KT 해킹 사태에 따른 소액결제 피해액이 1억7000만원에 달하면서 이동통신사가 운영하는 휴대폰 소액결제 서비스의 허술한 인증 체계가 도마 위에 올랐다. 이통 3사 모두 편의성을 내세워 미성년자까지 이용 범위를 확대했지만 인증 강화 등 보안 리스크 대비는 소홀히 했다는 지적이다.

14일 업계에 따르면 이통 3사는 지난해부터 휴대폰 소액결제 이용 연령을 종전 만 19세에서 만 12세로 낮췄다. 미성년자도 법정대리인 1회 동의만 받으면 휴대폰 소액결제 서비스를 이용할 수 있게 한 것이다. 청소년층의 결제 수요를 흡수하려는 조치였지만 이번 사태에서 보안 취약점으로 작용했다.

소액결제는 신용카드나 계좌이체와 달리 별도의 인증서 없이 휴대폰 번호와 ARS 인증만으로 결제가 가능하다. 간단한 인증 절차 때문에 신용카드가 없는 미성년자 모바일 결제 수단으로 널리 활용됐지만 이번 사태에서는 정보 유출이 금전적 탈취로 이어진 통로가 됐다.

휴대폰 소액결제는 통신사가 결제대행사(PG) 대신 결제금액을 청구·수납 대행하고 수수료를 받는 구조다. 사용자가 주민등록번호와 전화번호를 입력하면 온라인 콘텐츠제공자(CP)는 PG사를 거쳐 사용자 정보, 결제액을 전달하고 통신사 본인인증을 거쳐 결제가 된다.

이번에 해커가 노린 것도 이 인증 체계다. 불법 초소형 기지국을 통해 탈취한 가입자식별번호(IMSI)와 확보한 개인정보를 결합해 전화·문자인증을 손쉽게 뚫어냈다.

이통사는 소액결제 이용 연령을 낮춰 더 많은 수익을 거뒀지만 사용자 보호 조치는 미흡했다. 휴대폰 소액결제 수수료율은 건별 평균 2~3% 수준이다. 지난해 휴대폰 소액결제 시장 규모는 6조6938억원으로 통신 3사가 가져간 수수료만 연간 1300억~2000억원에 달한다. 통신사별로 최소 수백억원을 남긴 셈이다.

사태가 확산되자 통신사들은 뒤늦게 보안 절차 강화에 나섰다. KT는 소액결제 한도를 기존 100만원에서 10만원으로 낮추고 인증 수단도 전자문서인증서비스 '패스(PASS)' 앱의 생체인증만 허용하기로 했다. 또 2차 비밀번호 설정을 무료로 제공하고 비정상 결제를 차단할 수 있는 소액결제 모니터링 시스템 개발에도 착수했다.

다른 통신사도 추가 보안 강화 필요성이 제기된다. LG유플러스는 12일부터 소액결제 한도를 10만원으로 하향했고 SK텔레콤도 이를 논의 중이다. 정부도 소액결제 한도별 인증체계를 재설계하는 방안을 검토한다.

이주희 더불어민주당 의원은 “막대한 매출을 올리는 휴대폰 소액결제 시장에서 돈만 벌고 고객 민원 등 책임은 회피하는 통신사 행태를 바로 잡아야 한다”고 지적했다.

박준호 기자 junho@etnews.com

• 텍코드, 세계 최초 일회용 척추 내시경 'eSpine Endoscope' 출시
• MG손보 잃은 JC파트너스, 초대형GA 굿리치 매각설 '솔솔'
• “투자없이 성장한 강소벤처 발굴”…중기부, '아기유니콘 수익성장형' 트랙 20개사 선정
• 코스피 사흘 연속 사상 최고치…비트코인 강세장 막바지 경계론 부상
• “K컬처 300조 시대, 저작권 인프라가 뒷받침해야”