[기자의눈]'카드정보 구멍' 고속도로 카드영수증 취재 후

도로공사, 오는 4월까지 시스템 개선 약속

카드단말기 등록제 잘 되기 위해선 여신금융협회 힘 실어 줘야

한국도로공사 구간에서 발행된 통행료 영수증에는 카드번호 서드레인지(8~12)가 가려져 있지 않다. ⓒ데일리안

지난해 카드 3사 정보유출 사태 이후 카드업계는 서로 앞다퉈 '고객정보 보호'라는 띠를 둘렀다. 하지만 여전히 카드결제가 일어난 곳에서 카드정보가 쉽게 새어나가고 있다. 무엇이 문제일까.

지난해 말 한국도로공사는 고속도로 톨게이트에서 통행료를 카드결제로 받기 시작했다. 이에 맞춰 국토교통부는 지난해 12월 26일 '고속도로 통행료 신용카드 결제시대 열렸다'는 제목의 보도자료를 내며 홍보에 열을 올렸다. 일부 카드사도 자사 카드로 통행료를 결제할 수 있게 됐다며 홍보대열에 합류했다.

하이패스를 제외하고 사실상 현금으로만 낼 수 있었던 고속도로 통행료를 카드로 결제할 수 있게 되면서 이용자 편의도 크게 높아질 것으로 기대했다.

하지만 편의성이 높아질 것이라는 기대는 '기본'도 지키지 않은 낮은 보안관리에서 무너졌다. 통행료 카드 결제시 영수증(확인증)에 카드번호를 제대로 가리지 않은 것이다. 국토교통부와 도로공사, 카드사 모두 이 같은 문제를 인식조차 하고 있지 못했다.

카드단말기는 카드번호(16자리) 중 세 번째 구간(8~12번째)으로 불리는 서드레인지를 마스킹(*) 해야 한다. 이는 복수의 카드 영수증으로 카드번호를 조합하는 것을 막기 위한 약속이자 가장 기본적인 보안장치다.

윤정선 데일리안 경제부 기자

기자가 취재에 들어가자 금융감독원 관계자는 "어떻게 그런 단말기가 만들어지냐"며 "여신금융협회와 한국도로공사에 사실관계를 확인하겠다"고 했다. 당시 한국도로공사는 "금감원에서 연락을 받았고, 영수증에 카드번호가 제대로 마스킹 돼 있지 않은 사실을 확인했다"고 답했다. 국토부도 뒤늦게 문제를 인식하고 시정조치를 내리겠다고 했다.

지난해 정보유출로 한차례 곤욕을 겪었던 터라 금감원의 조치는 빨랐다. 도로공사도 이유를 불문하고 오는 4월까지 시스템을 개선하겠다고 했다.

참으로 '웃픈(웃기면서 슬픈)'일이다. 오래된 단말기도 아니고 막 포장을 뜯은 단말기에서 카드정보가 새어나가고 있었으니 말이다. 카드 3사 정보유출이 일어난 지 일 년도 채 안됐을 때다.

더 큰 문제는 아무 카드사도 이를 알아차리지 못했다는 점이다. 도로공사야 카드결제를 처음 도입했기 때문에 잘 몰랐다는 변명을 할 수 있다지만 카드사는 알았어야 했다.

결국 정보유출 사태 이후 '고객정보 보호'라는 구호를 외쳤던 카드사에 책임을 묻지 않을 수 없다.

사고, 사고, 사고...여신협회 중심으로 뭉칠 때 아닌가?

가맹점 관리는 카드사 업무 중 하나다. 더구나 고속도로 톨게이트는 한 두건의 카드결제가 일어나는 곳이 아니다.

앞으로 카드사는 여신금융협회를 중심으로 카드단말기 등록제를 도입할 예정이다. 기본적으로 지켜야 할 보안수준이나 일정요건을 갖춘 카드단말기만 시장에 나올 수 있도록 한다는 취지다.

하지만 제한된 인력으로 난립해 있는 단말기 제조사를 얼마나 통제할 수 있을지 여전히 의문이다. 또 카드단말기 등록제가 시장에서 강제성을 가질 수 있을지 여부에도 물음표가 따라붙는다. 단순히 카드단말기에 인증마크 도장을 찍는 수준에 그칠 수 있다는 우려의 목소리도 나온다.

카드이용자에게 "영수증을 찢어서 버리라"고 권하는 시대도 아니다. 이제 카드사가 메아리 없는 구호만 외치는 것이 아닌 직접 나서야 할 때다.

그러기 위해선 여신금융협회에 지금보다 더 많은 힘을 실어줘야 한다. 카드단말기를 일일이 카드사마다 점검할 수 없을뿐더러 불필요한 비용만 생길게 불 보듯 뻔하다.

정보보호는 물론 핀테크, IC결제 의무화 등 카드업계에 이슈가 산적해있다. 이제 카드사가 각자의 목소리를 내는 경쟁보다 협회를 중심으로 뭉칠 때가 아닌지 되짚어볼 일이다.