"소형 쇼핑몰 API키가 문제...하드코딩돼 해커 먹이감" 작성일 09-09 62 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">토스페이먼츠 가맹점 해킹 이유..."영세 소상공인들 웹사이트 개설때 주의해야"</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="9qdUnNfzAG"> <p contents-hash="cef913665f0baddb102629c63a5dcc8a5daf3731552e58534b3c3cae5d0953d1" dmcf-pid="2BJuLj4qjY" dmcf-ptype="general">(지디넷코리아=김기찬 기자)토스(비바리퍼블리카)의 전자지급결제대행(PG) 자회사 토스페이먼츠의 가맹점 한 곳에서 해킹으로 고객 정보가 유출되는 사고가 발생했다. 토스페이먼츠는 자체 시스템이 해킹된 것이 아니라 가맹점의 부주의로 사고가 발생했다고 설명했다. </p> <p contents-hash="fb9ccb9f8a604b0f782eb27121975c5abd405be03df79f976075ab15103682bc" dmcf-pid="Vbi7oA8BgW" dmcf-ptype="general">9일 본지 취재결과 이 가맹점은 소형 쇼핑몰인 것으로 나타났다. 토스페이먼츠에 따르면 회사 가맹점 한 곳인 이 쇼형 쇼핑몰이 보유한 고객 2671명의 결제내역 4131건이 유출됐다. 해커는 이를 기반으로 ▲구매자 성명 ▲마스킹 처리된 카드번호 ▲승인번호 등 결제내역을 조회했다. <span>카드 비밀번호와 유효기간, CVC 등 결제에 필요한 정보는 포함되지 않아 추가 결제는 불가능하다는 것이 토스페이먼츠 측 설명이다.</span></p> <p contents-hash="6248fe18e438f89ccc31af25adf9dbe085fbf3d4a5c772fbebe689c9a90b42cc" dmcf-pid="fKnzgc6bjy" dmcf-ptype="general">토스페이먼츠에 따르면, 이번 해킹은 해당 가맹점이 이용하는 결제연동플랫폼의 인증정보(연동키)가 노출되면서 발생했다. 토스페이먼츠 서비스를 구축, 연동해주는 결제연동플랫폼에서 제공한 인증정보를 가맹점이 웹사이트에 노출, 사고가 발생했다는 것이 회사 측 설명이다.</p> <figure class="figure_frm origin_fig" contents-hash="31780f041a6938c656d5f8d3683317d97fae83c864769ca2a5d6f9a2e11f92ea" dmcf-pid="49LqakPKgT" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202609/09/ZDNetKorea/20260909175838996aaqz.png" data-org-width="435" dmcf-mid="KEFrpqyOaH" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202609/09/ZDNetKorea/20260909175838996aaqz.png" width="658"></p> </figure> <p contents-hash="8f6b6e6eef8fabac6f425364a11efaa633565f1cce219bfc8db6f67beb2f99fa" dmcf-pid="82oBNEQ9cv" dmcf-ptype="general">이번 해킹은 해커가 소스코드 내에 삽입된 API 키를 통해 해당 가맹점 웹사이트에 접근, 발생했다. 토스페이먼츠 관계자는 해킹 이유에 대해 "<span>결제연동 플랫폼의 API키가 자바스크립트에 하드코딩(데이터를 코드 안에 직접 작성하는 개발 방식)돼 있었고, 제3자가 노출된 API키로 정상 접근으로 위장해 결제정보를 조회했다"며 "피해 가맹점은 쇼핑몰이며, 규모가 크진 않아 보인다"고 말했다.</span></p> <p contents-hash="20204316ad5b65766074c155762dd4220644ccf8e7cee35425c09f3298fb9d02" dmcf-pid="6VgbjDx2NS" dmcf-ptype="general">이어 "결제정보의 경우 개인신용정보에 해당하기 때문에 토스페이먼츠는 신용정보법에 따른 개인신용정보 누설 통지하고 금융감독원 및 금융위원회에 신고했다"며 "토스페이먼츠는 노출 사실 확인 즉시 해당 접근 경로를 차단했으며, 현재 진행 중인 검사에도 성실히 협조하고 있다"고 밝혔다.</p> <p contents-hash="3e42c0c40f8399bf3065be0e330a0eb98ec524acaf59fa974a5319249ae41c53" dmcf-pid="PpQtRnb0kl" dmcf-ptype="general">이처럼 보안 관리 체계가 상대적으로 빈약한 중소 웹사이트의 경우 개발 과정에서 API키나 비밀번호 등 주요 정보가 외부에 노출될 우려가 있다. 특히 최근 인공지능(AI) 발달로 바이브 코딩이 활성화되면서 코드 구조를 깊이 이해하지 못한 채 사용할 경우 심각한 보안 및 품질 위험을 초래하기도 한다. 또한 쇼핑몰의 경우 1인으로 운영되거나 영세한 경우가 많기 때문에 이같은 보안 위협에 더욱 쉽게 노출된다.</p> <p contents-hash="f71207445530f7dab1cd821554a4ac8579f705943a2407169d7b66236f01c56d" dmcf-pid="QUxFeLKpAh" dmcf-ptype="general">한편 중기부에 따르면 소형 쇼핑몰 등 국내 소상공인은 2023년 기준 약 790만개가 넘는다. </p> <p contents-hash="549b9b3f2eeb4a8c179aaad742d46272496a33d1bcc3335831f5a639d0945b6b" dmcf-pid="xuM3do9UkC" dmcf-ptype="general">김기찬 기자(71chan@zdnet.co.kr)</p> </section> </div> <p class="" data-translation="true">Copyright © 지디넷코리아. 무단전재 및 재배포 금지.</p> 관련자료 이전 [일문일답] 카카오모빌리티 "서울자율차, 강남 자율주행 귀책사고 0건" 09-09 다음 카카오헬스, 'AI 네이티브 EMR' 만든다…'메디테크' 사흘 대장정 09-09 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
