고위드 해킹, 가짜 청구서로 법인카드 부정결제가 승인까지 갔다

고위드 법인카드 부정결제, 돈은 얼마나 빠져나갔나

결론부터 보면 돈은 나가지 않았다. B2B 핀테크 기업 고위드는 10월 27일 비정상 반복 결제와 침해사고를 확인했고, 복수 카드사의 법인카드에서 부정결제가 시도됐다. 일부는 카드사 승인까지 완료됐다.

고위드는 해킹 정황을 확인한 뒤 승인된 결제를 전액 취소했다. 카드사들도 FDS로 추가 결제 시도를 막거나 이미 승인된 건을 취소했다. 고객사 담당자의 개인정보와 청구 정보는 유출됐다.

사고가 난 곳은 지출최적화 서비스 가운데 구글 워크스페이스(GWS) 구독료를 청구하고 결제하는 기능이다. 이 서비스는 스타트업이 업무용 SaaS 구독료와 IT 장비 비용을 할인받고 관리하게 해 주는 상품이다.

해커는 카드가 아니라 가짜 청구서를 만들었다

해커가 빼낸 것은 지출최적화 서비스에만 권한이 한정된 관리자 정보다. 이 정보로 존재하지 않는 전자문서를 만들어 결제를 요청했다.

카드번호를 훔쳐 쓰는 고전적 부정결제와 구조가 다르다. 공격자는 카드 자체가 아니라 결제 요청을 만드는 소프트웨어 층의 권한을 가져갔다. 가짜 청구서가 정상 청구 절차처럼 카드사 승인망에 올라탄 셈이다.

관리자 권한이 서비스 하나에 한정돼 있었다는 점은 피해 범위를 좁혔을 가능성이 있다. 반대로 여러 카드사에 걸쳐 결제를 요청할 수 있었다는 것은, 카드 발급과 지출 관리를 한곳에 모은 플랫폼의 편의가 그대로 보안 접점이 된다는 사실을 보여 준다.

승인된 결제는 어떻게 되돌려졌고 카드는 왜 재발급됐나

되돌린 주체는 둘이다. 고위드가 자기 쪽에서 승인 결제를 전액 취소했고, 카드사들은 FDS로 이상 패턴을 걸러 추가 시도를 막았다. 카드사는 결과로 들어온 결제만 걸러낼 수 있어서, 가짜 청구서가 만들어지는 단계는 카드사 시스템 밖이다.

부정결제가 발생한 카드사는 피해를 막으려고 고객사 법인카드를 재발급했다. 번거로움과 발급 비용은 카드사와 고객사에 돌아갔다. 부정사용 책임을 카드사가 지는 것이 일반적이라는 보도가 있지만, 이번 사고에서 책임을 누가 어떻게 나누는지는 공개되지 않았다.

고위드는 왜 금감원 직접 검사 대상이 아닌가

고위드는 B2B 핀테크 기업이라 금융감독원의 직접 검사 대상에 들지 않는다. 그래서 금감원은 부정결제가 난 개별 금융사를 통해 사고 경위를 파악하고 있다.

고위드 홈페이지는 법인카드 발급, 심사, 정산 같은 금융 업무를 제휴 금융기관이 수행한다고 밝힌다. 지출최적화는 고위드 서비스 4개 중 하나다. 인가가 필요한 돈 업무는 카드사가, 청구와 결제 요청을 만드는 소프트웨어 층은 고위드가 맡는 분업이다.

이 분업에서는 감독도 인가받은 금융사에 걸려 있다. 사고가 난 층이 정확히 직접 검사 밖에 놓이고, 금감원이 카드사를 거쳐 우회로 경위를 묻는 모습이 그 공백을 그대로 보여 준다. 이것이 우리의 판단이다.

금융권 해킹은 왜 곁가지 시스템으로 들어가나

올해 정보유출이 확인된 금융사는 9곳이다. 신한·국민·하나·부산은행, 예가람·웰컴저축은행, 현대캐피탈, P2P 2곳이고, 대부분 직원이나 대출모집인이 쓰는 외부 부가 업무시스템에서 났다.

10월 말에는 영세 2차 PG사 해킹으로 금감원이 현장점검에 들어갔다. 업체가 연결된 금융회사와 핀테크로 피해가 번질 수 있다는 판단이었다. 금융위도 9월 16일 PG업권 보안 점검회의에서 보안이 취약한 가맹점을 통한 우회 공격을 짚었다.

고위드 건은 이 패턴과 같은 결이다. 본진인 카드사 대신 제휴 소프트웨어의 권한을 노렸다. 다만 영세 2차 PG사 사고와 이번 건이 이어져 있다는 근거는 없다.

과징금 50억 원 상한, 사고 규모와 얼마나 맞나

롯데카드는 297만 명 정보가 유출된 해킹으로 업무정지 1.5개월(8월 1일부터 9월 15일까지)과 과징금 50억 원을 확정받았다. 금감원 제재안은 4.5개월이었고 경감됐다. 해킹 유출 금융사에 내린 첫 업무정지다.

전자금융거래법상 해킹 과징금 상한은 50억 원이고, 매출 최대 3%를 부과하는 개정안은 국회에 계류 중이다. 297만 명이 유출된 사고와 피해가 없었던 사고에 같은 상한이 걸리는 구조다.

감독 바깥 소프트웨어 층에서 난 사고라면 이 제재 틀에 닿기조차 어렵다. 이번 사고의 피해 대상은 스타트업 법인카드여서 개인 투자자가 직접 입은 피해는 확인되지 않았다. 증권·카드·간편결제를 여럿 쓰는 개인은 연결 계정과 결제 알림, 카드 재발급 안내를 점검할 이유가 된다.

이번 사고의 교훈은 돈이 나가지 않았다는 데 있지 않다. 가짜 청구서가 정상 결제 통로를 탄 순간, 막은 것은 감독이 아니라 카드사 FDS와 고위드의 취소였다는 점이 이 사건의 핵심이다.