토스페이먼츠·코엠페이먼츠 해킹, 가맹점 뚫려 카드정보 수천 건 유출

[핵심요약] 8월 30일부터 9월 1일 사이 토스페이먼츠·코엠페이먼츠가 해킹당해 카드정보 수천 건이 유출됐어요. 가맹점을 먼저 뚫고 PG사 결제망까지 침투한 방식이라 결제망 보안의 약한 고리가 그대로 드러났어요.

2026년 8월 30일 오전 8시 13분부터 9월 1일 새벽 5시 34분 사이, 국내 결제대행업체(PG사)인 토스페이먼츠와 코엠페이먼츠가 잇따라 해킹당했어요. 해커는 가맹점 웹사이트를 먼저 공격해 결제 연동에 쓰이는 인증정보(연동키)를 훔친 뒤, 그 정보로 토스페이먼츠 시스템에 접근해 결제내역을 조회했어요. 토스페이먼츠에서는 결제 4,131건, 정보주체 2,671명의 이름과 마스킹된 카드번호, 승인번호가 노출됐고, 코엠페이먼츠에서는 카드번호와 유효기간, 생년월일, 카드 비밀번호 앞 두 자리까지 유출된 것으로 추정돼요. 침해는 9월 2일 오전에야 뒤늦게 발각됐고, 금융감독원은 9월 9일 현장점검을 정식 검사로 전환했어요.

가맹점에서 시작해 결제망까지 뚫린 공격 흐름

이번 공격은 토스페이먼츠나 코엠페이먼츠의 서버를 직접 노린 게 아니었어요. 해커는 먼저 이 PG사들과 거래하는 가맹점 웹사이트를 공격해서, 결제 시스템을 연동할 때 쓰는 인증키를 빼냈어요. 그다음 이 인증키를 그대로 들고 토스페이먼츠에 접근해서 결제내역을 조회하는 방식으로 카드정보를 긁어갔어요. 코엠페이먼츠 쪽은 피해가 더 커서 카드번호, 유효기간, 생년월일에 카드 비밀번호 앞 두 자리까지 넘어간 것으로 추정되는데, 회사 측은 개별 거래내역과 카드정보를 따로 보유하고 있지 않아 정확한 피해 범위를 확인하는 데도 시간이 걸리고 있어요. 더 큰 문제는 발각 시점이에요. 실제 공격은 8월 30일부터 9월 1일 사이에 일어났는데, 회사와 금융당국 모두 이를 인지하지 못하다가 9월 2일이 돼서야 뒤늦게 확인됐어요. 공격자의 접속 IP는 중국계로 추정되지만, IP 우회 수법이 워낙 다양해서 국적을 특정하기는 어렵다는 게 금융당국의 설명이에요. 금융감독원은 9월 9일 현장점검을 정식 검사로 전환해서 정확한 침해 경로와 유출 규모를 들여다보고 있고, 이 사고를 계기로 금융위원회는 9월 16일 '프런티어 AI 보안위협 금융권 상황대응반' 회의를 열어 PG업권 전반의 보안 점검과 소비자 피해 차단 체계 마련에 나섰어요.

왜 특히 위험한 사례인가?

이번 사고가 위험한 이유는 공격 대상이 대형 금융사가 아니라 상대적으로 규모가 작은 가맹점이었다는 점이에요. 가맹점 하나의 보안 수준이 낮으면, 그 가맹점과 연동된 PG사 전체의 결제망까지 뚫릴 수 있다는 걸 이번 사고가 그대로 보여줬어요. PG사는 수많은 가맹점과 카드사를 연결하는 중간 다리 역할을 하기 때문에, 약한 고리 하나가 뚫리면 피해가 여러 카드사 고객으로 한꺼번에 번지는 구조예요. 여기에 전자금융거래법 제21조의 '안전성 확보의무'도 쟁점이 되고 있어요. 토스페이먼츠는 직접 해킹당한 적이 없다는 입장이지만, 금융당국은 최초 공격 지점이 가맹점이었다는 이유만으로 책임을 피하기는 어렵다고 보고 있어요. 실제로 결제정보가 토스페이먼츠 쪽에서 유출된 이상, 침입을 막거나 탐지하는 보안체계가 제대로 작동했는지가 핵심이라는 거예요. 업계에서는 생성형 AI를 활용해 가맹점의 취약점을 훨씬 빠르게 찾아내고 공격을 자동화했을 가능성도 제기되고 있어서, 앞으로 이런 유형의 공급망형 침투가 더 잦아질 수 있다는 우려도 나와요.

