카드 도용 사기 (Carding Fraud)
다른 명령
카드 도용 사기(Carding Fraud)는 타인의 신용카드 또는 직불카드 정보를 무단으로 취득하거나 이용하여 승인되지 않은 결제, 상품 구매, 서비스 이용 또는 기타 금융상 이익을 얻는 행위를 의미한다. 카드번호와 유효기간 등 결제 관련 정보가 피싱, 악성 프로그램, 데이터 유출, 결제 시스템 침해 등의 방법으로 탈취된 후 이를 이용한 부정 거래로 이어지는 경우가 대표적이다. 카드 도용 사기는 실물 카드를 직접 훔치는 방식뿐만 아니라 카드 소유자가 실물 카드를 계속 가지고 있는 상태에서도 발생할 수 있다. 특히 온라인 결제 환경에서는 카드 정보만으로 거래가 이루어질 수 있기 때문에 카드 정보의 유출과 부정 사용을 신속하게 탐지하는 것이 중요하다.
- 의미: 타인의 카드 또는 카드 관련 정보를 무단으로 이용하여 승인되지 않은 거래를 발생시키는 금융 사기
- 주요 경로: 피싱, 악성 프로그램, 데이터 유출, 결제 시스템 침해 등을 통한 카드정보 탈취
- 주요 피해: 온라인 부정 결제, 상품 및 서비스의 무단 구매, 가맹점의 매출 손실 및 결제 취소
- 대응 핵심: 카드 이용 알림과 거래내역을 확인하고 승인하지 않은 거래가 발견되면 즉시 카드사에 신고
주요 발생 구조
카드정보 탈취
카드 도용 사기의 출발점은 카드번호, 유효기간 등 결제에 필요한 정보가 범죄자에게 넘어가는 것이다. 이러한 정보는 피싱 사이트나 가짜 결제 페이지를 통한 정보 입력 유도, 악성 프로그램, 개인정보 데이터베이스 침해, 가맹점 또는 온라인 서비스의 보안 사고 등 다양한 경로를 통해 유출될 수 있다. 카드정보가 유출되었다고 해서 반드시 즉시 부정 거래가 발생하는 것은 아니다. 그러나 정보가 범죄자에게 넘어간 경우 다른 범죄에 재사용될 가능성이 있으므로 카드 이용내역을 지속적으로 확인하는 것이 중요하다.
부정 거래
탈취된 카드정보는 온라인 쇼핑몰이나 디지털 서비스 등에서 카드 소유자의 동의 없이 사용될 수 있다. 범죄자는 상품이나 서비스를 구매한 후 이를 직접 사용하거나 다른 방식으로 처분하여 경제적 이익을 얻으려 할 수 있다.
일부 범죄에서는 본격적인 부정 거래에 앞서 카드정보가 실제로 사용 가능한지 확인하려는 비정상적인 승인 시도가 나타날 수도 있다. 따라서 카드 소유자가 인지하지 못한 소액 결제나 반복적인 승인 시도 역시 무시해서는 안 된다.
자동화된 부정 거래
카드 도용 범죄는 다수의 탈취된 카드정보를 대상으로 자동화된 방식으로 거래를 시도하는 형태로 나타날 수 있다. 이러한 공격은 가맹점의 결제 시스템에 비정상적인 요청을 집중시켜 결제 시스템의 운영과 보안에도 부담을 줄 수 있다. 이에 따라 온라인 가맹점과 결제사업자는 이상 거래 탐지, 추가 인증, 거래 빈도 제한 등 다양한 보안 통제를 통해 비정상적인 결제를 차단하고 있다.
탈취 정보의 유통
탈취된 카드정보는 범죄자 사이에서 불법적으로 거래되거나 다른 금융 범죄에 재사용될 수 있다. 카드정보가 하나의 범죄에만 사용되는 것이 아니라 여러 범죄에 연계될 수 있다는 점에서 개인정보 및 결제정보 유출은 장기적인 보안 위험을 초래할 수 있다.
