금감원 관계자는 "PG사를 통해 카드 명의자의 이름과 카드번호 등이 유출된 사례가 있어 현장검사를 진행하고 있다"며 "일부 PG사는 이미 관련 사실을 공지했고, 사실관계를 추가로 파악하는 대로 순차적으로 고객에게 알리는 등 PG사가 필요한 조치를 취하도록 할 방침"이라고 밝혔다.

이번 사고에서 해커가 카드사의 전산망을 직접 공격하는 대신 상대적으로 규모가 작은 PG사 등 결제망의 취약한 지점을 노렸다는 점에 금융당국은 주목하고 있다. PG사는 온라인 가맹점과 카드사 사이에서 결제를 중개하는 업체다. 해커가 확보한 자료에는 신용카드 명의자의 이름과 카드번호, 유효기간, 비밀번호 앞 두 자리 등 민감한 결제정보가 포함됐다. 유출 의심 정보는 대부분 카드사에 걸쳐 있으며 카드사별로 수천 건 수준이다.

카드번호와 유효기간, 비밀번호 일부까지 유출되면서 해외 부정결제 등 2차 피해로 이어질 가능성도 배제하기 어렵다. 이에 금융당국과 업계는 이상금융거래탐지시스템(FDS)을 가동해 의심 거래를 집중적으로 살피는 등 추가 피해 방지에 나선 상태다.

금감원은 현장검사를 통해 PG사가 카드정보를 적절하게 보관·관리했는지 여부도 들여다볼 것으로 보인다. 이에 따라 정보보호 체계와 내부통제 적정성도 주요 쟁점이 될 전망이다.