삼성카드주식회사 검사결과제재 (2015-04-20)

재해복구센터 구축·운영 부적정

(가) 재해복구센터 구축 부적정 ｢전자금융감독규정｣ 제23조에 의하면 금융회사는 자연재해 등으로 인한 전산센터 마비에 대비하여 재해복구센터를 구축․운용하고, 복구목표시간은 3시간 이내로 하여야 함

업무제휴 금융회사의 체크카드 잔액 확인 등을 위하여 필수적인 통신회선을 일부 미구축함으로써

｢전자금융감독규정｣ 제23조

앱카드 결제서비스 도입·운용 부적정

｢전자금융감독규정｣ 제34조에 의하면 금융회사는 전자금융거래에서 전자금융거래프로그램의 위조 여부 등 무결성을 검증할 수 있는 방법을 제공하여야 하고, ｢전자금융감독규정｣ 제36조 및 ｢전자금융감독규정시행세칙｣ 제3조에 의하면 금융회사가 신규 전자금융업무를 수행하는 경우에는 사업계획단계에서 금융감독원장에게 보안성심의를 요청한 후 승인받은 사항을 준수 하여야 함

금융감독원에서 승인받은 내용과 다르게 이용자 본인확인 절차를 ◈단계에서 ◈단계로 변경하여 앱카드 결제서비스를 제공하였으며 스마트폰용 앱카드 프로그램 설치 및 등록시 스미싱에 의해 발생 가능한 결제사기 방식을 충분히 고려하지 못함으로써 해커가 스미싱을 통해 피해고객의 휴대폰 인증번호를 절취하고, 사전에 탈취한 피해고객의 공인인증서를 이용하여 앱카드를 해커의 스마트폰에 등록한 후 부정 결제한 사고가 발생하였음

｢전자금융감독규정｣ 제34조, 제36조

전자금융사고 지연보고

｢전자금융감독규정｣ 제73조 제1항에 의하면 금융회사는 전자금융거래를 위한 전자적 장치 또는 정보통신망에 침입하여 거짓이나 그 밖의 부정한 방법으로 획득한 접근매체의 이용으로 인한 사고 발생시 지체없이 금융위원회 및 금융감독원에 보고 하여야 함

중 해커가 타인의 앱카드로 모바일상품권, 게임머니 등을 부정 결제한 사실을 이상금융거래탐지시스템 (FDS)을 통해 인지(□□□)하였음에도 ◈일을 경과하여 금융감독원에 지연 보고하였음

｢전자금융감독규정｣ 제73조

카드이용대금 명세서 발송 부적정

｢전자금융감독규정｣ 제23조 및 제30조에 의하면 금융회사는 재해 등 긴급한 상황이 발생하더라도 업무가 중단되지 않도록 입력대행, 수작업 등의 조건 및 절차를 마련하여야 하고 안전한 일괄작업(batch)의 수행을 위하여 오류 발생시 책임자의 확인 및 모니터링을 하여야 함

청구서 관련 시스템의 운영중단에 따른 입력대행 및 수작업 등의 세부적인 절차가 마련되어 있지 않아

｢전자금융감독규정｣ 제23조, 제30조

앱카드 결제 부정거래 통제 불합리

월부터 신용카드 부정결제 탐지 및 예방을 위해 부정거래탐지시스템(FDS, Fraud Detection System)을 구축하여 ◈시간 ◈일 체계로 ◈개조를 편성하여 모니터링하고 있으나, 고객에게 앱카드 결제서비스 제공시 앱카드 결제서버가 로그로 수집한 스마트폰 기기정보를 동 FDS시스템과 연계하지 않아 해커가 ◈개의 아이폰을 사용하여 ◈명의 피해자를 대상으로 장기간 다수의 앱카드 부정결제를 하였음에도 FDS시스템에서 사고발생 후 약 ◈개월이 경과한 시점에 동 사고 발생을 탐지하는 등 즉각적인 부정거래 탐지 및 예방이 곤란하므로 앞으로는 FDS시스템에서 앱카드 결제 관련 부정결제를 신속하게 탐지가 가능하도록 앱카드 결제서비스에서 로그로 수집한 스마트폰 기기정보를 부정사용 탐지 패턴에 반영하는 등 FDS시스템을 개선하시기 바람