카드 도용 사기의 징후
- 본인이 사용하지 않은 소액 결제 또는 승인 시도가 발생하는 경우
- 해외에 있지 않은 상황에서 해외 결제가 발생하는 경우
- 이용하지 않은 온라인 서비스 또는 쇼핑몰에서 결제 알림이 발생하는 경우
- 짧은 시간 동안 여러 건의 승인 실패 또는 승인 시도가 반복되는 경우
- 카드사로부터 본인이 요청하지 않은 결제 인증 또는 본인확인 요청이 반복적으로 발생하는 경우
- 결제 내역에 기억하지 못하는 가맹점이나 거래가 표시되는 경우
소액 결제는 금액이 작다는 이유만으로 무시해서는 안 된다. 본인이 승인하지 않은 거래라면 금액과 관계없이 카드사에 확인하는 것이 바람직하다.
카드 도용 사기의 위험성
카드 소유자의 피해
카드정보가 도용되면 카드 소유자가 승인하지 않은 거래가 발생할 수 있으며, 피해 사실을 확인하고 카드 사용 정지 및 재발급 등의 절차를 진행해야 하는 불편이 발생한다. 부정 사용에 대한 책임과 보상 여부는 거래 유형과 관련 법령, 카드사의 약관 및 사실관계에 따라 달라질 수 있으므로 피해 발생 즉시 카드사에 신고하는 것이 중요하다.
가맹점의 피해
온라인 가맹점에서도 카드 도용 사기는 중요한 위험요소다. 부정 거래가 확인되면 거래 취소나 환불 등이 발생할 수 있고, 상품이 이미 배송된 경우 상품과 판매대금을 모두 잃을 가능성도 있다. 부정 거래가 반복적으로 발생하는 가맹점은 결제사업자 또는 카드사로부터 추가적인 보안 조치를 요구받을 수 있다. 가맹점 역시 이상 거래 탐지와 결제 인증 등 적절한 보안체계를 유지해야 한다.
2차 범죄 위험
카드정보 유출이 개인정보 유출과 함께 발생한 경우에는 피싱, 계정 탈취, 신원 도용 등 추가적인 범죄로 이어질 가능성이 있다. 카드 부정 사용이 확인된 경우 해당 카드만 정지하는 것에 그치지 않고, 동일한 경로에서 다른 개인정보가 유출되었을 가능성도 함께 점검할 필요가 있다.
예방 및 대응 방법
카드 이용자는 카드사의 실시간 거래 알림 서비스를 활성화하고 정기적으로 카드 이용내역을 확인하는 것이 좋다. 특히 해외 사용이 필요하지 않은 경우 카드사가 제공하는 해외 이용 제한 등의 보안 기능을 활용할 수 있다. 온라인에서 카드정보를 입력할 때에는 주소창의 웹사이트 주소와 보안 연결 여부를 확인하고, 문자나 이메일에 포함된 의심스러운 결제 링크를 통해 카드정보를 입력하지 않는 것이 중요하다. 카드정보를 요구하는 연락을 받은 경우에는 해당 금융기관이나 서비스의 공식 앱 또는 홈페이지를 직접 이용하여 사실 여부를 확인하는 것이 안전하다. 승인하지 않은 거래가 발견되었다면 거래 금액과 관계없이 즉시 카드사에 연락하여 카드 사용 정지 및 재발급 여부를 확인해야 한다. 필요한 경우 부정 사용 신고 및 피해 보상 절차를 진행하고, 관련 문자, 이메일, 거래내역 등 증빙자료를 보관하는 것이 좋다.
철수와 영수의 카드 도용 사기 이야기
철수는 카드 이용내역을 확인하던 중 자신이 사용하지 않은 온라인 결제를 발견했다. 금액이 크지 않았지만 철수는 해당 거래를 카드사에 즉시 신고하고 카드 사용을 정지한 뒤 재발급을 요청했다. 카드사는 거래의 부정 사용 여부를 확인하고 필요한 후속 조치를 안내했다.
