국내에서 이용자 동의 없이 ‘챗GPT’ 유료 멤버십이 무단 결제되는 사고가 무더기로 발생해 보안당국과 관련 업계에 비상이 걸렸다.
보안 전문가들은 다크웹 등 어둠의 경로로 유출되거나 도난당한 카드 정보가 범죄에 악용된 것으로 보고, 피해 이용자들에게 즉각적인 카드 정지 및 재발급을 당부했다.
◆ 피해 금액만 2억5000만원 상회…추가 결제 차단 조치
22일 결제대행사(PG) 나이스정보통신에 따르면, 현재까지 파악된 국내 ‘챗GPT 프로’ 무단 결제 의심 건수는 총 858건이다. 챗GPT 프로는 월 이용료가 29만9000원에 달하는 고가 서비스로, 현재까지 집계된 피해 금액만 약 2억5600만원에 이른다.
나이스정보통신은 오픈AI의 챗GPT 멤버십 국내 카드 결제를 대행하는 핵심 PG사다. 이용자들의 항의 민원이 빗발치자 나이스정보통신은 오픈AI 측과 긴급 거래 확인 및 취소 절차에 돌입했다.
현재 해당 가맹점의 신규 카드 등록과 결제는 전면 제한된 상태다. 나이스정보통신 관계자는 “지금까지 접수된 민원은 가맹점 확인을 거쳐 전 건 취소 처리를 완료했다”며 “선제적으로 추가 결제를 막은 만큼 이후 추가 피해는 확인되지 않고 있다”고 밝혔다.
◆ ‘본인인증 프리패스’ 허점 노렸나…유효성 검증 범죄 가능성
보안 업계와 학계에서는 이번 사고가 유출된 카드 정보의 ‘유효성’을 시험하기 위한 범죄일 가능성에 주목하고 있다. 탈취한 카드가 실제로 사용 가능한지 확인하기 위해 고액 구독 서비스 결제를 감행했다는 분석이다.
원유재 충남대 컴퓨터인공지학부 교수는 “불특정 다수의 피해가 발생한 만큼 누가 어떤 목적을 가지고 사고를 냈는지 규명하는 것이 중요하다”고 짚었다. 다만 나이스정보통신 측은 “가맹점에서 발생한 결제 정보만을 중개하기 때문에 카드 정보가 어떤 경로로 유출됐고 누가 결제했는지 직접 확인하기는 어렵다”고 설명했다.
현행 결제 구조의 허점도 도마 위에 올랐다. 나이스페이를 통해 결제할 때 필요한 정보는 카드 번호, 유효 기간, 보안 코드(CVC), 비밀번호 앞 2자리, 생년월일 등이다. 복수의 확인 정보가 필요하지만, 휴대전화 본인인증처럼 실소유자와 명의자를 대조하는 필수 절차는 빠져 있었다.
이에 대해 나이스정보통신은 “글로벌 서비스의 경우 이용자 편의성을 위해 카드정보 기반의 간편 결제가 널리 쓰인다”며 “법인카드나 가족카드 등 휴대폰 명의자 인증을 적용할 수 없는 예외 환경이 존재해 본인인증을 필수화하지 않았던 것”이라고 해명했다. 회사 측은 이번 조사를 계기로 휴대전화 본인인증 도입을 포함한 보안 보완 조치를 추진 중이다.
◆ “과거 대규모 유출 사고 연관성 배제 못 해…즉시 카드 재발급해야”
일각에서는 과거 발생한 카드 정보 유출 사고와의 연관성을 철저히 점검해야 한다는 지적이 나온다. 결제 정보가 한 번 외부에 노출되면 당장 피해가 없더라도 시차를 두고 다른 온라인 서비스 결제에 악용될 수 있기 때문이다. 대표적으로 지난해 9월 온라인 결제 시스템 해킹으로 28만여 건의 결제 정보가 유출된 롯데카드 사태 등이 언급된다.
이번 챗GPT 결제 피해가 과거 해킹 사태와 직접 연결되었다는 증거는 아직 없다. 그러나 전문가들은 다양한 경로에서 수집된 개인정보와 도난 카드를 무차별 대입(크리덴셜 스터핑 등)했을 가능성을 열어두고 조사해야 한다고 입을 모은다.
홍준호 성신여대 융합보안공학과 교수는 “무단 결제가 한 번이라도 발생했다면 해당 카드 정보가 범죄자들에게 완전히 노출됐다는 뜻”이라며 “단순 취소 처리에 안심하면 동일한 정보로 2차 피해가 발생할 수 있으므로 즉시 카드를 정지하고 재발급받아야 한다”고 강력히 권고했다.
금융 시스템의 근본적인 체질 개선 요구도 이어진다. 홍 교수는 “해외 플랫폼 거래에 인증을 무조건 의무화하긴 어렵겠지만, 고위험·고액 거래에 대해서는 이상거래탐지시스템(FDS)을 강화하고 위험 기반 인증(RBA) 체계를 확대 적용해야 한다”고 제언했다.
노희선 온라인 기자 ahrfus31@segye.com
