법인카드 플랫폼 침해 뒤 300만원대 결제…카드번호 유출만으로 설명되지 않는다

먼저 확인할 핵심 사실

피해 금액당사자 주장

피해 기업은 평소 월 20만원가량이던 구독료 대신 300만원대 결제 시도가 10차례 넘게 이어져 약 300만원이 승인됐다고 밝혔다. [1]

피해 복구

플랫폼은 비정상 결제 금액을 전액 취소했다고 보도됐다. [1]

유출 항목

일부 가려진 카드번호와 카드사, 구독 청구 내역·단가, 담당자 이름과 전화번호 등이 유출된 것으로 보도됐다. [1]

미확인 경로당사자 주장

플랫폼은 유효기간과 카드보안코드를 보관하지 않는다며 정확한 결제 접근 경로를 조사 중이라고 밝혔다. [1]

평소 청구 흐름이 공격의 통로가 됐다

피해 기업은 지출관리 플랫폼을 통해 구글 워크스페이스 구독료를 매달 약 20만원 결제해 왔다고 밝혔다. 사고 당일에는 평소보다 훨씬 큰 300만원대 청구가 10차례 넘게 시도됐고 결국 약 300만원이 승인됐다. 새로운 카드번호로 직접 결제한 공격이라기보다 이미 연결된 구독·청구 흐름에서 금액이나 요청이 조작됐을 가능성을 살펴야 하는 이유다. 플랫폼이 결제를 취소해 금전 손실을 복구했더라도 공격자가 어떤 권한과 고객 정보를 봤는지는 별도 조사 대상이다.

마스킹 카드번호만으로는 승인 경로를 설명하기 어렵다

유출된 항목에는 일부가 가려진 카드번호, 카드사 정보, 구독 청구 내역과 단가, 담당자 이름·전화번호가 포함된 것으로 보도됐다. 플랫폼은 카드 유효기간과 카드보안코드를 보관하지 않아 이 정보만으로는 일반적인 카드 결제가 어렵다고 설명했다. 그렇다면 카드정보 복원만을 원인으로 단정해서는 안 된다. 저장된 결제 토큰, 관리자 계정, 청구 API, 구독 서비스 계정 중 어느 연결 지점이 이용됐는지 로그와 인증 기록을 대조해야 한다.

관리자 계정과 API에는 더 좁은 권한이 필요하다

업무 플랫폼은 회계·인사·결제·고객관리 서비스를 응용프로그램 인터페이스로 연결한다. 관리자가 고객별 청구액을 바꾸거나 결제를 재시도할 수 있다면 계정 하나의 탈취가 여러 기업의 금전 피해로 번질 수 있다. 관리자 다중인증만으로 끝내지 말고 업무별 최소권한, 고액 청구의 이중 승인, 짧은 세션과 기기 제한을 함께 적용해야 한다. API 토큰도 고객·기능별로 분리하고 평소 범위를 벗어난 금액과 반복 요청은 결제 전에 차단하도록 설계할 필요가 있다.

사고 공지는 범위와 재발 방지를 확인할 수 있어야 한다

현재 보도로 확인되는 것은 한 피해 기업의 결제 사례와 일부 유출 항목, 플랫폼의 환불 조치다. 전체 피해 기업 수, 침입 시점, 공격자가 유지한 접근 기간과 카드사별 승인 경로는 아직 공개되지 않았다. 서비스 사업자는 조사 중이라는 표현에 머물지 않고 영향 고객을 식별해 개별 통지하고 사용자가 취소·재발급·계정 초기화 중 무엇을 해야 하는지 안내해야 한다. 포렌식이 끝난 뒤에는 원인, 탐지 지연, 로그 보존과 보완 조치를 외부가 검증할 수 있는 범위로 공개해야 한다.

지금 가능한 결론

이번 사례는 카드번호를 숨기는 것만으로 결제 안전이 완성되지 않는다는 점을 보여 줘요. 연결된 청구 권한과 관리자 계정, 고액 결제 승인 절차를 함께 분리하고 감시해야 해요.

이렇게 해석한 근거

공개 원문에서 피해 기업이 밝힌 결제 흐름, 플랫폼이 확인한 유출 항목과 환불 조치, 현재 조사 상태를 구분해 확인했다.

아직 남은 부분

정확한 침입 경로와 전체 피해 범위는 아직 조사 중이며 보안업계의 API·관리자 계정 악용 설명은 확정된 포렌식 결과가 아니에요.

원문·자료

1. 한국경제 ↗보도 · 본문 확인