앱카드 보안 허술에 금융사고 늑장보고
삼성카드는 재해복구센터 운영 상태가 미흡한데다 스마트폰 앱카드의 보안 상태에 문제가 드러나 금융당국으로부터 제재를 받았다.
금융감독원은 24일 제재 공시를 통해 재해복구센터 구축 및 앱카드 결제서비스 운용 부적정, 전자금융사고 지연 보고 등의 이유로 삼성카드에 기관주의와 개선사항 1건으로 조치하고 임직원에 대해서는 견책(1명)과 주의(3명), 조치의뢰(1건)를 통보했다.
금감원에 따르면 금융사는 전자금융감독규정에 따라 자연재해 등으로 인한 전산센터 마비에 대비해 재해복구센터를 구축·운용하고 복구를 3시간 이내 완료하도록 하고 있다.
그러나 삼성카드는 업무제휴 금융사의 체크카드 잔액 확인 등을 위한 필수 통신회선 일부를 구축하지 않아 지난해 4월 외주업체인 삼성SDS가 운영하던 과천 데이터센터에서 화재가 발생하자 체크카드 업무가 중단되는 등 카드 이용자에게 피해를 입혔다.
삼성카드는 또 전체 재해복구시스템을 대상으로 하는 실제 전환훈련을 실시하지 않아 네트워크 장비 오류를 사전에 발견하지 못했다.
삼성카드는 앱카드 보안과 관련해서도 문제가 있었다.
금융사는 신규 전자금융업무를 수행할 때 사업계획단계에서 금융감독원장에게 보안성 심의를 요청하고 승인받은 사항을 준수해야 하는데, 삼성카드는 승인받은 내용과 다르게 이용자 본인확인 절차를 변경한 결제서비스를 제공했다.
이 때문에 삼성카드는 앱카드 프로그램 설치, 등록을 할 때 스미싱으로 발생할 수 있는 결제사기를 고려하지 못했고, 결국 해커가 스미싱을 통해 피해고객의 휴대폰 인증번호를 절취해 부정 결제하는 금융사고가 발생했다.
이밖에도 금융사는 전자금융사고가 발생하면 금융당국에 지체없이 보고해야 함에도 불구하고 삼성카드는 해커가 타인의 앱카드로 모바일상품권과 게임머니 등을 부정 결제한 사실을 이상금융거래탐지시스템(FDS)으로 인지했음에도 금감원에 늑장보고했다.
