포스단말기 해킹을 통한 실시간 신용카드정보 해외 유출은 8월 처음 발생했다. 하지만 해당 카드사들은 이 사건을 극비에 붙였다. 카드사들이 쉬쉬하는 동안 9월과 10월에도 잇따라 카드정보가 새나갔다. 수사당국은 사건 발생 3개월이 됐지만 해커 등 범인들의 윤곽조차 파악하지 못하고 있다. 빠른 시일 내에 검거하지 못하면 피해 규모는 눈덩이처럼 불어날 수밖에 없다는 것이 카드업계나 수사당국의 공통된 시각이다. 복제카드가 세계 각지에서 무차별적으로 사용되고 있기 때문이다. 수사당국과 카드사 등에 따르면 해커들은 8월9~10일 이틀간 국내 중·대형 카드가맹점의 포스단말기에 해킹 프로그램을 깔고 9일부터 9월21일 사이 7개 카드사(신한·삼성·현대·롯데·국민·BC·외환)의 신용카드 정보를 해외로 빼돌렸다. 고객이 긁는 순간 실시간으로 빠져나갔다.



현재 바이러스 감염이 확인된 가맹점은 호아센(베트남 쌀국수 전문 체인점), 홍초불닭(불닭 체인점), 쇼부(일본식 선술집 체인점) 같은 프랜차이즈 업소와 패밀리레스토랑인 마이엑스와이프 시크릿레시피 등 4곳이다. 이들 업소를 이용한 고객 3000명의 신용카드 정보가 유출됐다. 수사당국이 IP 주소를 추적한 결과 호아센·홍초불닭·쇼부의 카드정보는 독일 올덴버그에서 접속한 해커에 의해, 마이엑스와이프 시크릿레시피는 미국 샌디에이고에서 접속한 해커에 의해 빠져나갔다.



카드업계는 “6월 기준 전국 카드가맹점은 1583만 9000여곳”이라면서 “이 중 40~50% 가맹점에 포스단말기가 설치돼 있다.”고 설명했다. 반면 단말기 공급업체 측은 “10곳 중 7~9곳에 설치돼 있다.”고 했다. 양측에 따르면 최소 633만여곳에서 최대 1425만여곳에 포스단말기가 보급돼 있다. 카드사 관계자들은 “카드사별 사고 내역을 교차·점검하는 과정에서 7개 카드사의 카드정보가 모두 유출된 가맹점이 4곳”이라며 “개별 카드사의 사고 건수는 집계조차 안 되기 때문에 바이러스에 감염된 정확한 가맹점 수는 파악하기 어렵다.”고 말했다.

유출된 카드정보는 세계 각지에서 복제·사용됐다. 9월1~2일 카드정보가 집중 빠져나간 신한카드는 미국, 이탈리아, 스페인 등지에서 29건이 복제·사용됐고 카드사용액은 5600만원이다. 삼성카드는 8~9월 카드정보가 샜고, 이탈리아 등지에서 복제·이용됐다. 삼성카드 관계자는 “현재 수사당국에 수사를 의뢰했고 자체적으로 실태를 파악하고 있다.”면서 “올 2·4분기(4~6월) 해외 부정사용(도난·분실·복제 등으로 인한 피해) 액수가 2억 1000만여원인 것을 감안하면 두 달 동안 복제로만 일어난 사고금액은 1억원에 훨씬 못 미칠 것”이라고 밝혔다. 취재과정에서 확인된 7개 카드사의 카드사용액은 3억여원이다.

카드사들에 따르면 올 상반기 기준으로 카드정보가 해외로 유출돼 복제카드로 만들어진 뒤 사용된 비율은 북미 33.42%, 유럽연합(EU) 33.0%, 아시아·태평양 지역 22.33% 등이다. 현재까지는 유럽 일부 지역에서의 카드사용액만 밝혀져 향후 조사 과정에서 다른 국가에서의 카드사용액도 줄줄이 나올 것이라는 게 카드업계 관계자들의 지적이다.

포스단말기 해킹 주도 세력은 아직 베일에 가려져 있다. 수사당국은 실체는 물론 윤곽조차 그려내지 못하고 있다. 단지 해외 범죄조직과 관련성이 있을 것으로 추측만 할 뿐이다. 수사당국 관계자는 “세계 여러 나라에서 동시다발적으로 복제카드가 사용되고 있는 것으로 보아 개인이 하기에는 힘들다.”면서 “전 세계에 조직망을 갖춘 ‘기업형 범죄조직’들이 범행을 주도하고 있는 것으로 추정된다.”고 밝혔다. 이어 “범죄 양상으로 봤을 때 총책, 해킹프로그램개발책, 해커, 정보수집책, 정보판매책, 복제카드제조유통책, 복제카드사용책 등으로 역할을 분담해 유기적으로 움직이는 것으로 보인다.”고 덧붙였다. 문제는 피해가 고스란히 소비자들에게 전가된다는 점이다. 카드사 관계자들은 “해외에서 발생하는 피해 금액은 모두 카드사에서 부담한다.”면서 “카드사들은 매년 손실금액을 마련하기 위해 무이자할부를 없애는 등 소비자 혜택을 줄이거나 가맹점 수수료를 올릴 수밖에 없다.”고 털어놨다.

김승훈기자 hunnam@seoul.co.kr