카드 유출 소식, 재발급 전에 이것부터 본다

유출됐다는데, 재발급부터 해야 할까

결제정보 유출 뉴스가 뜨면 가장 먼저 드는 생각은 '카드를 바꿔야 하나'다. 결론부터 말하면, 재발급이 필요한지는 무엇이 유출됐느냐로 갈린다. 카드번호와 유효기간, CVC까지 한꺼번에 새어 나갔다면 재발급이 맞다. 하지만 영수증에 찍히는 수준의 정보만 노출됐다면 곧바로 재발급을 서두를 이유는 크지 않다.

이번 토스페이먼츠·코엠페이먼츠 건이 딱 이 구분을 요구하는 사례다.

이번에 실제로 새어 나간 것

Photo by Balázs Kétyi on Unsplash

금융감독원은 2026년 9월 7일부터 토스페이먼츠와 코엠페이먼츠를 점검하다 9일 현장검사로 전환했다. 토스페이먼츠가 확인한 유출 규모는 2671명, 4131건이다. 유출된 항목은 구매자 이름과 마스킹 처리된 카드번호, 승인번호 정도로, 비밀번호와 유효기간, CVC는 포함되지 않았다는 게 회사 설명이다.

유출 경로도 자사 시스템 해킹이 아니라, PG 서비스를 쓰는 특정 가맹점 한 곳의 결제연동 인증정보(연동키)가 노출돼 제3자가 결제 내역을 들여다본 것이라고 토스는 밝혔다.

다만 규모와 성격을 두고는 이견이 있다. 일부 보도는 이번 사안을 해킹 공격으로 보고 유출이 최대 수만 건에 이른다고 전했지만, 토스는 해킹이 아니고 수만 건 유출도 사실과 다르다고 반박했다. 코엠페이먼츠 쪽 정확한 규모는 아직 공개되지 않았다. 금감원 현장검사에서 사실관계가 가려질 부분이다. 금융당국은 이번 공격에 생성형 AI가 쓰였을 가능성도 배제하지 않았는데, 이는 확정된 게 아니라 점검 중인 가정이다.

내 카드가 위험군인지 가르는 기준

핵심은 노출된 정보만으로 실제 결제가 가능한지다. 카드번호 전체와 유효기간, CVC가 모두 있으면 해외 온라인 결제 같은 곳에서 도용 위험이 실질적으로 커진다. 반대로 가려진 카드번호와 승인번호만으로는 곧장 결제를 뚫기 어렵다.

유출된 정보	부정사용 위험	권장 대응
마스킹 카드번호 + 승인번호	낮음	이용내역 모니터링
카드번호 전체 + 유효기간	중간	해외결제 차단, 알림 설정
카드번호 + 유효기간 + CVC	높음	재발급

이번 토스 확인분은 맨 윗줄에 가깝다. 그렇다면 재발급을 급하게 서두르기보다 이용내역을 지켜보는 대응이 먼저다. 물론 통지문에서 유효기간이나 CVC까지 포함됐다고 나오면 판단은 아래 칸으로 내려간다.

지금 해야 할 순서

유출 소식을 접했을 때 실효성 있는 순서는 이렇다.

• 최근 이용내역을 확인하고, 카드사 앱에서 결제 알림을 켠다. 낯선 승인이 있으면 바로 눈에 띈다.
• 해외 온라인·비대면 결제 차단을 설정한다. 도용은 대개 해외 결제에서 시도된다.
• 부정사용이 실제로 있었다면 카드사에 신고한다. 본인 과실이 없는 부정결제는 카드사가 보상하는 게 원칙이다.
• 그다음이 재발급이다. 카드번호·유효기간·CVC가 함께 새어 나갔다고 판단되면 재발급으로 카드번호 자체를 바꾼다.

비밀번호 변경은 성격이 조금 다르다. 이번처럼 비밀번호가 유출 대상이 아니라면 카드 비번을 바꾼다고 결제정보 도용이 막히지는 않는다. 다만 여러 서비스에서 같은 비밀번호를 돌려쓰고 있었다면, 이번 일과 별개로 바꿔 두는 편이 낫다.

재발급이 만능은 아니다

유출 뉴스가 나올 때마다 모든 카드를 갈아 치우는 건 현실적이지 않고, 그렇게 한다고 위험이 0이 되지도 않는다. 재발급은 카드번호 도용을 끊는 확실한 수단이지만, 노출된 정보가 결제에 쓰일 수 없는 수준이라면 과잉 대응이 된다.

지금 단계에서 합리적인 태도는, 카드사나 PG사가 보내는 개별 통지에서 '내 정보가 어디까지 포함됐는지'를 확인하고 그 항목에 맞춰 움직이는 것이다. 규모를 둘러싼 회사와 보도의 설명이 엇갈리는 만큼, 금감원 검사 결과와 공식 통지를 기준으로 삼는 게 가장 안전하다.

출처

1. 토스·코엠페이에 해킹 공격… 카드정보 최대 수만건 유출
2. 토스페이먼츠 가맹점서 4000여건 결제정보 유출… 검사 착수
3. 토스페이먼츠 "해킹 아닌 특정 가맹점 연동키 노출 때문"