데이터 유출 사고가 갈수록 빈번해지면서 신용카드 정보를 도난당하는 사람들이 늘고 있습니다. 안타깝게도 대부분은 금융기관의 통보를 받기 전까지는 자신이 유출 피해자라는 사실조차 모른 채 지나갑니다.
그렇다면 신용카드 정보는 대체 어떤 경로로 새어 나갈까요? 그리고 유출 사실을 미리 파악해 피해를 줄이고 소중한 개인정보를 지킬 방법은 없을까요?
신용카드 정보는 어떻게 유출될까?
은행이나 카드·개인정보를 보관하는 데이터베이스에 발생한 해킹 같은 보안 사고는 신용카드 정보가 외부에 노출되는 결과로 이어질 수 있습니다. 일단 정보가 유출되면 다크웹에서 거래되는 경우가 많습니다.
다음은 신용카드 정보가 유출되는 대표적인 경로입니다.
피싱 이메일
피싱 이메일의 목적은 단 하나, 사용자가 조작된 링크를 클릭하거나 악성 첨부파일을 다운로드하도록 속이는 것입니다. 겉보기에는 익숙하고 믿음직해 보이지만, 클릭하면 또 다른 의심스러운 페이지로 연결되거나 계좌·카드 정보를 입력하도록 유도합니다.
공용 와이파이 네트워크
카페에서 커피를 마시거나 공항에서 비행기를 기다릴 때 공용 와이파이를 쓸 수 있다면 편리하지만, 그만큼 위험도 따릅니다.
공개된 네트워크는 데이터 유출과 와이파이 프래그(Frag) 공격에 취약합니다. 공용 와이파이 환경에서 민감한 정보를 입력하거나 인터넷뱅킹에 접속하면 공격 표적이 되기 쉽습니다.
팁: 외부에서 자주 인터넷을 사용한다면 기기에 VPN을 설치해 두세요.
스키밍(Skimming)
스키밍은 주로 자기(Magnetic) 스트립이 있는 구형 카드에 적용되는 수법이지만, 여전히 큰 피해를 일으킬 수 있습니다.
범죄자는 결제 순간 카드 번호를 몰래 훔친 뒤 이를 이용해 가짜 카드를 만들거나, 실물 카드 없이 진행되는 온라인 결제에 악용합니다. 무인 단말기 등에 설치된 스키밍 장치로 카드 정보를 빼가는 경우도 있습니다.
팁: 아직이라면 EMV 칩 카드로 전환하세요. 칩 카드는 스키밍 장치가 데이터를 해독하기 어렵게 만듭니다. 무인 결제 단말기는 특히 주의 깊게 살피고, 카드 삽입구에 이상한 물건이 보이면 사용을 멈추고 직원에게 알리는 것이 좋습니다.
대규모 데이터 유출 사고
유통업체나 은행 같은 대형 조직 역시 해킹의 표적이 될 수 있으며, 이런 사고가 터지면 고객의 카드 정보까지 함께 위험에 노출됩니다.
대표적인 사례로 2019년 미국 캐피털원(Capital One)은 현대사 최대 규모의 데이터 유출 사고를 겪으며 수천만 명의 소비자 정보가 노출되었습니다.
내부자 공격
내부자 공격은 관리자 권한을 가진 사용자나 불만을 품은 직원이 카드 소유자 데이터베이스에 접근해 정보를 빼돌릴 때 발생합니다. 금융권에는 이를 막기 위한 접속 기록(logging) 같은 장치가 있지만, 현실적으로는 접근 권한이 있는 사람이라면 누구든 기록을 조작할 여지가 있습니다.
내부자 공격으로 인한 유출은 드물지만, 가능성이 전혀 없다고 볼 수는 없습니다.
로그 파일에 남는 카드 정보
로그 파일은 카드 정보 데이터베이스보다 보호 수준이 훨씬 낮습니다. 개발 과정에서의 실수가 검수를 통과하면 수천 건의 카드 번호가 로그 파일에 그대로 기록되는 일이 벌어질 수 있습니다.
한번 그렇게 되면, 로그 파일을 뒤지던 공격자가 카드 번호를 아주 쉽게 찾아낼 수 있습니다.
