'페이스 페이' 토스페이먼츠, 정보유출 범죄 악용 공포

2026-09-10 14:28:07 ㅣ 2026-09-10 16:16:54

[뉴스토마토 신수정 기자] 토스페이먼츠에서 발생한 정보 유출 사고로 토스의 얼굴인식 결제 서비스인 '페이스페이'까지 보안 우려가 번지고 있습니다. 해킹 범죄가 전자지급결제대행(PG) 업체의 결제망뿐 아니라 가맹점이나 외부 플랫폼 등 공급망 전반으로 확산하면서 생체 정보를 활용한 페이스페이 역시 범죄에 악용될 수 있다는 소비자들의 불안이 커지고 있습니다.

PG사 해킹 확산, 금감원 현장검사 착수

10일 금융권에 따르면 금융감독원은 토스페이먼츠와 코엠페이먼츠에서 해커의 공격을 받아 정보 유출이 발생하면서 최근 현장점검을 착수하고 전날 현장검사로 전환했습니다.

토스페이먼츠는 자사의 결제대행 서비스를 이용하는 가맹점 1곳에서 결제연동플랫폼(웹사이트)이 발급한 보안 인증정보(연동키) 노출로 인해 신용카드 결제 내역 4131건, 정보 주체 2671명의 정보가 외부에서 무단 조회된 것으로 확인됐습니다. 다만 토스페이먼츠의 보안이 직접 뚫려 발생한 정보 유출 사고는 아니며 신용카드 비밀번호나 유효기간, 식별번호(CVC) 등 결제 정보가 유출되지 않아 추가 결제 피해로는 이어지지 않았습니다.

토스페이먼츠 측은 "제3자가 추가 정보를 수집한 뒤 해당 가맹점의 결제 내역을 조회한 것"이라며 "토스페이먼츠 시스템에 대한 침입 시도는 아니며 토스 앱이나 다른 계열사의 서비스·고객 정보와도 무관하다"다고 밝혔습니다. 이어 "특정 가맹점 한 곳의 결제 내역에 한정됐고 조회된 정보도 구매자 이름, 마스킹 처리된 카드번호, 승인번호 등 영수증 수준의 결제 내역인 데다 현재까지 확인된 부정 결제 사례도 없다"고 설명했습니다.

토스페이먼츠뿐만 아니라 코엠페이먼츠에서도 해킹 사고가 있었던 것으로 나타났습니다. 코엠페이먼츠는 홈페이지에 "2026년 8월30일~9월1일 신원 미상의 해커가 당사 서버를 공격해 결제 관련 정보가 유출됐음을 인지했다"고 공지했습니다. 코엠페이먼츠의 정보 유출 범위는 카드번호, 일부 이용자의 비밀번호 앞 두 자리, 유효기간, 결제금액, 카드 소유주의 생년월일 등으로 토스페이먼츠보다 상황이 심각했습니다.

이번 사고는 금융당국과 피해 업체가 해킹 사실을 파악하기 전에 해커가 먼저 한국인터넷진흥원(KISA) 등에 피해 대상과 확보한 정보 등을 직접 전달하며 침해 사실이 알려졌습니다. 중국인 해커로 추정됐지만, 금융당국은 IP 주소 등이 중국계로 보이나 우회 방법일 수도 있어 단정하긴 어렵다고 보고 있습니다. 금감원은 제보를 토대로 피해 여부를 파악 중입니다.

이번 정보 유출 사고로 PG업체의 시스템 침해가 아닌 가맹점 및 외부 결제연동플랫폼 등 공급망(Supply Chain) 전반의 보안 관리를 강화해야 한다는 견해가 나옵니다. 해킹 공격에 생성형 인공지능(AI)을 활용했을 가능성까지 제기되면서, 보안 관리가 상대적으로 취약한 중소형 금융사나 협력업체의 보안 투자 확대와 방어 역량 강화가 시급한 과제로 떠올랐습니다.

안면 정보 털리면 치명적

토스페이먼츠에서 정보 유출 사고가 발생하면서 토스가 제공 중인 페이스페이에 대한 소비자들의 불안감도 커지고 있습니다. 가맹점에 설치된 단말기를 통해 생체인증을 기반으로 결제가 이뤄지는 서비스인 만큼 결제 과정에서 활용되는 안면 정보까지 해킹에 노출될 수 있는 것 아니냐는 우려가 제기됩니다.

