PG 해킹 전액보상, 내 결제정보 안전해질까

전액보상, 무엇이 바뀌나

간편결제를 자주 쓰는 사람이라면 최근 소식이 반가우면서도 불안했을 것이다. 2026년 9월 토스페이먼츠와 코엠페이먼츠에서 결제 정보가 잇따라 새어 나갔고, 금융위원회는 9월 16일 긴급 보안점검에서 이상거래탐지시스템 등록과 카드 재발급, 피해 전액보상을 신속히 추진하겠다고 밝혔다.

사실 뼈대는 새롭지 않다. 전자금융거래법은 이미 전자금융사고에 대해 사업자의 무과실 책임을 원칙으로 두고 있어, 이용자에게 책임을 포괄적으로 떠넘길 수 없다. 이번 조치는 그 원칙을 이번 사고에 분명히 적용하고 집행을 강화하겠다는 신호에 가깝다. 다만 완전히 새로운 의무 입법인지는 아직 구체화되지 않았다.

핵심은 이것이 '사후 안전망'이라는 점이다. 돈이 부당하게 빠져나갔을 때 돌려받을 길이 넓어지는 것이지, 내 정보가 새는 일 자체를 막아 주는 장치는 아니다.

내 정보는 왜, 어떻게 샜나

Mikhail Nilov

이번 두 사고는 성격이 달랐다. 토스페이먼츠는 가맹점 한 곳의 결제 연동키가 노출되면서 제3자가 결제 내역을 조회한 경우다. 회사는 자사 시스템이 해킹당한 것은 아니라고 설명했고, 조회된 정보는 성명과 마스킹된 카드번호, 승인번호 등 영수증 수준으로 결제건수 4,131건, 정보주체 2,671명 규모였다. 반면 코엠페이먼츠는 서버가 직접 공격당해 카드번호와 유효기간, 생년월일 같은 더 민감한 정보가 유출됐다.

소비자로서 답답한 지점은 여기 있다. 결제할 때 내 정보가 어떤 PG사를 거치는지 대개 알 수 없다. 쇼핑몰이 결제 시스템을 어떤 업체와 붙였는지에 따라 결정되기 때문이다. 카드사나 결제 수단은 고를 수 있어도, 정보가 지나가는 경로는 사실상 선택 밖이다.

AI가 공격의 문턱을 낮춘다

예방이 더 중요해진 배경에는 공격 방식의 변화가 있다. 금융보안업계에서는 AI를 활용한 해킹 시도가 늘고 있다고 본다. 아직 흔한 수법은 아니지만, 이미 알려진 취약점을 방치한 기업을 겨냥해 AI 에이전트가 자동으로 약한 고리를 찾아 공격하는 사례가 늘고 있다는 것이다. 이번에도 문제가 된 통로는 보안이 허술한 가맹점을 통한 우회 경로였다.

같은 도구는 이용자를 노리는 데도 쓰인다. AI로 만든 피싱 문자나 메일은 예전보다 훨씬 자연스럽고 그럴듯해졌다. 보상 제도가 생긴다고 해서 이런 시도가 줄어드는 것은 아니다.

지금 할 수 있는 것

제도 정비를 기다리는 동안, 이용자가 스스로 챙길 수 있는 습관은 분명하다.

• 결제 알림 켜기: 카드사 앱이나 문자로 승인 알림을 받도록 설정한다. 낯선 결제를 가장 빨리 잡아내는 방법이다.
• 명세 정기 확인: 소액이라도 기억에 없는 결제가 있는지 정기적으로 들여다본다. 유출된 정보는 작은 금액 시험 결제로 먼저 쓰이는 경우가 많다.
• 유출 통지 대응: 이용하던 업체에서 유출 안내를 받으면 미루지 말고 카드를 재발급받고, 같은 비밀번호를 쓰던 다른 계정도 바꾼다.
• 인증 강화: 결제·금융 앱에는 2단계 인증을 켜고, 비밀번호를 사이트마다 재사용하지 않는다.
• 링크 경계: 문자나 메일로 온 결제·환불 링크는 바로 누르지 말고, 앱을 직접 열어 확인한다.

전액보상은 피해를 돌려받는 마지막 안전망이다. 그러나 정보가 새고 결제가 도용되는 번거로움까지 없애 주지는 않는다. 보상 제도와 개인의 습관은 어느 하나로 대체되지 않고, 둘이 함께 있을 때 실질적인 방어가 된다.

출처

1. 금융위, 결제대행사 긴급 보안점검…AI 해킹 대응
2. 결제내역 4000여 건 유출…금감원, 토스페이먼츠 검사 착수
3. 토스·코엠페이에 해킹 공격…카드정보 최대 수만건 유출
4. 결제대행업체 해킹에 뚫리는데…내 카드 정보 털렸는지도 깜깜