A은행 체크카드 정보 탈취, 3분 만에 340만원 증발…금융앱 본인인증 '구멍' 드러나

체크카드 정보가 유출된 지 단 3분. 7건의 온라인 결제가 연달아 승인되며 340만원이 사라졌다. 금융앱의 허술한 본인인증 절차가 피해를 키웠다는 지적이 나온다.

---

사건 개요: 3분간 벌어진 일

2025년 하반기, A은행 고객 B씨는 황당한 경험을 했다. 자신의 체크카드가 전혀 모르는 금융앱에 등록됐고, 불과 3분 만에 7건의 온라인 결제가 이뤄졌다. 피해 금액은 340만원. B씨가 이상 징후를 인지했을 때는 이미 돈이 빠져나간 뒤였다.

문제는 해커가 탈취한 카드 정보만으로 제3의 금융앱에 카드를 등록하고, 추가 본인인증 없이 결제까지 완료했다는 점이다. 카드번호, 유효기간, CVC 정보만 있으면 누구나 카드 소유자인 것처럼 행세할 수 있었던 셈이다.

---

원인 분석: 본인인증 체계의 구조적 허점

이번 사고의 핵심 원인은 금융앱의 카드 등록 시 본인인증 절차 미흡으로 요약된다.

첫째, 다중 인증(MFA) 부재다. 해당 금융앱은 카드 정보 입력만으로 등록이 가능했다. ARS 인증, 1원 인증, 생체인증 등 추가 본인확인 절차가 없었다. 금융위원회 가이드라인에서 권고하는 '복수의 인증수단 적용'이 무시된 것이다.

둘째, 이상거래탐지시스템(FDS)의 한계다. 3분간 7건의 연속 결제가 발생했음에도 시스템이 이를 이상 패턴으로 감지하지 못했다. 신규 등록 카드로 단시간 다수 결제가 이뤄지는 전형적인 부정거래 징후였지만, 실시간 차단은 작동하지 않았다.

셋째, 정보 탈취 경로의 다변화다. 최근 해커들은 피싱 사이트, 악성 앱, 유출 데이터베이스 조합 등 다양한 방식으로 카드 정보를 수집한다. 한 번 유출된 정보는 다크웹에서 거래되며 여러 범죄에 재활용된다.

---

공통 패턴: 반복되는 금융 침해사고의 특징

최근 금융권 개인정보 침해사고를 살펴보면 몇 가지 공통점이 나타난다.

• 빠른 현금화: 정보 탈취 후 즉시 결제로 연결, 피해자 인지 전에 범행 완료
• 약한 고리 공략: 보안이 상대적으로 취약한 제3자 플랫폼을 우회 경로로 활용
• 자동화된 공격: 봇(Bot)을 이용한 대량·고속 결제 시도

이번 A은행 사례 역시 이러한 패턴을 충실히 따르고 있다.

---

대응 방안: 기업과 기관이 나아가야 할 방향

금융사 및 핀테크 기업은 ▲카드 등록 시 다중 인증 의무화 ▲신규 등록 카드에 대한 FDS 모니터링 강화 ▲결제 한도 및 건수 제한 정책 도입을 검토해야 한다.

금융당국은 제3자 금융앱에 대한 보안 감독을 강화하고, 카드 등록·결제 프로세스에 대한 표준 가이드라인을 보다 구체화할 필요가 있다.

개인 이용자 또한 카드 사용 알림 서비스 설정, 미사용 간편결제 앱 해지, 정기적인 카드 결제 내역 확인 등 자기 방어에 힘써야 한다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

[ISMS-P 인증기준 2.5.1 사용자 인증]

>

정보시스템과 개인정보처리시스템에 대한 접근은 사용자 인증, 로그인 횟수 제한 등 안전한 인증 절차를 거치도록 해야 한다. 특히 중요 정보(금융정보, 개인정보 등) 처리 시에는 추가 인증수단(다중인증, MFA)을 적용하는 것이 권고된다. 이번 사례는 카드 등록이라는 민감한 행위에 단일 인증만 적용하여 발생한 전형적인 인증 통제 실패 사례다.

---

기자 백남정 | 2025년 개인정보보호 심층 리포트