티몬페이 해킹?

명의도용 사건 잇따라

최근 티몬페이에서 사용자 모르게 문화상품권을 구매하는 사건이 잇따라 발생해, 서비스가 일시적으로 중단되기도 했다. 시스템 해킹은 아니고, 사용자의 로그인 정보를 도용한 것으로 추정됐다. 문화상품권은 별도의 배송이 필요치 않기 때문에 부정결제에 많이 이용된다.

보안 인증 체계의 취약점

티몬페이를 비롯해 대부분 간편결제 수단은 결제시 로그인 암호와는 별도의 결제비밀번호를 요구한다. 로그인 정보는 많은 정보유출 사고로 인해 암시장에서 팔리는 것들이 많다. 게다가 여러 사이트에서 동일한 로그인 정보를 사용하는 사람들이 여전히 많다. 따라서 결제비밀번호가 가장 중요한 보안 수단이다.

범죄자가 타인의 로그인 정보를 알면 개인정보 자체를 수정할 가능성이 있다. 따라서 결제비밀번호를 비롯해 중요한 정보를 수정하려면 로그인 정보 외에 추가로 본인 인증을 요구하는 것이 일반적이다. 본인 명의의 휴대폰으로 인증하는 것이 대표적이다.

그러나 티몬의 경우 별도 인증 없이 이름과 전화번호를 바꿀 수 있다. 즉 로그인 정보만 알면 제3자가 자신의 휴대폰(이 역시 대포폰이겠지)을 인증 수단으로 만들 수 있는 것이다. 이를 통해 결제비밀번호를 바꿀 수 있음은 물론이다.

간편결제도 신중한 선택이 필요

반면 지마켓, 옥션, 11번가에서는 이름과 전화번호를 바꾸려면 기존 이름의 전화번호로 인증을 해야 한다. 쿠팡과 위메프에서는 아무 전화번호로나 인증을 수행하여 기존 전화번호를 바꿀 수 있지만, 이름을 바꿀 때는 기존 이름의 전화번호로 인증을 해야 한다.

간편결제도 아무거나 이용할 것이 아니라 업체의 역량을 고려해야겠다.


참고 자료

• 티몬페이 보안 허점의 핵심은 ‘이름 수정’…지마켓·쿠팡 등은 본인인증 필요