#1. 2009년 8월 9일부터 9월 21일까지 국내 카드가맹점 ‘포스단말기’가 해킹돼 7개 카드사의 카드번호, 유효기간 등 고객 3000여명(건)의 신용카드 정보가 해외로 유출됐다. 이 중 6개 카드사(삼성카드는 미공개) 108건이 미국, 이탈리아, 그리스, 스페인 등지에서 불법 복제돼 3억여원이 부정 결제됐다.<2009년 11월 4일자 1·3면>

#2. 2020년 6월 카드 정보와 카드 비밀번호, 은행 계좌번호, 주민등록번호, 휴대전화번호 등 금융·개인 정보가 담겨 있는 1.5테라바이트(TB) 분량의 외장하드가 수면 위로 떠올랐다. 이 외장하드는 경찰이 지난해 6월 시중은행 해킹 혐의로 구속된 피의자의 추가 범행과 공범을 수사하는 과정에서 확보했다. 카드 정보는 식당 등 전국 카드가맹점 포스단말기가 해킹돼 빠져나갔다.<2020년 6월 15일자 1·8면>

국내 카드가맹점 포스단말기 해킹을 통한 카드정보 유출은 2009년 11월 4일 본지 보도를 통해 세상에 처음 알려졌다. 당시 대다수 사람들은 포스단말기가 뭔지도 몰랐다. 생소했던 만큼 충격도 컸다.

11년이 지났다. 포스단말기 해킹을 통한 카드정보 유출은 아직도 ‘현재 진행형’이다. 포스단말기에 악성코드를 심어 카드정보를 실시간 빼내는 수법도 11년 전과 똑같다. 소비자 피해 예방 책임이 있는 금융감독원은 왜 11년간 눈뜬장님처럼 가만히 있는 걸까.

포스단말기 해킹을 통한 카드정보 유출은 2006년 11월 일부 가맹점에서 처음 발생했다. 이듬해 1월엔 대구·창원 등지의 식당 등 400여 가맹점에서 카드정보가 무더기로 빠져나갔다. 금감원과 카드사들은 이 사실을 극비에 부쳤다.

2009년 취재 때도 금감원과 카드사들은 유출 사실을 숨기려고 안간힘을 썼다. 금감원은 “현재 포스단말기엔 카드정보가 저장되지도 않고 저장되더라도 암호 등 보안 형태로 저장되기에 정보 유출 위험이 없다”고 큰소리까지 쳤다.

금감원은 얼토당토않은 이 말을 금융사고가 터질 때마다 내용만 조금씩 바꿔 가며 우려먹고 있다. 2007년 대규모 카드정보 유출 때부터 14년째 국민들을 호도하고 있다. 최근엔 ‘IC카드 단말기’를 이 말에 끼워 넣었다. 2018년 7월 시중 거의 모든 포스단말기를 정보 유출에 취약한 마그네틱카드 단말기에서 정보 보안이 탁월한 IC카드 단말기로 바꾼 이후엔 해킹을 통한 정보 유출이 없다는 주장이다. 싱가포르 보안업체가 다크웹에서 불법 거래되는 국내 고객의 카드정보를 통보했을 때도, 1.5TB 외장하드에서 유출된 카드정보가 대규모로 발견됐을 때도 금감원은 이 주장을 앵무새처럼 되풀이했다.

금감원은 2009년 11월 본지 보도 이후 IC카드 단말기 보급에 막대한 돈을 퍼부었다. IC카드는 마그네틱카드와 달리 카드정보가 암호화돼 칩에 저장되기에 해킹을 통한 정보 유출이 어렵다. 금감원은 이 점만 부각하며, 정보 유출은 옛말이라고 둘러대고 있다. 시중 포스단말기가 IC카드와 마그네틱카드 겸용이라는 사실은 한마디도 언급하지 않는다. 현재 발행되는 모든 카드의 뒷면엔 카드정보가 들어 있는 마그네틱이 붙어 있다. IC칩이 망가지거나 단말기가 IC칩을 인식하지 못하는 것에 대비해서다. 지금도 포스단말기 해킹을 통해 카드정보가 새나가는 이유다.

금감원이 14년간 동일 범죄를 막지 못하고, 궁색한 변명만 하는 건 내부에 카드 범죄 전문가가 전무한 탓이다. 금감원은 금융사고가 터지면 카드·은행 관계자들을 불러 닦달하는 것 외엔 하는 일이 없다는 말까지 나돈다. 서둘러 외부 수혈을 해 근본 대책을 마련해야 한다. 금감원이 제 역할을 해야 국민들 불안이 일소될 수 있다.

hunnam@seoul.co.kr