- 토스페이먼츠 가맹점의 결제연동 인증정보 노출로 4,131건의 결제내역과 2,671명의 정보가 열람됨
- 토스 자체 전산망 침해나 시스템 해킹이 아닌 가맹점 연동 플랫폼 인증키 노출로 확인됨
- 카드 비밀번호, 유효기간, CVC 번호는 유출 항목에서 완전 제외되어 직접 무단 결제 가능성은 희박함
- 금융감독원이 정식 현장검사로 전환하여 전자지급결제대행업체 전반의 보안 관리 실태를 집중 점검 중임
토스페이먼츠 결제정보 유출 사고는 가맹점 웹사이트에 연동된 인증정보가 외부에 노출되면서 총 4,131건의 결제 거래 내역이 조회된 보안 사고이다. 토스 앱 전산망 해킹은 아닌 것으로 확인되었으나 마스킹된 카드번호와 구매자 성명 등 영수증성 데이터가 노출되었으므로 결제 사칭 스미싱이나 피싱 시도에 각별한 주의를 기울여야 한다.
토스페이먼츠 결제정보 유출 원인과 자체 전산망 해킹 여부 분석
이번 사고의 핵심 발단은 결제대행업체(PG) 본사의 데이터베이스가 해킹당한 것이 아니라, 가맹점이 결제 서비스를 연동하는 과정에서 관리 소홀이 발생한 데 있다. 가맹점이 시스템 연동을 위해 발급받은 고유 인증정보(연동키)를 웹사이트 소스 코드에 그대로 노출하면서 외부 제3자가 이를 악용해 결제내역 조회 API를 호출한 구조이다.
금융감독원과 업계 조사에 따르면 시스템 취약점을 파고든 외부 공격이 아니라, 오픈된 인증키를 통해 정상적인 조회 요청을 위장한 트래픽이 발생한 셈이다. 토스페이먼츠 측 역시 자체 결제 서버나 중앙 전산망에 대한 침해 흔적은 발견되지 않았다고 공식 입장을 밝혔다.
가맹점 결제연동 플랫폼의 구조적 취약점
온라인 쇼핑몰 등 중소 가맹점은 결제 연동 플랫폼을 통해 PG사 시스템과 데이터를 주고받는다. 이 과정에서 개발자나 관리자가 비공개로 유지해야 할 보안 키값을 클라이언트 브라우저에서 확인할 수 있는 스크립트 영역에 방치하는 보안 부주의가 이번 사태를 촉발했다.
토스 애플리케이션과의 분리성
소비자가 흔히 송금이나 자산 관리용으로 사용하는 스마트폰 ‘토스(Toss) 앱’과 이번 사고가 발생한 전자지급결제대행사 ‘토스페이먼츠’는 전산망 및 서비스 인프라가 분리되어 운영된다. 일반 토스 앱 회원 계정이나 예금 잔액, 간편송금 비밀번호는 이번 노출 사고와 직접적인 기술적 연관성이 없다.
노출된 결제내역 범위 및 민감 금융정보 비교 분석
조회된 데이터 항목은 신용카드 온라인 결제 시 생성되는 매출전표 영수증 수준에 한정된다. 금융 결제 승인에 절대적으로 요구되는 핵심 보안 암호화 데이터는 저장 자체가 분리되어 있어 제3자 탈취가 원천적으로 불가능한 체계이다.
| 구분 | 노출된 항목 | 보호된 미노출 항목 |
|---|---|---|
| 결제 정보 | 마스킹된 카드번호 일부, 승인번호, 결제 일시 | 카드 전체 번호, 유효기간(월/년), CVC |
| 개인 식별 | 구매자 성명 | 카드 비밀번호, 주민등록번호, 계좌 비밀번호 |
| 위험도 평가 | 영수증 위조 및 피싱 사칭 활용 가능성 | 직접적인 온라인 무단 결제 불가 |
금융감독원 현장검사 전환 배경과 PG사 보안 한계점
금융감독원은 사안의 중대성을 감안하여 사전 점검 단계를 거쳐 공식 현장검사로 조사 단계를 전환했다. 이번 점검은 토스페이먼츠뿐만 아니라 최근 보안 취약점 이슈가 제기된 코엠페이먼츠 등 전자금융업자 전반의 가맹점 보안 키 관리 실태를 파악하는 데 집중된다.
