투데이e코노믹 = 우혜정 기자 | 국내에서 소비자 동의 없이 인공지능(AI) 서비스 챗GPT의 고가 유료 요금제가 무단 결제되는 사고가 발생하면서 카드 정보 유출 및 해외 온라인 결제 보안에 대한 우려가 커지고 있다.

최근 업계에 따르면 현재까지 확인된 챗GPT 프로 무단 결제 의심 건수는 총 858건으로 집계됐다. 챗GPT 프로는 월 이용료가 29만9000원인 고가 요금제로, 피해 금액은 약 2억5600만원에 달한다.

이번 사태는 최근 온라인 커뮤니티와 사회관계망서비스(SNS)에 "사용하지도 않은 챗GPT 요금이 결제됐다"는 피해 사례가 잇따라 올라오면서 수면 위로 드러났다. 피해자들이 받은 카드 승인 문자에는 국내 전자지급결제대행(PG)사인 나이스정보통신이 가맹점으로 표시됐으며, 조사 결과 실제 결제처는 챗GPT 운영사 오픈AI인 것으로 확인됐다.

업계에 따르면 이달 국내에서 결제된 챗GPT 프로 요금제는 총 1368건, 약 4억원 규모다. 이 가운데 858건이 부정 결제 의심 사례로 분류돼 전체 결제 건수의 62.7%를 차지했다.

현재까지는 오픈AI 시스템이 해킹됐다는 정황은 확인되지 않았다. 대신 보안업계는 이미 유출됐거나 도난당한 카드 정보가 범죄에 악용됐을 가능성에 무게를 두고 있다. 특히 범죄자들이 확보한 카드 정보의 실제 사용 가능 여부를 확인하기 위해 결제를 시도하는 이른바 '카드 테스팅(Card Testing)' 수법이 활용됐을 가능성이 제기된다.

카드 테스팅은 다크웹이나 피싱 등을 통해 확보한 카드 정보를 온라인 서비스에 무작위로 입력해 결제 성공 여부를 확인하는 범죄 수법이다. 결제에 성공한 카드 정보는 향후 추가 범죄에 활용될 수 있다.

해외 서비스 상당수, 카드번호 등 기본 정보로 결제 가능

전문가들은 해외 온라인 결제 환경이 이번 피해 규모를 키운 배경 중 하나라고 지적한다. 국내에서는 휴대전화 인증이나 간편인증 등 추가 본인확인 절차가 일반적이지만, 해외 온라인 서비스 상당수는 카드번호와 유효기간, 보안코드(CVC) 등 기본 정보만으로 결제가 가능하기 때문이다.

또한 PG사를 통한 결제 구조 역시 소비자의 피해 인지를 늦춘 요인으로 꼽힌다. 일반적으로 PG사를 이용한 결제는 카드 승인 문자나 명세서에 실제 서비스명이 아닌 PG사명이 표시되는 경우가 많다. 이번 사례에서도 결제 알림에는 '나이스정보통신'만 표시돼 이용자들이 어떤 서비스에서 결제가 발생했는지 즉시 파악하기 어려웠다.

결제 정보 표기 방식은 카드사의 이상금융거래탐지시스템(FDS)에도 영향을 미칠 수 있다는 분석이 나온다. FDS는 결제 금액과 시간, 업종, 거래 패턴 등을 종합 분석해 이상 거래를 탐지하지만, 실제 가맹점 정보가 충분히 드러나지 않을 경우 특정 서비스에서 반복적으로 발생하는 이상 징후를 신속하게 식별하는 데 한계가 있을 수 있다는 것이다.

논란이 확산되자 오픈AI와 나이스정보통신은 피해 결제에 대한 취소 및 환불 조치를 진행했다. 또한 추가 피해 방지를 위해 신규 카드 등록과 결제를 제한했으며, 결제 시 나이스정보통신과 함께 오픈AI 또는 챗GPT 명칭이 표시되도록 가맹점 표기 방식을 변경했다.

나이스정보통신은 현재 오픈AI와 협의해 휴대전화 본인인증 등 추가 인증 절차 도입을 위한 기술 검토와 개발을 진행 중인 것으로 알려졌다.

금융당국도 대응에 나섰다. 금융당국은 불법 유통되는 개인정보 데이터베이스(DB)에 대한 모니터링을 강화하고 관계 부처와 공동 대응 체계를 가동할 방침이다. 금융감독원 역시 카드사들에 이상 거래 탐지 강화를 요청한 상태다.