카드 번호 살짝 바꾸면..“도용 무방비”

1. 취재착수 ① 단독취재( ), ② 단독기획( ), ③ 보도자료 심층기획( ), ④ 제보(○), ⑤ 기타( ) 2. 보도제작경위 - 내용을 구체적으로 기술해 주십시오. ◇ 제보 확인 보안의 핵심은 '유추 불가능'에 있습니다. 내가 갖고 있는 정보로 다른 정보를 추측하지 못하게 하는 것이 골자입니다. 그런데 보안을 특히 중시해야할 한 국내 대형카드사가 이 룰을 놓치고 있다는 제보를 받았습니다. '카드번호 끝자리를 1씩만 높여도 결제가 된다' 사실 믿기 어려운 제보였습니다. 카드결제가 일상화된 우리나라에서 가능한 일이라고 상상하기 쉽지 않았습니다. 제보 내용을 정리하자면, 신한카드사가 발행하는 특정 카드의 번호가 발급 순서대로 부여되어 있어 해킹 위험이 크다는 것이었습니다. 첫 번째 발행됐다면 00000001, 두 번째는 00000002 이런 식이라는 겁니다. 발급 순서대로 카드번호가 매겨지는 것이 맞다면 큰 문제였습니다. 같은 시기에 발급된 카드는 유효기간이 같기 때문입니다. 이는 곧 타인 명의의 카드 정보를 유추할 수 있단 얘기였습니다. 특히 아마존 등 일부 해외사이트에선 번호와 유효기간만 있어도 결제가 가능하기 때문에, 사실이 맞다면 도용 위험이 충분한 상황이었습니다. ◇ 제보 검증 우선 제보자의 말이 사실인지 확인하기 위해선 검증이 필요했습니다. 그 전에 유의할 점이 있었습니다. 검증을 위한 결제일지라도 타인 명의의 카드이기 때문에 실제 결제를 해선 안됐습니다. 전화 ARS 결제라는 대안을 찾았습니다. 신한카드 전화 ARS 결제는 카드번호와 유효기간을 입력하면 실제 있는 카드인지 먼저 확인이 되고, 이후에 금액을 입력한 후 점포에서 전표를 은행에 전달해야 결제가 되는 시스템이었습니다. 가게를 섭외해 결제에 필요한 사업자등록번호를 빌리고, 실물 카드를 확보했습니다. 카드번호를 1씩 높여가면서 결제를 시도했습니다. 계속해서 결제 단계로 넘어갔습니다. 하지만 우연일 가능성을 대비해 10, 50, 100단위로도 높여봤습니다. 막히는 구간에선 유효기간을 한 달 높여봤더니 또다시 결제 단계로 넘어갔습니다. 제보자의 말이 사실로 확인되는 순간이었습니다. ◇ 전문가 자문 및 자료 수집 보안업계 관계자와 교수 등 전문가들에게도 자문을 받았습니다. 통상적으로 카드번호 체계는 어떻게 이뤄지는지, 단순하게 발급순서대로 배열했을 때 어떤 위험성이 존재하는지 등 의견을 구했습니다. 카드번호는 무작위로 부여하는 게 올바르다는 의견들을 취합했고 보도의 타당성을 확보했습니다. 또한 카드 도용 범죄 현황과 문제된 카드는 특히 피해가 컸는지 알아보기 위해 의원실을 통해 금감원으로부터 자료를 받아냈습니다. 확인 결과 카드도용범죄는 FDS(이상금융거래탐지시스템)의 발전 영향으로 나날이 줄어들고 있었고, 문제가 된 카드도 아직까지 큰 피해는 없었던 것으로 드러났습니다. ◇ 카드사 및 금감원 확인 신한카드 측에 확인을 해야 했습니다. 실제 카드번호 체계가 단순한 일련번호로 구성돼있는 게 맞는지, 맞다면 왜 그렇게 구성한건지 등을 물었습니다. 하지만 신한카드 측은 카드번호 체계를 알리는 순간 심각한 보안 문제가 생긴다며, 언론이라고 할지라도 확인해줄 수 없다고 답했습니다. 여러 번 문의를 했지만 영업비밀이라는 답은 매번 같았습니다. 하지만 이전에 제보자가 카드사에 문제 제기를 했을 때 돌아온 답변은 이와 달랐습니다. '이 카드가 해당 카드 상품 중 5505번째로 발행된 카드가 맞는지요?' 라는 질의에 '일련번호 체계로 구성돼있는 게 맞다'고 답변이 돌아왔기 때문입니다. 이를 토대로 신한카드 측에 다시 질문을 넣었고, 결국 “카드번호 체계를 점검하겠다”는 답변을 받아냈습니다. 금융감독원도 카드사들의 카드번호 체계를 따로 관리하고 있지는 않았습니다. 취재에 들어가자 금감원은 “신한카드의 특정 카드의 번호 체계가 보안에 취약하다는 걸 확인했다”며 다른 카드사들도 점검하겠다고 밝혔습니다. 