토스페이먼츠, 가맹점 결제내역 4131건 노출…2671명 영향

"직접 해킹 아닌 가맹점서 연동키 노출"

CVC 등 미포함·부정결제 피해 없어

금감원, 현장검사 착수

토스의 전자지급결제대행(PG) 계열사 토스페이먼츠의 특정 가맹점에서 결제내역 4000여건이 유출됐다.ⓒ토스

토스페이먼츠 가맹점에서 4000여건의 결제 내역이 유출됐다.

토스 측은 민감한 결제 정보는 포함되지 않았다고 밝혔는데, 금융당국은 유출 규모 등 구체적인 사실관계를 파악하는 중이다.

9일 토스페이먼츠는 전자지급결제대행(PG) 서비스를 이용하는 특정 가맹점 한 곳에서 결제내역 일부가 제3자에게 조회된 사실을 확인했다고 밝혔다.

토스페이먼츠에 따르면 해당 가맹점 웹사이트의 결제연동 플랫폼 인증정보가 노출되면서 제3자가 결제내역을 조회했다.

이번 공격에 영향을 받은 결제는 4131건이며 정보주체는 2671명으로 집계됐다.

조회된 정보는 구매자 이름, 마스킹 처리된 카드번호, 승인번호 등 영수증 수준의 결제내역이다.

토스페이먼츠 측은 카드 비밀번호와 유효기간, CVC 등 민감한 정보는 포함되지 않았단 설명이다.

또 해당 결제 시스템이 해킹되거나 취약점 공격을 받은 것은 아니라고 부연했다.

토스페이먼츠 관계자는 "현재까지 부정 결제 등 피해 사례는 확인되지 않았다"며 "해당 접근 경로를 차단하고 대상 고객 통지와 금융당국 보고를 마쳤다"고 말했다.

이와 관련해 금융감독원은 지난 7일부터 토스페이먼츠와 코엠페이먼츠를 대상으로 점검을 진행했으며, 이날부터 현장 검사로 전환했다.

금감원은 현장 검사를 통해 유출 정보와 규모 등 정확한 피해 실태를 점검할 예정이다.