34시간 공격, 벌금은 1,640만파운드였다

02 · 사건의 구조

무슨 일이 어떤 순서로 이어졌나

34시간 동안 반복된 카드 부정승인이 탐지규칙과 차단 의사결정을 통과해 계좌별 피해로 번진 과정을 네 단계로 본다.

1. 01

   1. 진입

   공격자는 테스코은행 직불카드 거래 메시지를 자동으로 반복 제출해 계좌별 허점과 승인규칙을 시험했다.

2. 02

   2. 통제 이탈

   은행의 설계·모니터링은 비정상 국가·거래패턴과 반복 시도를 빠르게 차단하지 못했고 경보 대응도 공격속도를 따라가지 못했다.

3. 03

   3. 손실 전파

   34시간 동안 8,261개 계좌에서 226만파운드가 빠져나가 은행은 온라인 직불거래 일부를 중단하고 고객에게 전액 환급했다.

4. 04

   4. 집행·정리

   FCA는 시스템 설계·금융범죄 통제·사고대응 실패를 이유로 2018년 1,640만파운드 벌금을 부과했다.

사건 연표

1. 2016년 11월 5일

   공격자가 직불카드 거래를 대량 시도한다

2. 2016년 11월 6일

   은행이 일부 온라인 거래를 중단한다

3. 2016년 11월 7일

   공격이 멈추고 고객환급이 시작된다

4. 2016년 11월

   약 226만파운드가 실제 빠져나간다

5. 2018년 10월 1일

   FCA가 1,640만파운드 벌금을 부과한다

6. 2019년

   연차 집행보고서에 사건이 반영된다

왜 가능했나

개별 거래금액이 작고 카드망 형식에 맞더라도 짧은 시간의 반복·지역·가맹점 패턴을 계좌와 네트워크 수준에서 함께 봐야 한다. 테스코은행은 공격이 진행되는 동안 규칙을 조정하고 고객을 보호하는 속도가 늦었고, 사전 침투시험도 실제 공격경로를 충분히 드러내지 못했다. 이 판단은 FCA Fines Tesco Bank이 기록한 공격 지속의 범위와 당시 통제문서를 함께 대조한 결과다.

226만파운드는 실제 부정인출액이고 1,640만파운드는 FCA 벌금이다. 8,261개는 부정거래 계좌 수로 전체 공격시도 계좌와 다르다. 고객환급이 완료됐다는 사실은 운영통제 위반이 없었다는 뜻이 아니며 벌금은 고객 손실보상액이 아니다. Tesco Personal Finance Final Notice의 절차 범위를 기준으로 수치와 법적 효과를 제한했다.