금융당국, PG사 보안체계 점검…정보유출 땐 카드사와 즉각 공유

최근 PG사 침해사고 계기로 보안 리스크 점검

FDS 등록·부정결제 모니터링 강화

금융당국이 최근 PG사 침해사고를 계기로 카드사와 PG사 등과 함께 PG업권의 보안 리스크와 소비자 피해 대응체계 점검에 나섰다.ⓒ금융위원회

금융당국이 최근 전자지급결제대행(PG)사 침해사고를 계기로 PG업권의 보안 리스크와 사고 대응체계 점검에 나섰다.

PG사에서 카드정보 등이 유출될 경우 카드사와 신속하게 정보를 공유해 이상거래 탐지와 부정결제 모니터링을 강화하는 등 소비자 피해를 막기 위한 공조체계도 강화한다.

금융위원회는 16일 이날 유영준 디지털금융정책관 주재로 금융감독원과 금융보안원, 여신금융협회, 핀테크산업협회, 카드사 2곳, PG사 4곳 등이 참석한 가운데 '프런티어 AI 상황대응반' 6차 회의를 개최했다.

이번 회의는 인공지능(AI) 모델 성능이 빠르게 향상되면서 AI가 해킹 등에 악용될 우려가 커지는 가운데 최근 침해사고가 발생한 PG업권의 보안 리스크와 대응 방향을 점검하기 위해 마련됐다.

PG사는 금융회사와 가맹점 사이에서 전자금융거래를 중계하면서 개인정보와 결제정보 등 개인신용정보를 처리한다.

PG사에서 침해사고가 발생하면 대규모 개인신용정보 유출과 카드 부정결제 등 소비자 피해로 이어질 수 있는 만큼 금융회사 수준의 보안관리가 필요하다는 게 금융당국의 설명이다.

이날 회의에서는 PG업권의 개인신용정보 보유·관리 현황과 발생 가능한 주요 침해사고 유형, 개인신용정보 유출 시 대응체계 등을 집중적으로 점검했다.

최근에는 PG사 자체의 보안 취약점을 직접 노리는 방식뿐 아니라 상대적으로 보안이 취약한 가맹점을 통해 PG사를 공격하는 우회 공격도 빈발하고 있는 것으로 나타났다.

참석자들은 PG사가 자체 시스템뿐 아니라 가맹점 등 외부 접점에서 발생할 수 있는 보안위협까지 고려해 침해사고 탐지·대응체계를 마련할 필요가 있다는 데 공감했다.

정보 유출에 따른 피해를 줄이기 위해 PG사가 처리하는 정보 자체를 최소화하고 불필요하거나 과도한 정보를 수집하지 않아야 한다는 의견도 나왔다.

침해사고 발생 이후 PG사와 카드사, 관계기관 간 정보 공유도 강화한다.

PG사에서 카드정보가 유출되면 이를 신속하게 카드사와 공유해 이상거래탐지시스템(FDS)에 등록하고 이상거래와 부정결제에 대한 모니터링을 강화할 수 있도록 할 방침이다.

고객에게 사고 사실을 신속하게 안내하고 카드 재발급과 소비자 피해 전액 보상 등 보호조치도 함께 이뤄져야 한다고 금융당국은 강조했다.

유 정책관은 "PG사는 금융회사에 비해 상대적으로 규모가 작지만 다수의 금융회사, 가맹점과 연결돼 대량의 개인신용정보를 처리하고 있는 만큼 보안사고로 인한 소비자 피해가 발생하지 않도록 철저한 보안관리가 중요하다"고 말했다.

이어 "침해사고 발생시에는 카드사, 관계기관과 긴밀히 협력해 소비자 피해 예방조치가 즉각 이루어질 수 있도록 대응체계를 지속 점검·보완해야 한다"고 강조했다.