챗GPT 무단결제 858건, 30만원 요금제가 털린 진짜 이유
안녕하세요, 깅글렛이에요.
“쓴 적도 없는 챗GPT에서 29만9천 원이 빠져나갔다.” 2026년 6월, 이런 신고가 한꺼번에 쏟아졌어요. 결제 알림 보고 놀란 분들 많았을 거예요.
그런데 이건 챗GPT가 해킹당한 게 아니에요. 오픈AI도 “시스템이 뚫린 게 아니라, 외부에 유출된 카드 정보를 제3자가 무단 사용한 금융 범죄”라고 선을 그었어요. 한마디로 멀쩡한 내 카드가 결제창을 통로로 도용당한 거죠.
그럼 멀쩡한 내 카드가 왜 이렇게 쉽게 뚫렸을까요? 이번엔 그 구조를 좀 깊이 파봤어요. 누구나 알기 쉽게 풀어볼게요.
858건·약 2.5억 원, 6월에 무슨 일이 있었나
먼저 사건 규모만 짧게 짚을게요. 2026년 6월, 국내에서 챗GPT ‘프로(Pro)’ 요금제가 본인 동의 없이 결제되는 피해가 동시다발로 터졌어요.
결제대행사(PG)와 카드업계 집계로는 무단결제로 의심되는 게 858건·약 2.5억 원이에요. 금융감독원에 접수된 피해 민원은 약 1,400건으로 따로 잡혔고요. 858건은 PG·카드업계가 부정결제로 분류한 수, 1,400건은 금감원에 들어온 민원 수예요. 집계 주체와 기준이 달라서 숫자가 다르게 나온 거죠.
📖 **결제대행사(PG)**란? 쇼핑몰이나 해외 서비스 대신 카드 결제를 처리해주는 중간 회사예요. 이번 사건에선 ’나이스정보통신’이 그 역할을 했어요.
여기서 한 가지가 중요해요. 피해자 상당수가 “챗GPT에 카드를 등록한 적이 없거나, 무료로만 쓰고 있었다”고 진술했어요. 평소 챗GPT를 안 쓰던 사람도 당했다는 뜻이에요. 본인 잘못이 아니라, 내 카드 정보가 어딘가에서 이미 유출돼 있었던 게 진짜 원인이었거든요.
멀쩡한 카드가 뚫린 진짜 이유, 허점 3개가 겹쳤어요
제목의 ’진짜 이유’가 여기예요. 챗GPT가 약해서가 아니라, 한국의 해외결제 구조에 빈틈 3개가 동시에 겹친 게 원인이었어요. 하나씩 풀어볼게요.
첫째, 추가 인증이 없는 해외결제예요. 챗GPT는 해외 가맹점이에요. 한국에서 해외 온라인 결제는 카드번호·유효기간·보안코드(CVC) 이 세 가지만 맞으면 승인이 떨어져요. 휴대전화 본인인증이나 지문 같은 2차 절차가 없거든요.
반면 우리가 자주 쓰는 국내 간편결제는 좀 달라요. 네이버페이·카카오페이는 카드를 등록해둬도 결제할 때마다 지문이나 간편비밀번호를 또 물어보잖아요. 이번 범죄는 그 2차 인증이 없는 해외결제 통로를 노린 거예요. 제도적으로도 카드번호를 직접 입력하는 결제 행위 자체에는 본인인증을 강제하지 않아서, 카드 정보만 있으면 그냥 통과됐어요.
둘째, 카드 명세에 ’챗GPT’가 아니라 PG사 이름이 찍혔어요. 부정결제는 나이스정보통신의 결제 서비스를 거쳐 챗GPT를 결제하는 과정에서 일어났어요. 그런데 카드 내역에는 실제 가맹점인 챗GPT가 아니라 PG사 이름(‘나이스정보통신’, ‘NICE’)만 표시됐어요.
그래서 카드사 실시간 승인 전산에는 대행사 이름만 보이고, 그 아래에서 뭐가 결제되는지가 바로 안 보였어요. 카드사 쪽 해명도 “챗GPT인 줄 몰라서 못 막았다”였어요. 이상거래를 즉시 거르기 어려운 시차가 구조적으로 생겼던 거죠.
셋째, 이상거래탐지(FDS)의 사각지대를 찔렀어요. 범죄 측은 자동화된 봇으로 똑같은 금액(29만9천 원)을 전국의 수많은 카드에 짧은 시간 안에 동시다발로 대입했어요.
📖 **FDS(이상거래탐지)**란? 카드사가 평소와 다른 수상한 결제를 자동으로 잡아내는 시스템이에요. 보통 ’한 사람’의 평소 패턴을 기준으로 살펴요.
