스에서의 첫 거래, 평소와 다른 가맹점 유형 등 **명백한 이상 징후를 탐지하지 못했다**. FDS 규칙이 지나치게 느슨하게 설정되어 있거나, 실시간 모니터링 체계가 미흡했던 것으로 보인다.

3. 고객 알림 체계 부재

결제 발생 시 실시간 알림이 제공되지 않아 **피해자가 사후에야 피해 사실을 인지**했다. 즉각적인 대응 기회를 놓친 셈이다.

---

기업·기관 대응 방안

첫째, 간편결제 연동 시 반드시 다중인증(MFA)을 의무화해야 한다. 카드 정보 외에 SMS·생체·ARS 등 최소 2개 이상의 인증 수단을 적용해 무단 등록을 원천 차단해야 한다.

둘째, FDS 탐지 규칙을 고도화하고 실시간 모니터링 체계를 강화해야 한다. 단시간 연속 결제, 신규 기기·IP, 이례적 거래 패턴 등에 대한 탐지 임계값을 재점검하고, AI 기반 이상행위 분석 도입을 검토할 필요가 있다.

셋째, 결제 발생 즉시 실시간 알림 서비스를 기본 제공하여 고객이 즉각 대응할 수 있도록 해야 한다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

ISMS-P 인증기준 2.6.2 '접근권한 관리' 및 2.9.4 '이상행위 탐지 및 모니터링'과 직접 연계된다. 금융 시스템에서 민감 정보(카드정보) 처리 시 다중인증 적용 의무와 이상행위 실시간 탐지·대응 체계 구축이 핵심 통제항목임을 기억하자. 시험에서 "FDS 미작동으로 인한 침해사고 발생 시 미흡한 인증기준"을 묻는 문제가 출제될 수 있다.

---

백남정 기자 (개인정보보호 전문)