SBS Biz

최근 전자지급결제대행(PG)업계를 겨냥한 침해사고가 이어지자 금융당국이 PG업권의 보안·소비자보호 체계 전면 점검에 나섰습니다.

금융위는 오늘(16일) 유영준 디지털금융정책관 주재로 금융감독원, 금융보안원, 여신금융협회, 핀테크산업협회, 카드사, PG 등과 함께 '프런티어 인공지능(AI) 상황대응반' 6차 회의를 열었습니다.



이번 자리는 AI 모델 성능이 비약적으로 향상되면서 PG업권의 보안 리스크를 긴급 점검하고 향후 대응방향을 논의하기 위해 마련됐습니다.

PG사는 카드사 등 금융회사와 가맹점 사이에서 전자금융거래를 중계하면서 이름과 생년월일, 결제정보 등 다양한 개인정보와 개인신용정보를 처리하고 있습니다.

금융위는 PG사의 규모가 금융회사보다 상대적으로 작지만 다수의 금융회사와 가맹점이 연결된 구조인 만큼 한 곳에서 침해사고가 발생하면 대규모 정보유출이나 카드 부정결제 등으로 피해가 확산될 가능성이 있다고 강조했습니다.

특히 최근 코엠페이먼츠 토스페이먼츠 자체 시스템의 취약점을 직접 공격하는 것뿐 아니라 보안 수준이 상대적으로 낮은 가맹점의 취약점을 이용해 PG사와 연결된 시스템을 공격하는 방식도 나타난 것으로 파악됐습니다.



금융위는 PG사가 자체 시스템뿐 아니라 가맹점 등 외부 접점에서 발생할 수 있는 보안 위협까지 고려해 침해사고 탐지·대응체계를 구축할 필요가 있다고 판단했습니다.

PG사가 보유하는 정보 자체를 줄이는 방안도 추진합니다. 카드정보 등이 유출되면 소비자가 사고 사실을 인지하기 전 부정결제 등 2차 피해로 이어질 수 있는 만큼 업무 과정에서 처리하는 정보를 최소화하고 불필요하거나 과도한 개인정보 수집을 줄이도록 한다는 방침입니다.

정보유출 사고가 실제 발생했을 때 PG사와 카드사 사이의 대응체계도 강화합니다. PG사에서 카드정보 유출이 확인되면 관련 정보를 카드사에 신속하게 공유해 이상거래탐지시스템(FDS)에 등록하고 이상거래와 부정결제 모니터링을 강화하는 방식입니다.

이와 함께 고객에게 사고 사실을 신속히 안내하고 필요하면 카드를 재발급하는 한편, 실제 소비자 피해가 발생한 경우 전액 보상하는 등의 소비자 보호조치도 병행할 필요가 있다고 금융위는 밝혔습니다.

AI를 악용한 새로운 보안 위협에 대한 대응도 강화합니다. 금융위는 지난 3일부터 시행한 2차 망분리 규제 긴급 완화 조치의 참여 대상을 전자금융업자까지 확대하면서 PG업계가 금융AI보안연구소·지원센터와 금융 AI 보안 가이드라인 등 정부가 추진하는 관련 정책을 적극 활용하도록 유도할 방침입니다.

유영준 금융위 디지털금융정책관은 "침해사고 발생 시 카드사, 관계기관과 긴밀히 협력해 소비자 피해 예방조치가 즉각 이뤄질 수 있도록 대응체계를 지속 점검·보완해야 한다"고 밝혔습니다.