동아일보 DB ‘ 토스 도 털렸 다 . ’ 국내 간편 결제 사용 자 수 1 위 서비스 인 토스 에서 명의 도용 으로 938 만 원 어치 의 이용자 피해 가 발생 하 면서 5 자리 또는 6 자리 핀 ( PIN ) 번호 만 눌러 결제 하 는 간편 결제 서비스 의 안전 성 에 우려 가 커지 고 있 다 . 보안 업계 에서 는 비밀 번호 를 알아낼 때 까지 컴퓨터 프로그램 을 활용 해 무작위 숫자 를 대입 하 는 ‘ 크리 덴 셜 스터핑 ’ 방식 을 통한 범죄 가능 성 을 제기 한다 . 9 일 토스 에 따르 면 3 일 게임 사 등 온라인 가맹점 세 곳 에서 총 8 명 의 가입자 명의 가 도용 돼 부정 결제 가 이뤄졌 다 . 게임 아이템 은 온라인 거래 시장 이 형성 돼 있 어 환금성 이 높 다 . 토스 측 은 이날 “ 해당 이용자 들 의 신상 정보 와 비밀 번호 를 제 3 자 가 도용 해 부정 결제 가 발생 했으며 토스 에서 유출 된 정보 는 없 다 ” 고 밝혔 다 . 피해 금액 은 전액 환불 됐 고 금융 감독원 은 이날 사고 원인 조사 에 착수 했 다 . 부정 결제 에 필요 했 던 정보 는 토스 애플리케이션 ( 앱 ) 로그인 을 위한 아이디 와 비밀 번호 , 로그인 이후 결제 시 에 입력 해야 하 는 이름 과 생년월일 , 전화 번호 , 5 자리 핀 번호 다 . 토스 측은 “ 최초 개인 정보 유출 이 어디 서 이뤄졌 는지 , 어느 부분 까지 이뤄졌 는지 는 알 수 가 없 다 ” 는 입장 이 다 . 보안 업계 에 따르 면 최근 다른 온라인 부정 결제 사례 에서 도 크 리 덴 셜 스터핑 방식 이 빈번 하 게 발생 해 왔 다 . 아이디 와 비밀 번호 , 이름 , 생년월일 정도 의 개인 정보 는 카드 사 , 통신사 의 개인 정보 유출 사고 등 을 통해 다크 웹 ( 특수 브라우저 를 통해 접속 하 는 어둠 의 인터넷 ) 에서 빈번 하 게 거래 되 고 있 다 . 이 들 정보 를 넣 고 컴퓨터 프로그램 으로 무작위 로 숫자 를 대입 해 핀 번호 가 맞춰 지 면 부정 결제 의 타깃 이 되 는 식 이 다 . 토스 에 따르 면 이번 피해 사례 에서 도 핀 번호 를 맞추 기 전 수차례 오류 가 난 경우 가 발견 됐 다 . 토스 외 에 도 최초 계좌 등록 만 하 면 6 자리 핀 번호 를 입력 해 결제 가 가능 한 서비스 들 이 늘어나 면서 보 안 업계 에서 는 간편 결제 서비스 의 핀 번호 인증 방식 이 완벽 하 지 않 다는 지적 이 꾸준히 제기 돼왔 다 . 한 보안 업체 관계자 는 “ 기본 정보 인 아이디 와 비밀 번호 를 서비스 별 로 다르 게 조합 하 고 자주 변경 하 는 등 기본 적 인 보안 수칙 을 지켜야 하 고 지문 과 같 은 생체 인증 방식 수단 을 추가 로 활용 하 는 것 이 안 전하 다 ” 고 조언 했 다 . 곽도영 기자 now @ donga . com 김자현 기자 zion 37 @ donga . com ▶ 네이버 에서 [ 동아일보 ] 채널 구독 하 기 ▶ 집 볼 때 쓰 는 메모장 ' 집 보장 'ⓒ 동아일보 & donga . com , 무단 전재 및 재 배포 금지