금융당국, 앱카드 취급 카드사 명의도용 긴급 점검

금융당국이 삼성카드에 이어 앱카드를 취급하는 농협은행과 KB국민·롯데·신한·현대카드 등 4개 카드사에도 금융사기가 발생했을 가능성이 있다고 보고 긴급 점검에 나섰다.

14일 금융권에 따르면 금융감독원은 15일까지 앱카드를 사용하는 각 카드사가 자체 점검을 통해 명의도용과 유사한 사고가 없었는지 보고하라고 지시했다.

이번 사건 수사관서인 서울지방경찰청 사이버수사대는 전국 일선 경찰서에 피해 접수 민원·진정 상황을 확인하는 한편 각 사 담당자를 불러 피해 사실을 확인할 계획이다.

앞서 삼성카드는 자사 앱카드를 이용하는 고객 53명 명의로 300건의 부정매출이 발생한 사실을 부정사용방지시스템(FDS)을 통해 적발하고 지난 5월 초 금감원에 자진 신고했다.

삼성카드는 신고를 즉시 하지 않고 지체했다는 의혹을 받고 있다. 이에 대해 삼성카드 측은 "당시 삼성SDS 센터 화재로 이용이 중단된 시스템을 복구하는데 집중하다보니 신고가 늦어진 것 뿐, 숨기려고 한 것은 아니다"라고 해명했다.

지난해 5월 도입된 앱카드에 금융사고가 발생한 것은 이번이 처음으로 현재까지 파악된 부정매출 규모는 6000만원에 달한다.

금융권 관계자는 "삼성카드를 제외한 다른 카드사의 피해 신고는 없었지만 신한카드를 비롯한 다른 카드사에서도 앱카드 명의도용 사고가 발생했을 가능성이 있어 집중적으로 점검하는 것"이라고 말했다.

농협은행과 5개 전업계 카드사(KB국민, 롯데, 삼성, 신한, 현대)는 그간 앱카드를 공동 개발하고 감독기관의 승인을 얻어 지난해 9월 상용화한 바 있다.

앱카드는 스마트폰으로 본인인증을 받고 나서 앱을 실행하면 일회용 가상 카드번호가 제공되며 이 정보를 온라인 결제사이트에 입력하면 결제가 이뤄지는 방식이다.

이번 사고는 문자메시지를 받은 고객이 메시지에 있는 인터넷 주소를 클릭하면 악성코드가 설치돼 개인·금융 정보가 빠져나가는 스마트폰 스미싱(문자메시지와 피싱의 합성어)에 의해 일어났다. 유심칩에 의해 전화번호 인증이 가능한 안드로이드형 스마트폰과 달리 공인인증서만으로 본인 인증이 되는 아이폰의 보안 허점을 노린 것으로 추정된다.

이들 스미싱 일당은 본인 인증을 통해 일회용 카드번호와 비밀번호를 받은 뒤 30만원 미만으로 300여 차례에 걸쳐 11개 게임사이트에서 6000만원을 결제한 것으로 드러났다.