페이스페이는 얼굴(Face)과 결제(Pay)의 합성어로 신용카드나 스마트폰 없이 얼굴을 결제 수단으로 활용하는 오프라인 간편결제 서비스입니다. 토스의 전용 단말기 ‘토스 프론트’ 카메라에 얼굴을 비추면 사전에 등록해 둔 얼굴 정보를 바탕으로 본인 확인과 결제 절차를 거쳐 결제가 이뤄집니다.

토스는 지난해 3월 서울 일부 지역에서 페이스페이를 시범 출시한 뒤 같은 해 9월 전국으로 서비스를 확대했습니다. 최근 누적 가입자는 700만명을 넘어섰으며 페이스페이를 지원하는 토스 프론트를 이용 중인 누적 가맹점도 37만곳을 돌파했습니다. 서비스 이용 규모가 빠르게 커지면서 보안에 대한 소비자들의 관심도 자연스럽게 높아지고 있는 셈입니다.

특히 안면 데이터는 고유한 신체적 특성을 기반으로 한다는 점에서 다른 결제 정보와는 성격이 다릅니다. 한 차례 유출될 경우 비밀번호나 카드번호처럼 간단히 변경하거나 재발급하기 어렵기 때문에 장기적인 보안 위험으로 이어질 가능성이 있습니다. 카드번호나 비밀번호는 해킹 직후 변경하거나 신규 발급을 통해 추가 피해를 차단할 수 있지만 사람의 얼굴 자체를 바꾸는 것은 사실상 불가능하기 때문입니다. 최악의 경우 특정인의 얼굴 정보와 결제 내역을 조합해 사생활을 세밀하게 추적되거나 유출된 안면 데이터에 딥페이크 기술을 접목해 신분 위조에 악용될 위험성이 높아질 수 있습니다.

실제 최근 사회관계망서비스(SNS) 등에서는 토스페이먼츠 정보 유출 사고를 계기로 "토스의 페이스페이를 절대 이용하지 않겠다"는 소비자들의 반응도 나오고 있습니다. 기존에도 페이스페이가 주변 사람을 결제자로 잘못 인식하거나 자신도 모르는 사이 타인의 결제에 이용될 수 있다는 우려가 제기돼 왔는데요. 토스페이먼츠 가맹점을 통한 해킹 사고까지 알려지면서 생체 정보 보안에 대한 경계심이 한층 커지는 모습입니다.

다만 이번 토스페이먼츠 정보 유출 사고가 곧바로 페이스페이의 안면 정보 유출로 이어지는 것은 아니라는 게 전문가들의 설명입니다. 두 서비스가 결제 과정에서 사용하는 네트워크와 정보 처리 구조 자체가 다르기 때문입니다.

토스페이먼츠는 PG사로 온라인 결제망을 이용하는 반면, 토스 단말기를 통해 제공되는 페이스페이 결제망은 오프라인상의 VAN망을 사용합니다. 이번처럼 PG사를 이용하는 특정 가맹점이나 외부 결제연동플랫폼에서 해킹으로 정보가 유출됐더라도 페이스페이에 등록된 얼굴 정보가 같은 경로를 통해 함께 유출되는 구조는 아닙니다.

김승주 고려대 정보보호대학원 교수는 "토스페이먼츠 가맹점 정보 유출과 토스의 페이스페이는 관계없는 사안"이라며 "인터넷뱅킹을 위해 지문 등록을 해놓았는데 입출금 내역이나 계좌 정보가 유출됐다고 해서 지문 인식을 통과할 수 없는 개념과 같다"고 말했습니다.

토스 관계자는 "온라인에 알려진 것처럼 뒷사람의 얼굴이 인식돼 결제가 이뤄졌다거나 안면 정보가 유출됐다는 피해 신고는 확인되지 않았다"며 "안면 정보는 단말기 자체에 저장되는 것이 아니기 때문에 가맹점을 통해 정보 유출이 발생하더라도 추가 유출 우려가 없다"고 설명했습니다. 이어 "페이스페이는 토스 내부에서도 별도로 보안 관리를 하고 있으며, 접근도 내부에 권한이 허용된 일부 인원만 가능할 정도로 보안 단계를 강화했다"고 부연했습니다.