나도 몰랐던 ‘수상한’ 해외 결제, 카드사는 어떻게 아나요[궁즉답]

[이데일리 이명철 기자] 이데일리는 독자들이 궁금해하는 정치·경제·사회·문화 등 여러 분야의 질문을 담당 기자들이 상세하게 답변드리는 ‘궁금하세요? 즉시 답해드립니다(궁즉답)’ 코너를 연재합니다. <편집자 주>

(사진=게티이미지뱅크)

Q. 최근 카드 번호를 도용당해 결제된 적이 있는데요. 결제가 이뤄지자마자 카드사로부터 부정거래가 의심된다는 문자를 받았습니다. 이 ‘부정거래’는 어떤 방식으로 인식하고 분류를 하는 건가요. 그리고 이의신청을 하고 본인이 결제한 것이 아니면 대금을 납부하지 않아도 된다고 하는데 본인 결제 확인은 어떻게 이뤄지나요?

평소와 다름없던 평일 늦은 저녁. 자정 무렵 잠자리에 들려던 A씨에게 ○○카드사에서 ‘이상거래로 확인돼 승인이 거절됐다’는 여러개의 메시지가 왔다. 처음에는 카드사를 사칭한 스미싱 문자가 아닌가 의심했지만 알고 보니 카드 번호가 유출돼 카드사가 자체 결제를 차단한 것이었다.

와인을 마시고 싶어 집에 가다가 편의점에서 15만원어치 와인을 결제한 B씨. 다음날 카드사로부터 “어제 □□지역 편의점에서 결제한 것이 맞나. 이상거래로 의심돼 일단 카드를 일시 정지했다”는 연락이 왔다. B씨는 “내가 결제한 것이 맞다”고 답한 후 본인 확인 절차를 거쳐 일시 정지를 해제했다.

A. 평소에 아무렇지 않게 카드를 쓰고 있었는데 별안간 카드가 부정 거래로 의심된다는 연락을 받은 경우가 종종 있습니다. 이것은 바로 카드사에서 운영하고 있는 이상거래탐지시스템(FDS)에 따른 조치입니다.

FDS란 카드 부정 사용에 따른 피해를 적극 보상하고 추가 피해를 예방하기 위해 도입한 금융소비자 보호 제도입니다.

카드사별로 자체적인 사고 탐지 모형을 운영하는데 고객의 연령·성별·결제금액대 등 다양한 기준과 결제 패턴 등을 적용해 데이터를 분석하게 됩니다. 유의가맹점이나 업종 등을 수시로 업데이트해 이상 또는 부정거래를 인식합니다.

특히 기술의 발달로 최근 들어서는 인공지능(AI) 기반의 사고 탐지 모형을 운영하면서 고객들의 여러 사고를 학습하면서 승인된 거래에 대해 위험 여부를 판단하게 됩니다.

쉽게 말하면 카드 고객이 평소와 극히 다른 패턴의 카드 결제를 했다면 이상·부정거래로 판단하는 시스템을 갖췄다는 말입니다.

한 카드사 관계자는 “고객의 결제 패턴이 가장 주효하게 작용한다”며 “고객마다 카드를 쓰던 패턴이 있는데 이례적인 사용건이 발생하면 이상·부정거래를 의심하게 된다”고 설명했습니다. 만약 오늘 저녁 서울의 식당에서 결제했는데 몇시간 뒤 뉴욕 호텔에서 카드를 긁었다면 카드사의 FDS가 이상함을 감지해 카드를 정지할 수 있는 것입니다.

카드가 도용되는 경우는 의외로 많습니다. 금융감독원에 따르면 지난해 카드 부정사용 건수는 2만1522건으로 전년대비 19.8%나 증가했습니다. 부정사용 금액은 같은기간 30.8% 늘어난 64억2000만원입니다.

구글 같은 온라인상에서 해킹을 통한 카드번호 등 유출이 있을 수도 있고 해외에서 직접 도용 피해를 당할 수도 있습니다. 금감원은 해외 레스토랑·기념품숍에서 직원이 카드를 긁을 때 카드 정보를 빼돌리거나 아예 카드 IC칩을 바꿔치고 카드의 마그네틱선을 복제하는 등 다양한 피해가 발생할 수 있다고 경고합니다.

카드 부정사용 피해사례. (이미지=금감원)

카드사가 고객 동의 없이 마음대로 카드의 이상·부정거래를 판단해 정지할 권한이 있을까요? 고객들은 미처 몰랐을 수 있지만 카드사의 ‘신용카드 개인회원 표준약관’을 보면 이러한 근거가 있습니다.

카드사별로 약관 내용이 조금씩 다르긴 하지만 ‘카드 거래가 부정 사용 또는 비정상거래로 판단되는 이유가 있는 경우 카드 이용을 정지할 수 있다’고 명시됐습니다.

고객이 카드를 신청할 때 약관도 확인할 테니 결국 FDS에 의해 카드가 정지될 수 있음을 동의한 것이죠. 결국 우리가 무심코 눌렀던 약관 동의에 따라 대규모 카드 도용 피해를 예방할 수 있던 셈입니다.

FDS에 의해 이상·부정거래로 판단되고 본인이 쓴 게 아니라면 해당 결제에 대해선 납부 책임을 지지 않습니다. 몇시간 전 홍콩 쇼핑몰에서 수백달러가 결제됐는데 고객은 서울에 있다는 점이 확인되면 보호를 받게 됩니다.

본인 확인은 어떻게 할까요. 해외 결제에서 발생한 이상·부정거래의 경우 비자·마스터 등 해외 브랜드사에서 해외 가맹점을 통해 본인 결제 여부 등을 확인해 사고 여부 판단을 하게 됩니다. 국내에서 발생한 경우도 고객이 이의제기를 하면 카드사에서 본인 여부를 판단합니다. 본인 확인 방법은 접속 IP 주소, 비밀번호 입력 여부, 결제영수증 등 다양한 요소를 고려합니다.

현실적으로 복잡한 본인 확인 여부를 거치기보단 대부분 고객을 믿고 이의신청을 받는 경우가 많다는 게 카드업계의 전언입니다. 이렇게 고객이 부담하지 않은 이상·부정거래의 부담은 카드사가 지게 됩니다.

(이미지=금감원)

다만 고객이 카드번호를 부주의하게 유출했거나 카드를 잃어버리고도 분실신고를 하지 않는 등의 고의·중과실이 있다면 보상에도 변동이 생길 수 있습니다.

한편 카드사의 FDS 기준은 정확하게 공개되지 않습니다. 꾸준히 업데이트와 전산 개발을 하면서 보강해 기준이 수시로 바뀌는 데다 카드사만의 내부 영업 사항에도 해당하기 때문입니다.

그리고 또 하나의 이유는 ‘부정한 부정거래’ 악용이 있을 수 있습니다. 그런 경우는 드물겠지만 본인이 실제 결제를 해놓고도 카드사에는 “이상거래가 발생한 것”이라며 책임을 떠넘기는 ‘블랙컨슈머’도 있다고 합니다. 이를 막기 위해서라도 FDS의 기준을 외부에 공개하기엔 어려움이 있다고 볼 수 있습니다.

카드 도용 등의 피해를 예방하기 위한 자세도 중요합니다. 금감원은 카드 뒷면은 반드시 서명하고 해외여행에서는 사기범 조작이 가능한 사설 현금자동입출금기(ATM) 사용을 최대한 삼가야 한다고 권고합니다. 카드를 타인에게 맡기지 말고 카드 결제는 반드시 본인이 직접 확인해야 할 필요도 있겠습니다.