토스페이먼츠·코엠페이먼츠 카드정보 유출 사고, 가맹점 연동키 노출부터 금감원 검사까지

[핵심요약] 국내 PG사 코엠페이먼츠와 토스페이먼츠 결제망에서 카드번호·유효기간·카드 비밀번호 일부가 유출됐을 가능성이 나왔어요. 가맹점 1곳의 연동키 노출이 원인으로 지목됐고, 금감원은 현장점검을 검사로 전환했어요.

2026년 8월 30일 오전 8시 13분부터 9월 1일 오전 5시 34분 사이, 국내 전자지급결제대행(PG)사 코엠페이먼츠의 결제 시스템이 해킹당했어요. 코엠페이먼츠가 사고를 인지한 건 사흘 뒤인 9월 2일 오전 8시였고, 같은 결제망을 함께 쓰는 토스페이먼츠 가맹점 정보까지 영향권에 들었어요. 유출 가능성이 제기된 정보는 카드번호, 카드 유효기간, 생년월, 카드 비밀번호 앞 2자리까지 포함됐고, 영향받은 결제 건수는 4,131건, 정보주체는 2,671명으로 파악됐어요. 금융감독원은 두 회사에 대해 진행하던 현장점검을 검사로 전환하면서 침투 경로와 유출 범위를 들여다보고 있어요.

어떻게 뚫렸나 — "해킹 아니다"라는 토스페이먼츠의 해명?

토스페이먼츠는 이번 사고에 대해 자사 시스템이 직접 뚫린 게 아니라, PG 서비스를 이용하는 특정 가맹점 1곳의 결제연동플랫폼 인증정보, 이른바 '연동키'가 노출되면서 벌어진 일이라고 선을 그었어요. 연동키는 가맹점이 PG사 결제망에 접속할 때 쓰는 일종의 마스터키인데, 이 키 하나가 새어나가면 그 가맹점을 거쳐 가는 실제 카드 결제 데이터까지 들여다볼 수 있는 구조였던 거예요. 여기에 더해 이번 공격은 중국인으로 추정되는 해커가 저지른 것으로 알려졌는데, 금융당국이나 피해 업체보다 해커 쪽이 먼저 침해 사실을 외부에 알린 정황까지 나왔어요. 공격자 이메일에 한자가 쓰여 있었다는 점이 국적 추정의 단서가 됐지만, 금융당국은 아직 국적을 특정할 단계는 아니라고 밝혔어요.

왜 위험한가 — PG사 하나가 아니라 '연동 구조' 전체가 흔들린다?

이번 사고가 특히 눈에 띄는 이유는 정작 뚫린 게 토스페이먼츠라는 대형 PG사의 코어 시스템이 아니라, 그 아래 연결된 가맹점 한 곳의 열쇠였다는 점이에요. PG사들은 여러 가맹점의 결제 요청을 하나의 망으로 중계하는 구조라서, 연동키처럼 인증 정보 하나만 새어나가도 그 키를 발급받은 가맹점을 거쳐 가는 카드 결제 데이터가 함께 노출될 수 있어요. 보안을 아무리 강하게 걸어둔 대형 PG사라도, 연동된 가맹점 중 단 한 곳의 키 관리가 허술하면 전체 결제망이 함께 흔들릴 수 있다는 뜻이에요. 게다가 유출 정보에 카드 비밀번호 앞 2자리까지 포함됐을 가능성이 나오면서, 단순 개인정보 유출을 넘어 실제 부정결제로 이어질 수 있는 금융 사고로 번질 위험이 커요.

우리 회사도 대비하려면?

이번 사고에서 배울 점은 명확해요. 외부 서비스와 연동할 때 쓰는 API 키나 연동키 같은 인증 정보는 한 번 발급하고 나면 방치되기 쉬운데, 이런 키가 유출되면 그 자체로 시스템 하나가 통째로 뚫리는 것과 같은 효과를 낼 수 있어요. 주기적으로 키를 교체(로테이션)하고, 키마다 접근 가능한 데이터 범위를 필요한 만큼만 제한해두는 게 기본이에요.