문제는 기존 FDS가 개인 한 명의 이력을 중심으로 보는 방식이라는 점이에요. 그러다 보니 ’여러 카드에 같은 금액을 동시에 들이미는 공격’은 잡아내기가 어려웠어요. 세종대 박기웅 교수도 현 FDS가 “개인 중심 규칙에 갇혀” 있다고 지적했고요.
수법은 ‘카드 테스팅’, 왜 하필 챗GPT 프로가 표적이었나
이번에 쓰인 수법을 한 단어로 정리하면 ’카드 테스팅(card testing)’이에요.
📖 카드 테스팅이란? 다크웹이나 과거 유출 사고에서 빼낸 카드 정보가 실제로 쓸 수 있는지 떠보는 범죄 기법이에요. 탈취한 카드가 살아 있는지 결제로 검증하는 거죠.
범죄 조직 입장에서 챗GPT 프로는 표적으로 삼기 좋았어요. 결제 한 건당 금액이 크고(29만9천 원), 절차가 단순한 해외 자동결제였거든요. 살아 있는 카드인지 떠보면서 한 번에 큰 금액까지 빼내기 딱 좋았던 거예요. 다만 ’왜 하필 챗GPT였나’의 단일 확정 이유는 보도마다 결이 조금씩 달라서, 여기까지는 추정으로만 봐주세요.
카드 정보가 어디서 새어 나왔는지도 궁금하실 텐데요. 과거 대형 개인정보·카드 유출 사고(쿠팡·G마켓 등 2025년 사고 맥락)가 거론돼요. 하지만 특정 유출 사고와 이번 사건의 직접 인과는 아직 추정·제기 단계라, 단정하긴 일러요.
참고로 같은 시기 미국에선 비자(Visa)가 ‘챗GPT가 직접 결제까지 하는’ 파트너십을 발표했어요. ‘AI + 결제’ 흐름이 빨라지는 만큼, 이번처럼 결제 보안의 빈틈도 더 부각되는 분위기예요. 이건 배경 맥락이고, 이번 사건과 직접 인과는 아니에요.
표적이 된 조건을 한눈에 정리하면 이래요. 금액이 크고, 인증이 단순한 해외 자동결제. 이 두 가지가 맞물린 결제창이 범죄자에겐 ‘테스트 겸 환금’ 통로로 가장 매력적이었던 거예요.
자주 묻는 질문
Q. 챗GPT를 한 번도 안 썼는데 왜 결제됐나요? 챗GPT 가입 여부랑 무관해요. 내 카드 정보가 다른 경로로 이미 유출돼 있었고, 범죄자가 그 정보를 챗GPT 결제창에서 써먹은 거예요. 챗GPT 계정이 없어도 카드 정보만 유출됐으면 당할 수 있는 구조였어요.
Q. 858건이랑 1,400건, 어느 게 맞는 건가요? 둘 다 맞는데 기준이 달라요. 858건은 PG·카드업계가 ’부정결제’로 분류한 건수(약 2.5억 원)고, 약 1,400건은 금융감독원에 접수된 ‘피해 민원’ 건수예요. 집계 주체랑 기준이 달라서 숫자가 다르게 나온 거예요.
Q. 그럼 챗GPT(오픈AI)가 해킹당한 건가요? 아니에요. 오픈AI는 “챗GPT 시스템이 해킹된 게 아니라, 외부에 유출된 카드 정보를 제3자가 무단 사용한 금융 범죄”라고 밝혔어요. 챗GPT 결제창이 통로로 쓰였을 뿐, 오픈AI 서버가 뚫린 건 아니에요.
깅글렛 한줄평
💬 이번 사건의 무서운 점은 ’내가 뭘 잘못해서’가 아니라는 거예요. 챗GPT를 안 써도 카드 정보만 유출돼 있으면 당했으니까요. 그러니 내 카드 지키는 법은 이번에 한 번 챙겨두는 게 좋아요.
마무리
오늘은 챗GPT 무단결제 858건이 어떻게 일어났는지, 그 구조를 풀어봤어요. 챗GPT가 뚫린 게 아니라 한국 해외결제의 빈틈 3개가 겹쳤고, 그 통로로 ‘카드 테스팅’ 수법이 들어왔다는 게 핵심이에요.
당했거나 불안한 분이라면, 카드 정지부터 해외결제 차단, 알림 설정까지 실제 대처 단계는 예전에 올린 ‘챗GPT 무단 결제, 내 카드 지키는 5단계 대처법’ 글에 따로 정리해뒀어요. 이번 글은 사건이 왜 일어났는지를, 그 글은 내 카드를 지키는 법을 다뤘다고 보시면 돼요.
※ 본 글은 2026년 6월 22일 보도 기준으로 작성됐어요. 사건 집계·후속 조치는 추후 바뀔 수 있어요. ※ 챗GPT 프로 요금(월 29만9천 원)은 발행 시점 기준이며, 정책에 따라 달라질 수 있어요. 가입 전이라면 로그인한 결제 화면에서 확인하는 게 정확해요.