우리 회사도 대비하려면?

결제 연동 구조를 쓰는 기업이라면 가맹점이든 PG사든 '내 시스템만 지키면 된다'는 생각부터 버려야 해요. 파트너사나 연동 업체에 내준 API키, 인증키가 얼마나 넓은 권한을 갖고 있는지부터 점검하고, 필요한 최소한의 권한만 부여하는 구조로 바꾸는 게 첫걸음이에요. 그다음으로는 이상 거래 탐지 체계를 실시간으로 돌려야 해요. 이번 사고처럼 짧은 시간에 대량으로 결제내역이 조회되는 패턴은 정상적인 이용 행태와는 확실히 다르기 때문에, 임계값을 촘촘하게 설정해두면 발각 시점을 며칠 단위가 아니라 몇 시간 단위로 앞당길 수 있어요. 또 하나 챙겨야 할 건 파트너사·가맹점의 보안 수준 관리예요. 내 회사의 보안이 아무리 튼튼해도, 연동된 외부 업체가 뚫리면 그 구멍을 통해 핵심 시스템까지 침투당할 수 있다는 걸 이번 사고가 보여줬어요. 정기적으로 연동 업체의 보안 점검 이력을 확인하고, 이상 징후가 보이면 즉시 연동을 끊을 수 있는 비상 절차도 미리 마련해두는 게 좋아요.

이런 게 보이면 바로 확인해보세요

• 가맹점·연동업체에 내준 API키·인증키를 최근 변경하거나 점검한 적이 있는지 확인해요
• 결제·조회 로그에 낯선 IP나 짧은 시간에 대량 조회된 흔적이 없는지 살펴봐요
• 이상거래탐지시스템(FDS)의 임계값을 최근에 점검한 적이 있는지 확인해요
• 카드사·PG사로부터 온 이상 거래 통보나 알림을 놓친 게 없는지 확인해요
• 연동된 가맹점·하도급 업체의 보안 점검 이력이 최근 것인지 확인해요

가맹점이 먼저 뚫렸는데 왜 토스페이먼츠가 책임 문제로 거론되나요?

전자금융거래법 제21조는 PG사에게 '안전성 확보의무'를 지우고 있어요. 최초 침입 지점이 가맹점이었더라도, 그 침입을 탐지하고 차단하는 보안체계가 토스페이먼츠 쪽에서 제대로 작동했는지가 관건이라 금융당국은 관리 책임을 물을 방침이에요.

토스페이먼츠 이용자도 카드 비밀번호가 유출됐나요?

토스페이먼츠 쪽에서 조회된 정보는 이름, 마스킹된 카드번호, 승인번호 수준이고 비밀번호·유효기간·CVC는 포함되지 않았어요. 다만 코엠페이먼츠는 카드 비밀번호 앞 두 자리까지 유출된 것으로 추정되고 있어서, 두 회사의 피해 수준을 같게 볼 수는 없어요.

공격자가 중국 해커라는 게 확정된 건가요?

접속 IP가 중국계로 추정된다는 정황은 있지만, IP 우회 방법이 다양해서 국적을 특정할 수 있는 단계는 아니라고 금융당국이 밝혔어요. 정확한 배후는 금융감독원 검사 결과를 지켜봐야 해요.

이번 사고는 결제망 보안에서 가장 약한 고리가 대형 PG사가 아니라 그 주변의 작은 가맹점일 수 있다는 걸 보여줬어요. 침해가 실제로는 8월 말에 시작됐는데도 열흘 가까이 아무도 눈치채지 못했다는 사실은, 결제 생태계 전체의 실시간 탐지 체계가 여전히 허술하다는 신호이기도 해요. 금융당국이 PG업권 전반의 보안 점검에 나선 지금, 비슷한 연동 구조를 쓰는 기업이라면 남 일로 넘기지 말고 자기 파트너사부터 다시 들여다볼 때예요.

이번 사고처럼 가맹점 같은 바깥쪽 접점 하나가 뚫리면 그 여파가 핵심 결제망 안쪽까지 그대로 번질 수 있어요. 바깥쪽 시스템이 뚫리더라도 핵심 데이터와 백업만큼은 물리적으로 격리해서 손댈 수 없게 막는 구조가 필요한 이유예요. 물리적으로 분리된 이중 데이터 다이오드 방식의 디포트리스가 그 역할을 해줘요. 바깥쪽이 뚫려도 안쪽 핵심 데이터는 어떻게 지키는지 궁금하다면 여기서 확인해보세요.