또 하나 눈여겨볼 대목은 코엠페이먼츠가 실제 침해 발생 시점(8월 30일)과 인지 시점(9월 2일) 사이에 사흘 가까운 간격이 있었다는 점이에요. 침해가 벌어진 뒤 사람이 로그를 뒤늦게 들여다봐서야 알아채는 구조라면, 그 사이 시간은 고스란히 공격자에게 넘어가는 골든타임이에요. 결제·고객정보처럼 민감한 데이터를 다루는 시스템일수록 이상 접근을 실시간으로 잡아내는 상시 모니터링 체계와, 설사 앞단이 뚫리더라도 핵심 데이터베이스나 백업까지는 손댈 수 없게 분리해두는 구조를 함께 갖춰야 해요.

이런 증상이 보이면 이미 위험 신호예요.

• 외부 가맹점·파트너사에 발급한 연동키·API 키를 6개월 넘게 그대로 쓰고 있어요.
• 연동키 하나로 접근 가능한 데이터 범위가 필요 이상으로 넓게 설정돼 있어요.
• 결제·고객정보 시스템에 평소와 다른 시간대나 해외 IP에서의 접근 로그가 보여요.
• 침해 발생 시점과 이를 인지한 시점 사이에 며칠 이상 공백이 생기고 있어요.
• 협력업체·가맹점에 넘긴 인증정보가 유출됐을 때 즉시 통보받을 계약·프로세스가 없어요.

가맹점 한 곳의 연동키 노출인데, 왜 토스페이먼츠까지 책임 논란이 이는 건가요?

PG사는 여러 가맹점의 결제를 하나의 인프라로 중계하는 입장이라, 소비자 눈에는 결국 익숙한 PG사 브랜드로 사고가 보이기 때문이에요. 실제 침해 지점이 어디든 결제 데이터가 오간 통로가 토스페이먼츠 망이라면, 브랜드 신뢰와 책임 소재를 둘러싼 논란은 피하기 어려워요.

카드 비밀번호 앞 2자리만 유출되면 실제로 위험한가요?

국내 카드 결제 시스템 상당수는 비밀번호 4자리 전체가 아니라 앞 2자리만 저장·대조하는 방식을 쓰고 있어서, 앞 2자리 유출이 사실상 인증 정보 전체가 새어나간 것과 비슷한 효과를 낼 수 있어요. 카드번호·유효기간·생년월까지 함께 유출됐다면 부정결제로 이어질 조건이 상당수 갖춰지는 셈이에요.

이번처럼 가맹점 연동키가 유출되면 카드사·PG사는 어떤 절차를 밟나요?

보통은 유출 정황을 인지한 즉시 해당 카드를 정지·재발급 대상으로 분류하고, 금융당국에 사고를 보고한 뒤 현장점검이나 검사를 받게 돼요. 이번 사건도 금감원이 현장점검을 검사로 전환하면서 침투 경로와 유출 범위를 공식적으로 들여다보는 단계로 넘어갔어요.

이번 사고는 대형 PG사의 보안이 아무리 탄탄해도, 그 아래 연결된 가맹점 하나의 인증키 관리가 허술하면 전체 결제망이 함께 흔들릴 수 있다는 걸 보여줬어요. 침해 발생부터 인지까지 사흘의 공백, 그리고 회사보다 해커가 먼저 사실을 알린 정황은 국내 결제 인프라의 탐지 체계가 아직 갈 길이 멀다는 신호이기도 해요. 금감원 검사 결과에 따라 추가 유출 규모나 책임 소재가 더 드러날 가능성이 높은 만큼, 이 사건은 당분간 계속 지켜볼 필요가 있어요.

이번 사고처럼 외부에 노출된 인증키 하나로 결제망 전체가 흔들리는 걸 보면, 인증 정보가 뚫려도 핵심 데이터만큼은 물리적으로 손댈 수 없게 분리해두는 구조가 왜 필요한지 알 수 있어요. 물리적으로 분리된 이중 데이터 다이오드 방식의 디포트리스가 그 역할을 해줘요. 키 하나가 뚫려도 왜 핵심 데이터는 안전한지 궁금하다면 여기서 확인해보세요.