Toss Paymentsは9日、加盟店の決済履歴が閲覧された事案について、自社システムへのハッキングや脆弱性攻撃によるものではなく、同社のPGサービスを利用する特定加盟店1社のWebサイトで、決済連携に使う認証情報「連携キー」が露出したことが原因だったと発表した。影響は2671人分、4131件の決済履歴に及んだとしている。
同社は同日公表した見解で、当日報じられた加盟店の決済履歴の閲覧に関する内容について事実関係を説明した。
それによると、露出した連携キーを第三者が利用し、追加情報を取得したうえで、当該加盟店の決済履歴を閲覧したという。Toss Paymentsは、自社システムへの不正侵入の試みは確認されていないとしている。
同社が把握している影響範囲は、当該加盟店1社における4131件の決済履歴で、対象者は2671人。対象者全員への通知も完了した。
一部報道で指摘された「数万件」規模との見方については、「当社が確認した数値とは異なる」と説明した。そのうえで、他の加盟店の決済情報のほか、Tossアプリや系列会社のサービス、顧客情報は今回の事案とは無関係だとしている。
閲覧された情報は、購入者名、マスキング処理されたカード番号、承認番号など、領収書に記載される程度の決済履歴だという。カードの暗証番号、有効期限、CVCなど、実際のカード決済に必要な情報は含まれていないと説明した。
このため、閲覧された情報だけで追加決済や決済の取り消しを行うことはできず、現時点で不正決済などの被害事例も確認されていないと強調した。
Toss Paymentsは、「事案確認直後に当該アクセス経路を遮断し、全接続記録を分析して影響対象と範囲を特定した」と説明。「対象者への通知に加え、金融監督院と金融委員会への報告も完了しており、当局の検査に協力している」と述べた。
Ji-young Lee
ljy@d-today.co.kr