금융위, PG사 보안 리스크 긴급 점검…AI 해킹 위협에 맞선 전방위 대응 강화

최근 전자지급결제대행(PG)사를 겨냥한 침해사고가 잇따르면서 금융당국이 칼을 빼 들었습니다. 금융위원회는 지난 16일, 유영준 디지털금융정책관 주재로 금융감독원, 금융보안원, 여신금융협회, 핀테크산업협회 및 주요 카드사와 PG사 관계자들이 참석한 가운데 '프런티어 AI 상황대응반' 제6차 회의를 개최했습니다. 이번 회의는 인공지능(AI) 기술의 비약적인 발전으로 해킹 위협이 더욱 고도화되는 상황에서, 상대적으로 보안이 취약한 PG업권의 리스크를 긴급 점검하고 실효성 있는 대응 방안을 마련하기 위해 긴급히 소집되었습니다.

PG사는 카드사 등 금융회사와 가맹점 사이에서 전자금융거래를 중계하는 핵심적인 역할을 수행합니다. 이 과정에서 이름, 생년월일, 결제정보 등 민감한 개인신용정보를 대량으로 처리하게 되는데, 만약 PG사에서 보안 사고가 발생할 경우 단순한 정보 유출을 넘어 카드 부정결제와 같은 직접적인 금전 피해로 이어질 가능성이 매우 큽니다. 금융당국은 이러한 위험성을 인지하고, PG업계에 금융회사 수준의 철저한 보안 관리 체계를 구축할 것을 강력히 주문했습니다.

가맹점 우회 공격까지…진화하는 해킹 위협

이번 회의에서 특히 주목받은 점은 해킹 공격 방식의 다각화입니다. 과거에는 PG사 자체 시스템의 보안 취약점을 직접 노리는 공격이 주를 이루었다면, 최근에는 보안 수준이 상대적으로 낮은 가맹점을 먼저 공격한 뒤 이를 경유해 PG사 시스템으로 침투하는 '우회 공격'이 빈번하게 나타나고 있습니다. 실제로 최근 토스페이먼츠의 가맹점 1곳을 통해 결제 연동 정보가 노출되거나, 코엠페이먼츠의 서버 공격으로 카드 정보가 유출되는 등 외부 접점을 노린 사고가 현실화되었습니다.

이에 따라 금융당국과 업계 관계자들은 PG사가 자체 시스템뿐만 아니라 가맹점 등 외부 접점에서 발생할 수 있는 모든 보안 위협을 종합적으로 고려해야 한다는 데 의견을 모았습니다. 침해사고 탐지 및 대응 체계를 단순히 내부망에 국한하지 않고, 외부 연결망까지 확장하여 전방위적인 보안망을 구축해야 한다는 것입니다.

소비자 피해 최소화를 위한 제도 개선

금융당국은 정보 유출 사고 발생 시 소비자 피해를 최소화하기 위한 구체적인 대응 체계도 정비하고 있습니다. 우선, PG사가 업무 과정에서 처리하는 개인정보를 필수적인 수준으로 최소화하고, 불필요하거나 과도한 정보 수집을 지양하도록 관리할 방침입니다. 보유하고 있는 정보 자체가 줄어들면, 설령 해킹 사고가 발생하더라도 유출되는 정보의 양과 그에 따른 2차 피해 가능성을 획기적으로 낮출 수 있기 때문입니다.

또한, 사고 발생 시 PG사와 카드사, 금융당국 간의 실시간 정보 공유 체계를 강화하기로 했습니다. 카드 정보 유출이 확인되는 즉시 카드사가 이상거래탐지시스템(FDS)에 해당 정보를 등록하여 부정결제를 원천 차단하고, 고객 안내와 카드 재발급, 피해 전액 보상 등 신속한 소비자 보호 조치가 즉각적으로 이루어지도록 할 계획입니다.

AI 보안 정책 활용 및 망분리 규제 완화

금융당국은 AI를 악용한 해킹 위협에 맞서기 위해 AI를 활용한 보안 역량 강화도 적극 권장하고 있습니다. 지난 9월 3일 시행된 제2차 망분리 규제 긴급 완화 조치 대상에 전자금융업자가 포함된 만큼, PG사들도 이를 적극 활용하여 보안 취약점을 탐지하고 개선하는 데 AI 기술을 도입할 수 있게 되었습니다. 유영준 디지털금융정책관은 "PG사는 규모는 상대적으로 작지만 다수의 금융회사와 가맹점에 연결되어 대량의 개인신용정보를 처리하는 만큼, 보안사고로 인한 소비자 피해가 발생하지 않도록 철저한 관리가 중요하다"고 강조하며, 금융AI 보안 가이드라인 등 정부가 추진하는 정책에 적극적으로 참여해 줄 것을 당부했습니다.

이번 금융당국의 긴급 점검은 PG업권의 보안 수준을 한 단계 끌어올리는 계기가 될 것으로 보입니다. 금융 생태계의 연결성이 높아진 만큼, PG사를 비롯한 모든 전자금융업자가 보안 강화에 힘써야 한다는 인식이 확산되고 있습니다. 앞으로도 금융당국은 이번 회의를 계기로 PG업권의 보안 체계 및 소비자 보호 체계를 면밀히 살펴보고, 필요한 제도 개선 사항을 지속적으로 발굴해 나갈 예정입니다.