핀테크 플랫폼 고위드 해킹으로 인한 법인카드 부정결제 발생

관리자 계정이라는 열쇠를 훔쳐 금고를 연 사고 2026.11.10 05:18 KST

보안의 핵심은 데이터 자체보다 그 데이터에 접근할 수 있는 권한을 어떻게 관리하느냐에 있다. 이번 사고는 카드 정보가 직접 유출된 것이 아니라, 결제 기능을 제어하는 관리자 정보가 탈취되며 발생했다. 해커가 관리자 권한을 이용해 가짜 전자문서를 만들고 결제를 요청하자, 시스템은 이를 정상적인 요청으로 인식해 승인한 구조다.

쟁점은 고위드의 주장과 실제 결과 사이의 간극에 있다. 고위드는 카드번호 마스킹과 CVC 미보관으로 결제가 불가능하다고 했지만, 실제로는 400만원대의 비정상 결제가 일어났다. 이는 단순한 정보 유출을 넘어 API 취약점을 이용한 데이터 조작이나 관리자 권한의 오남용 가능성을 시사한다. 결국 시스템이 '누가' 요청했는지를 검증하는 다중인증 체계가 제대로 작동했는지가 판단의 핵심이 된다.

기술적 허점은 짚었지만 구조적 책임은 비껴간 보도 2026.11.10 05:18 KST

대부분의 매체가 핀테크 플랫폼의 보안 취약점을 노린 새로운 공격 방식이라는 점에 주목했다. kbc광주방송과 연합뉴스는 관리자 정보 탈취와 가짜 전자문서라는 구체적인 수법을 전달하며 외부 플랫폼 보안 강화의 시급성을 강조했다.

특히 한국경제는 고위드의 주장과 실제 결제 승인 사실 사이의 모순을 짚어내며, AI를 활용한 API 취약점 분석 가능성이라는 기술적 관점을 제시했다. 단순한 정보 유출 사고를 넘어 시스템 설계상의 허점을 파고들었다는 점에서 독자에게 유용한 정보를 제공했다.

다만 보도 전반이 '보안 강화'라는 원론적인 대책에 머물러 있다. 핀테크 기업이 금융사의 기능을 대행하면서 정작 감독 기관의 직접적인 검사 대상에서 벗어나 있는 제도적 사각지대는 연합뉴스만 짧게 언급했을 뿐이다. 플랫폼의 편의성 뒤에 숨은 책임 소재의 불분명함을 깊게 파고든 보도는 보이지 않는다.