PG 업계의 구조적 한계는 하위 가맹점의 취약한 보안 의식이다. PG사가 중앙 서버의 보안을 아무리 강화해도, 수천 개에 달하는 개별 가맹점이 연동 API 인증키를 일반 공개 웹문서에 하드코딩하는 형태를 물리적으로 완벽히 차단하기 어렵다는 기술적 공백이 상존한다.
소비자 피해 방지를 위한 실전 대응 및 피싱 결제 방어 팁
노출된 데이터만으로는 카드를 복제하거나 온라인 쇼핑몰에서 물건을 바로 결제할 수는 없다. 그러나 승인번호와 결제 금액, 성명을 조합한 정교한 타깃형 보이스피싱과 결제 확인 문자 사칭에 노출될 수 있으므로 아래 대응 절차를 이행해야 한다.
- 결제 승인 알림 서비스 활성화: 카드사 공식 앱 푸시나 SMS 알림을 켜두어 본인이 모르는 결제 승인 시도가 발생하는 즉시 인지하도록 조치한다.
- 해외 결제 차단 서비스 설정: 국내 온라인 결제와 달리 보안 규정이 느슨한 해외 사이트에서의 부정 승인 가능성을 막기 위해 카드사 앱에서 해외 원화 및 외화 결제를 원천 차단한다.
- 사칭 링크 접속 금지: “토스 결제 오류 확인”, “미승인 결제 내역 조회” 등의 문구와 함께 알 수 없는 인터넷 주소(URL)가 포함된 문자는 즉시 삭제하며, 반드시 공식 카드사 고객센터로 역조회해야 한다.
추가로 궁금한 점
Q. 카드를 즉시 정지하고 재발급받아야 하는가?
A. 당장 재발급이 필수는 아니다. 비밀번호와 CVC 번호, 유효기간이 완전히 가려진 상태이므로 직접적인 금전 출금 사고가 일어날 가능성은 매우 낮다. 다만 심리적 불안감이 크거나 마스킹된 카드번호 노출조차 찜찜하다면 해당 카드의 분실/재발급을 신청하는 편이 안전하다.
Q. 토스 앱에 등록된 다른 계좌나 카드도 위험한가?
A. 전혀 영향이 없다. 이번 사고는 가맹점 웹사이트에 설치된 PG사 결제 연동키의 노출 사고이며, 토스 종합 금융 앱 내부의 계좌 정보나 연결된 타 은행 데이터와는 데이터베이스 자체가 분리되어 있다.
Q. 내 정보가 유출 명단에 들어있는지 어떻게 확인하는가?
A. 개별 안내 통지를 확인해야 한다. 전자금융거래법 및 개인정보보호법에 따라 유출 사실이 확인된 2,671명의 피해 대상자에게는 이메일이나 알림톡 등을 통해 사고 경위 및 안내문이 순차적으로 발송된다.
마치며
토스페이먼츠 결제정보 유출 사태는 전자지급대행 인프라 자체의 결함보다는 가맹점 연동 인증 정보의 관리 부실에서 비롯된 보안 사고이다. 핵심 금융 인증키가 보호되어 즉각적인 피해 가능성은 낮으나, 노출된 결제 이력을 악용한 사회공학적 사기 범죄를 방어하기 위해 비정상적인 결제 알림 문자에 대한 주의를 유지해야 한다.
⚠️ 주의 및 면책사항: 본 정보는 금융감독원 및 언론사 보도, 공식 발표 자료를 바탕으로 작성된 큐레이션 데이터이며, 개별 가맹점의 세부 계약 조건 및 사법 당국의 최종 현장검사 결과에 따라 사실관계는 달라질 수 있음을 알린다.
최종 업데이트: 2026년 9월 9일
