신한카드㈜ 검사결과제재 (2023-12-21)

전자금융거래의 안전한 인증방법 사용의무 위반

｢전자금융거래법｣ 제21조제2항, ｢전자금융감독규정｣ 제7조 및 제37조에 따라 금융회사는 전자금융거래의 안전성과 신뢰성을 확보할 수 있도록 전자금융거래의 종류‧성격‧위험수준 등을 고려하여 안전한 인증방법을 사용 하여야 함

신한카드㈜는 2021.6월 모바일 앱 “신한PayFAN”에 대하여 취약점 분석‧평가 전문기관(㈜A)을 통해 이용자 인증 등에 대한 취약점을 진단한 결과, 타인명의의 휴대폰에서 모바일 앱 가입을 위해 본인인증시 휴대폰번호를 위‧변조하는 수법으로 인증방법을 우회할 수 있는 취약점이 발견되어 동 전문기관이 신한카드㈜에 SMS인증 등을 이용한 추가인증 방법을 강구하도록 권고하였음에도 불구하고, 이에 대한 추가인증 등의 안전한 인증방법을 사용하지 아니한 상태로 기존 모바일 앱의 버전을 업그레이드하여 2021.10월 “신한pLay”앱을 출시함에 따라, 2021.11.27.~2022.4.11. 기간 중 불상자가 스마트폰 피싱 등의 방법을 이용해서 수집한 것으로 추정되는 고객정보를 도용하여 “신한pLay” 모바일 앱 가입시 USIM에서 자동 추출한 휴대폰번호를 고객의 휴대폰번호로 위‧변조하여 본인인증을 우회함으로써 신한카드㈜ 고객 70명의 신용카드로 약 175백만원(검사착수일 확인금액기준)을 부정 사용하는 결과를 초래하였음

｢전자금융거래법｣ 제21조, 제2항 ｢전자금융감독규정｣ 제7조, 제37조