폼재킹(Formjacking)
폼재킹은 카드 정보가 보안 환경에 들어가기 전에 가로채는 공격 기법입니다. 변조된 정적 리소스에 악성 스크립트를 삽입해, 사용자가 정보를 입력하는 순간 데이터를 수집합니다.
내 신용카드 정보가 유출되었는지 확인하는 방법
카드 정보 유출이 걱정된다면 다음과 같은 징후를 주의 깊게 살펴보세요.
계좌에 나타난 낯선 결제 내역
통장 거래 내역에 모르는 결제가 보인다면 카드 정보가 유출되었을 가능성이 큰 위험 신호입니다.
유출은 언제든 일어날 수 있으므로, 은행 계좌를 정기적으로 확인하며 상황을 주시하는 것이 중요합니다.
반복되는 소액 결제
카드 도범들은 큰 주목을 받지 않으려고 작은 금액부터 결제하는 경우가 많습니다. 생소한 소액 결제가 여러 건 쌓여 있다면 누군가 내 카드로 물건을 사고 있다는 신호일 수 있습니다.
명세서에 낯선 회사 이름
결제 내역에 들어본 적 없는 회사 이름이 보인다면 즉시 카드사에 연락해 해당 결제에 이의를 제기해야 합니다.
낯선 업체명으로 된 결제 내역은 카드 정보 유출을 의심할 만한 단서입니다.
줄어든 사용 가능 잔액
이유를 알 수 없는 승인 대기 금액 때문에 사용 가능 한도가 줄어 있다면, 카드가 유출되거나 조작되었을 가능성을 의심해야 합니다.
본인이 큰 금액을 결제한 적이 없다면 한도 변화의 원인을 반드시 확인하세요.
신용카드 유출로부터 스스로를 지키는 방법
능동적으로 대비하면 카드 관련 위험을 크게 줄일 수 있습니다. 다음 전략들을 활용해 보세요.
보안이 확보된 웹사이트만 이용하기
보안이 취약한 웹사이트에는 절대 개인정보를 입력하지 마세요. 주소창의 URL 앞에 작은 자물쇠 아이콘이 있는지 확인해, HTTPS로 암호화된 안전한 사이트인지 먼저 살펴야 합니다.
완벽한 보장은 아니지만, 그만큼 높은 수준의 보안을 적용한 사이트라는 최소한의 확신은 얻을 수 있습니다.
전화로 카드번호를 알려주지 않기
상대방의 신원이 확실하지 않다면 전화로 카드번호나 계좌번호를 알려주지 마세요. 카드 정보를 요구하는 낯선 전화는 항상 사기 가능성을 염두에 두고 경계해야 합니다.
요컨대, 전화로는 아무리 급해도 개인 정보를 공유하지 않는 것이 원칙입니다!
카드 명세서 정기적으로 확인하기
명세서를 꾸준히 확인하는 것이 유출과 부정 사용을 막는 가장 확실한 방법입니다. 최소한 한 달에 한 번은 명세서를 점검하세요.
수상한 결제를 발견하면 즉시 카드사나 금융기관에 알려야 합니다.
대면 결제 시 카드에서 눈 떼지 않기
식당이나 매장 직원에게 카드를 건네준 뒤 시야에서 사라지게 하지 마세요. 카드가 보이지 않는 동안 상대는 카드번호, 유효기간, 보안 코드(CVC)를 적어두거나 비접촉 결제를 시도할 수 있습니다.
능동적으로 대응해 피해를 최소화하자
데이터 유출 예방의 상당 부분은 이미 정보가 노출된 이후 피해를 제한하는 데 있습니다.
카드가 조작되었을 가능성을 깨달았다면 시간이 곧 생명입니다. 즉시 해당 카드의 결제를 정지하고 빠르게 행동하세요.
동시에 금융 거래 내역을 계속 모니터링하고, 신원 도용 감지 및 모니터링 서비스에 가입해 두는 것도 좋은 방법입니다.
피해가 발생하기 전에 대응 전략을 세워 두면 카드 피해를 줄이는 것은 물론, 향후 공격까지 예방할 수 있습니다.