반면 영수는 본인이 사용하지 않은 소액 결제를 발견했지만 금액이 작다는 이유로 별다른 조치를 취하지 않았다. 이후 동일한 카드에서 추가적인 부정 거래가 발생하면서 피해 규모가 커졌다.
두 사례는 승인하지 않은 거래의 금액 자체보다 거래의 성격을 신속하게 확인하는 것이 중요하며, 이상 거래를 발견했을 때 즉시 카드사에 신고하는 것이 추가 피해를 줄이는 데 도움이 될 수 있다는 점을 보여준다.
실무 예시
카드 사용자는 카드사의 거래 알림을 활성화하고 정기적으로 카드 이용내역을 확인해야 한다. 본인이 사용하지 않은 거래가 발견되면 해당 거래의 가맹점과 승인 내역을 확인한 후 카드사에 즉시 신고하는 것이 좋다. 카드정보가 유출되었다고 의심되는 경우에도 실제 부정 거래가 발생할 때까지 기다리기보다 카드사에 상황을 설명하고 카드 교체나 사용 제한 등 예방 조치가 필요한지 확인할 수 있다. 온라인 사업자는 비정상적인 거래 패턴을 탐지할 수 있는 결제 보안 시스템을 구축하고, 필요한 경우 추가 인증이나 거래 제한 등의 조치를 적용하여 카드 도용에 따른 피해를 줄일 수 있다.
출처
- 금융감독원, 「신용카드가이드」(금융생활 길라잡이) — 휴대폰 알림 서비스(SMS)로 도난·분실로 인한 부정사용 예방, 출입국 정보 활용 서비스로 국내 체류 중 해외 부정사용 방지, 해외 부정사용 인지 즉시 카드사 신고. https://www.fss.or.kr/fss/main/contents.do?menuNo=200499
- 금융위원회, 「롯데카드(주)의 정보유출 관련 1.5개월 업무정지 및 50억원 과징금 부과」(2026. 7. 31.) — 온라인 결제시스템 해킹으로 고객 297만 명의 신용정보가 유출된 사례와 보안의무 위반 확인. https://www.fsc.go.kr/no010101/87455
- 국가법령정보센터, 「여신전문금융업법」 제16조(신용카드회원등에 대한 책임) — 분실·도난 통지 이후 사용, 위조·변조 카드 사용, 해킹 등 부정한 방법으로 얻은 카드정보를 이용한 사용에 대한 카드사 책임(회원 고의·중과실 입증 시 약정에 따른 예외). https://www.law.go.kr/법령/여신전문금융업법/제16조
- 국가법령정보센터, 「여신전문금융업법」 제70조(벌칙) — 위조·변조 카드 사용, 거짓이나 부정한 방법으로 알아낸 타인의 신용카드 정보의 보유·이용 거래를 처벌(7년 이하 징역 또는 5천만 원 이하 벌금). https://www.law.go.kr/법령/여신전문금융업법/제70조
- 국가법령정보센터, 「전자금융거래법」 제9조(금융회사 또는 전자금융업자의 책임) — 접근매체의 위조·변조, 정보통신망 침입으로 부정 획득한 접근매체 이용 등으로 생긴 전자금융거래 사고의 손해배상 책임과 이용자 고의·중과실 시 예외. https://www.law.go.kr/법령/전자금융거래법/제9조
- EMVCo, EMV 3-D Secure — 온라인(비대면) 카드 부정거래 방지를 위해 발급사가 거래 데이터로 위험을 평가하고 고위험 거래에만 추가 인증(일회용 비밀번호·생체 등)을 요구. https://www.emvco.com/emv-technologies/3-d-secure/
관할 및 기준
- 관할: 대한민국
- 기준일: 2026년 8월
- 최종 사실확인일: 2026년 8월
- 카드 부정사용 관련 법령, 카드사의 보상기준 및 금융보안 절차는 변경될 수 있으므로 최신 공식 자료를 확인해야 한다.
오류 신고
- 문서의 내용에 오류가 있거나 최신 제도와 다른 부분이 발견된 경우 해당 문서의 오류 신고 기능을 통해 알릴 수 있다.