그 결과, 신한카드 뿐만 아니라 다른 카드사들도 같은 문제점이 있는 것으로 파악됐습니다. ◇ 보도 전 고려사항 보도 전 고민되는 점도 있었습니다. 모방 범죄의 위험성 때문입니다. 사실 카드번호가 어떤 방식으로 구성돼있는지는 일반인들이 알기는 어렵습니다. 이런 상황에서 이 카드번호 체계가 왜 문제가 되는지 이해를 돕기 위해 어느 정도까지 알려야하는지 고민이 깊었습니다. 최대한 어떤 카드인지 노출되지 않도록 했습니다. 동시에 번호 체계를 설명할 때 불친절하더라도 CG 활용 등을 최소화함으로써 모방 범죄 위험을 줄이고자 노력했습니다. 3. 취재 및 보도과정의 특이사항 여부 ① 기사에 등장하는 익명취재원의 상당성여하 특이사항 없습니다. ② 제보자와의 특별한 이해관계여하 특이사항 없습니다. ③ 직접취재(바이라인), 현장취재(데이트라인)여하 취재기자가 직접 카드번호체계를 검증하고 신한카드, 금감원 등 취재했습니다. ④ 기타 특이사항 여하 없습니다. 4. 타 매체 선행보도 여부 및 타 매체의 반향 SBS 단독 취재로 신한카드 번호 발행 체계에 문제가 있다는 점을 최초 보도한 것으로 타 매체 선행 보도 없었습니다. 첫 보도 이후 연합뉴스와 뉴시스, 중앙일보, 서울신문, 세계일보, KBS YTN, 조선비즈 등 통신·신문·방송 매체에서 일제히 해당 기사를 받았고, 금융감독원에서 다른 카드사들 번호체계에도 동일한 문제가 발견돼 시정조치를 지시했다는 발표 이후에는 연합뉴스와 뉴스1, 동아일보, 문화일보 등 많은 언론사들이 해당 내용을 기사화했습니다. 5. 사회에 끼친 영향 SBS 취재 전까지 신한카드는 자사 카드의 번호 발급에 문제가 있다는 점을 전혀 파악하지 못했습니다. SBS 취재가 시작된 뒤 보안상 허점이 있다는 걸 알았지만 사실 관계 확인에 제대로 응하지 않았습니다. 취재 기자가 실제 도용 결제가 가능한 상황을 하나하나 사례로 들어 추궁하자, 반박하지 못하면서도 영업상 비밀이라며 끝끝내 문제점을 인정하거나 공식 사과는 하지 않았습니다. SBS 취재가 없었더라면 신한카드는 피해자가 발생할 때까지 아무런 대처도 하지 못하는 건 물론, 취재 과정에서 보인 태도로 볼 때 피해자가 발생해도 과실을 쉽게 인정하지 않았을 것으로 보입니다. 금융감독원도 2019년 해킹으로 카드정보가 유출되는 사건이 발생하자 카드사에 주의를 당부했을 뿐 이후 카드 번호 관리에 대한 별다른 주의는 기울이지 않고 있었습니다. 취재 초기에도 금감원은 카드번호 부여는 카드사 자율에 맡기고 있다며 문제가 있다면 살펴보겠다는 정도로 안일하게 대응했습니다. 하지만 SBS 측 질의와 신한카드 측 보고가 올라가자 그제야 문제의 심각성을 깨닫고 신한카드 뿐 아니라 다른 카드사에도 동일한 문제가 없는지 파악하도록 뒤늦게 지시했습니다. 금감원 조사 결과, 비자·마스터 등 국제 브랜드 제휴 해외 겸용카드의 경우, 씨티카드를 제외한 다른 카드사들도 신한카드와 동일한 문제가 있는 걸로 확인됐고, 이에 따라 카드번호·유효기간 유출과 도용을 막기 위한 대대적인 번호 체계 개선 작업(2~3달가량 소요)이 시작됐습니다. 국내 발행 카드의 상당수가 비자나 마스터 등 제휴 카드인 점을 고려하면 국내 카드 사용자 대다수가 도용 위험에 노출돼 있었던 셈이어서 이번 보도가 잠재적 소비자 피해를 막고 국내 카드 번호 발행 체계 전반을 개선하는 성과를 냈다고 판단됩니다. 6. 자체평가 및 소속사확인여부 신용 카드 발급 체계는 일반인들이 알기 어려운 전문적 영역입니다. 이런 점 때문에 취재 중에도 신한카드 측이 영업 비밀을 이유로 취재에 모르쇠로 일관했음에도 끈질긴 취재로 문제점을 확인한 것은 물론 금융감독원을 집요하게 취재해 제보가 접수된 신한카드 문제에 그치지 않고 이번 보도가 카드 업계 전반의 허술한 보안을 바로 잡는 계기로 만들었다는 점에서 높이 평가됐습니다. 7. 기타 고려사항