내 신용카드 정보 새나가도 모르는 금융감독당국

잘못된 카드번호 마스킹은 물론 카드 유효기간까지 '노출'

카드 회원의 카드번호 보호를 위해 번호 16자리 중 '서드 레인지(3rd range)'에 해당하는 9~12번째 번호에 마스킹 표시('****' 표시)를 해야하지만, 일부 단말기에서는 마지막 13~16번째 마스킹 표시를 해 카드번호가 노출되고 있다. (농협카드 블로그 사진 캡처) ⓒ농협카드

#직장인 A씨는 동료들과 점심을 먹은 후 "오늘은 내가 쏜다"며 꽁꽁 숨겨둔 신용카드를 꺼내들었다. 멋지게 한턱 쏜 A씨는 카드 단말기에 사인 후 영수증 관리가 귀찮다는 생각에 식당 카운터에서 처리해 달라며 말한 뒤 뒤돌아섰다. A씨는 평소 식당이나 백화점, 편의점에서도 카드 결제를 한후 자신의 결제 영수증을 방치하고 있었다. A씨의 나쁜 습관 때문에 자신의 신용카드 정보가 새어나가고 있는 사실을 까맣게 모르고 있었다.

신용카드 영수증에 카드회원 금융정보가 여전히 노출되고 있어 금융당국의 허술한 관리·감독이 도마위에 올랐다.

26일 소비자문제 연구소 컨슈머리서치에 따르면, 국내 10개 카드사의 결제 영수증 1000장을 점검한 결과 잘못된 카드번호 마스킹은 물론 카드 유효기간까지 명시돼 있었다.

결제는 물론 본인임을 확인하는 수단으로 활용되는 카드번호와 유효기간이 허술한 감독으로 무분별하게 찍혀서 노출된 것이다.

신용카드 결제 영수증의 카드번호 마스킹은 제각각이었다. 마스킹은 카드번호를 보호하기 위해 '****' 표시로 카드번호 일부를 막는 것을 말한다.

금융감독원와 여신금융협회는 지난 2010년 카드 회원의 카드번호 보호를 위해 번호 16자리 중 '서드 레인지(3rd range)'에 해당하는 9~12번째 번호에 마스킹 표시('****' 표시)를 하도록 권고하는 내용을 담은 '보안강화방안'을 마련했다.

하지만 보안강화방안은 유명무실했다. 3년이 지난 지금까지 단말기마다 카드 결제 영수증의 마스킹 위치가 달라 서로 다른 영수증 두 장만 있어도 전체 카드번호를 쉽게 알 수 있다.

카드업계 관계자는 "영수증 1장이 출력되는 포스(POS) 단말기는 대부분은 서드 레인지(9~12번째)에 마스킹을 하고 있다. 반면 영수증이 3장이 출력되는 캣(CAT) 단말기에선 끝자리(13~16번째)에 마스킹해서 출력되는 경우가 많다"고 설명했다.

소비자문제 연구소가 조사한 일부 영수증에는 유효기간까지 찍혀 나왔다. 총 1000장의 카드 영수증 중 유효기간이 노출된 영수증은 모두 13장으로 음식점과 커피숍이 9장으로 가장 많았다. 이밖에 골프장, 동네 병원, 슈퍼 등도 마찬가지였다.

카드 유효기간은 본인확인은 물론 결제 과정에서 비밀번호 역할을 한다. 카드사와 가맹점이 특약을 맺어 주인의 서명이 없어도 매출을 승인하는 '신용카드 수기거래'의 경우 유효기간이 결제 과정에 비밀번호를 대신한다.

일부 신용카드 수기거래의 경우 카드번호와 유효기간만 있으면 정상 결제가 가능하다.(수기결제 관련 사이트 화면 캡처)

결제대행 서비스 업체인 PG사 관계자는 "카드번호와 유효기간만 있으면 결제가 가능한 업종이 여러 있다"며 "물건을 주고 나서 거래가 끝나는 예컨대 배달음식점이나 한약도매, 화장품, 꽃배달 등은 카드번호와 유효기간만 있으면 거래가 진행된다"고 말했다.

이에 여신금융협회 관계자는 "일부 영세 포스 제조사에서 권고사항을 지키지 않아 신용카드 매출전표에 카드번호와 유효기간이 노출되고 있는 것"이라면서 "단말기 기술표준을 준수한 단말기만 시장에 유통될 수 있도록, 협회를 통한 일원화된 단말기 관리·감독체계를 마련할 계획"이라고 해명했다.

금융감독원 관계자도 "소규모 포스 단말기 제조사 권고를 지키지 않아 발생한 문제다"며 "현재 IC카드 보급과 관련해 단말기 인증제도 추진하고 있다. 앞으로 인증제도를 통해 문제 단말기가 시장에서 점차적으로 사라질 것으로 보고 있다"며 포스 단말기 문제로 한정했다.

일각에선 금융감독당국이 문제도 제대로 파악하지 못했다는 지적이 일고 있다.

실제 컨슈머리서치가 공개한 문제 영수증은 포스 단말기 뿐만 아니라 캣 단말기에서도 출력됐다. 결국 영세 포스 제조사의 문제가 아니라는 뜻이다.

캣 단말기, 일부 포스 단말기가 마스킹을 잘못하고 있어 당국의 인증을 받은 단말기로 교체하지 않으면 이같은 일이 벌어질 수 밖에 없다.