[보안 이슈] 다크웹에 풀린 국내 카드정보가 3년 새 8배로 늘었습니다 — 가짜 결제창에 입력한 내 카드번호 지키는 법
다크웹에서 발견된 국내 카드정보가 2022년 1만96건에서 지난해 7만9,100건으로, 3년 새 약 8배 늘었습니다. 올해 상반기에만 가짜 결제창 수법으로 확인된 유출이 5,707건입니다.
안녕하세요, dailybetter입니다.
카드정보 유출이라고 하면 보통 대형 쇼핑몰이나 카드사 서버가 통째로 뚫리는 장면을 떠올립니다. 그런데 요즘 가장 많이 쓰이는 수법은 그보다 훨씬 개인적입니다. 바로 내가 직접 결제창에 입력하도록 유도하는 방식입니다.
이번 글에서는 ‘가짜 결제창(웹 스키밍)’이 어떻게 작동하는지 그 구조를 해체하고, 내 카드가 노출됐는지 확인해 막는 현실적인 3단계와 부정사용 보상 기준까지 정리합니다.
무슨 일이 벌어졌나
금융보안원은 다크웹을 상시 감시하며 거래되는 국내 카드정보를 찾아 카드사에 넘깁니다. 그 건수가 2022년 1만96건에서 지난해 7만9,100건으로 늘었고, 올해 상반기에만 가짜 결제창 수법으로 확인된 유출이 5,707건입니다. 카드사에 “이 카드를 막고 재발급하라”고 통보한 횟수도 109회에서 136회로 늘었습니다.
주목할 점은 유출이 늘어난 동시에 당국이 선제적으로 막아내는 사례도 함께 늘고 있다는 신호라는 것입니다.
어떤 정보가, 어떻게 빠져나가나
가장 흔한 수법은 웹 스키밍, 쉽게 말해 “가짜 결제창”입니다. 정상 쇼핑몰처럼 생긴 화면을 띄워 다음 정보를 한꺼번에 입력하게 유도합니다.
- 카드번호·유효기간·CVC: 뒷면 세 자리까지 모이면 온라인 결제에 그대로 쓰이는, 부정결제의 핵심 세트입니다.
- 카드 비밀번호·주민등록번호: 정상 결제라면 요구하지 않는 정보입니다. 이걸 묻는 창 자체가 가짜라는 결정적 신호입니다.
더 교묘한 건 그다음입니다. 정보를 받아낸 뒤 일부러 “오류가 발생했습니다” 창을 띄우고 진짜 결제창으로 넘겨 정상 결제를 시킵니다. 결제가 멀쩡히 됐으니 소비자는 의심하지 않지만, 입력한 카드정보는 이미 다크웹으로 넘어간 뒤입니다. 이 사이트는 앞서 티빙 3,954만 계정 유출 사고처럼 ‘뚫린 서버’에서 새는 경우를 다뤘지만, 이번 수법은 내 손으로 직접 입력하게 만든다는 점에서 결이 다릅니다.
내 카드가 포함됐는지 확인하고 막는 3단계
“내 카드가 다크웹에 떴는지”를 개인이 직접 조회하는 공개 사이트는 없습니다. 발견은 금융보안원이, 통보는 카드사가 합니다. 그래서 확인과 대응은 아래 순서로 합니다.
- 카드사 알림·문자부터 확인하세요. 유출이 확인되면 카드사가 사용정지·재발급 안내를 보냅니다. 스팸함까지 확인하고, 모르는 승인 문자가 있으면 바로 카드사 고객센터로 연락하세요.
- ‘내카드 한눈에’로 전체 카드를 점검하세요. 여신금융협회가 운영하는 서비스로, 흩어진 카드사의 보유 카드·이용한도·최근 이용내역을 한 화면에서 봅니다. 쓴 적 없는 카드나 낯선 승인이 있는지 확인하는 용도입니다.
- 조금이라도 의심되면 재발급이 정답입니다. 카드번호·유효기간·CVC는 한 번 새면 바꿀 방법이 재발급뿐입니다. 비밀번호만 바꾼다고 카드번호가 달라지지 않습니다. 결제 알림(SMS·앱 푸시)을 켜 두면 부정사용을 실시간으로 잡아낼 수 있습니다.
보상받을 수 있을까, 그리고 공식 안내는
Q. 이미 부정결제가 됐으면 돈을 돌려받나요?
분실·도난 신고 접수일 기준 60일 전부터 접수일까지 발생한 부정사용 금액은 원칙적으로 카드사가 부담합니다. 다만 비밀번호를 소홀히 관리했거나 카드 뒷면에 서명이 없는 경우 등은 본인 책임이 될 수 있으니, 발견 즉시 신고하는 게 핵심입니다.
Q. 가짜 결제창은 어떻게 구별하나요?
결제 단계에서 비밀번호 전체나 주민등록번호를 입력하라고 하면 99% 가짜입니다. 정상 온라인 결제는 카드번호·유효기간·CVC와 간편결제 인증 정도만 요구합니다. 과도한 정보를 묻는 순간 창을 닫으세요.
결제창이 비밀번호 전체나 주민등록번호를 요구하는 순간, 거래를 멈추고 창을 닫으세요. 정상 결제는 절대 이 둘을 묻지 않습니다. 이 거래 하나를 포기하는 것이 카드를 재발급하는 수고보다 훨씬 쌉니다.
“보안의 마지막 방어선은 결국 사용자 본인입니다.”
💡 dailybetter 분석가 Note
눈여겨볼 지점은 ‘유출 건수’와 ‘당국의 차단 건수’가 함께 늘었다는 사실입니다. 다크웹 카드정보 중 상당수는 유효기간이 지났거나 이미 정지된 ‘죽은 정보’라는 과거 분석도 있어, 숫자 그대로를 공포로 받아들일 필요는 없습니다. 다만 분명한 건, 유출의 출발점이 대형 서버 해킹이 아니라 내가 결제창에 입력하는 그 순간이라는 점입니다. 보안의 마지막 방어선이 결국 사용자 본인인 셈입니다. 처음 보는 쇼핑몰에서 비밀번호·주민번호까지 묻는 결제창을 만나면, 그 거래 하나를 포기하는 것이 카드를 재발급하는 수고보다 훨씬 쌉니다.
* iPhone은 Safari / 갤럭시는 Chrome에서 설정 가능합니다
새 포스트가 올라오면 바로 알려드려요