모바일 상품권의 핀번호는 대개 숫자로만 이루어진 열두 자리에서 스무 자리 사이의 문자열입니다. 네 자리씩 끊어 표기하는 경우가 많고, 발행사에 따라 영문 대문자가 섞이거나 하이픈이 들어가기도 합니다. 이 번호는 발행사 서버에 등록된 특정 한 장의 상품권을 가리키는 열쇠이고, 한 번 사용 처리되면 다시 쓸 수 없는 1회용 값입니다. 자리수와 구성 규칙은 발행사마다 다르므로, 정확한 형식은 구매한 상품권의 안내문이나 발행사 고객센터에서 확인하는 것이 가장 정확합니다.
핀번호 자리수는 '추측 불가능성'을 계산해 정한 길이입니다
핀번호가 굳이 열몇 자리씩 되는 이유는 남이 찍어서 맞히지 못하게 하기 위해서입니다. 자리수가 짧으면 가능한 조합의 총 개수가 줄고, 그 안에서 실제로 발행된 유효 번호의 비율이 높아집니다. 자동화된 프로그램으로 번호를 무작위로 넣어 보는 시도가 있을 때, 유효 번호를 우연히 맞힐 확률이 실질적으로 0에 가까워야 안전합니다.
- 자리수가 늘어날수록 가능한 조합 수는 기하급수적으로 증가합니다
- 발행 물량이 많은 상품권일수록 더 긴 번호를 쓰는 경향이 있습니다
- 숫자만 쓰면 입력 오류가 줄고, 영문을 섞으면 같은 길이로 조합 수를 늘릴 수 있습니다
- 일부 발행사는 핀번호와 별도로 교환권 번호, 바코드, QR을 함께 제공합니다
번호 안에는 발행사 구간과 무작위 구간이 섞여 있습니다
핀번호가 완전한 난수 한 덩어리인 경우는 드뭅니다. 앞쪽 몇 자리로 발행사나 상품 종류, 발행 차수를 구분하고, 뒤쪽에 예측 불가능한 무작위 값을 붙이는 구조가 일반적입니다. 그래야 사용처 시스템이 번호를 받자마자 어느 발행사에 조회를 보내야 하는지 판단할 수 있습니다.
다만 무작위 구간은 순번이 아니라 난수여야 합니다. 만약 발행 순서대로 1씩 증가하는 값이라면, 유효한 번호 하나만 알면 그 앞뒤 번호를 유추할 수 있기 때문입니다. 그래서 대부분의 발행사는 순번과 무관한 난수를 쓰고, 발행 이력은 별도 데이터베이스로 관리합니다.
체크섬 자리는 오타를 서버에 가기 전에 걸러 줍니다
많은 번호 체계가 마지막 한두 자리를 검증용으로 씁니다. 앞자리 숫자들을 정해진 규칙으로 계산해 나온 값을 끝에 붙이는 방식이며, 신용카드 번호나 주민등록번호에서 쓰이는 검증 자리와 같은 발상입니다.
- 한 자리를 잘못 눌렀거나 두 자리를 뒤바꿔 입력하면 계산이 맞지 않아 즉시 걸러집니다
- 서버 조회 없이 입력 화면에서 형식 오류를 판별할 수 있어 응답이 빠릅니다
- 무작위 대입 공격 시 형식조차 맞지 않는 시도를 사전에 차단합니다
- 체크섬 규칙 적용 여부와 방식은 발행사마다 달라 공개되지 않는 경우가 많습니다
체크섬은 오타를 잡아 줄 뿐, 번호가 실제로 유효한지, 잔액이 남았는지는 발행사 서버 조회로만 확인됩니다.
1회용 구조이기 때문에 번호 자체가 곧 금액입니다
모바일 상품권의 핀번호는 계정처럼 비밀번호로 한 번 더 잠기지 않습니다. 사용처에 번호를 입력하면 발행사 서버가 유효성과 잔액을 확인하고 즉시 사용 처리합니다. 이 과정에서 '입력한 사람이 원래 구매자인지'를 확인하는 절차는 대체로 없습니다. 번호를 아는 사람이 곧 소유자로 취급되는 구조입니다.
그래서 핀번호는 지폐와 성격이 비슷합니다. 다만 지폐와 달리 복사가 쉽고, 사진 한 장이나 문자 한 줄로 순식간에 전달됩니다. 잔액을 남기고 여러 번 쓰는 유형이라도 남은 잔액 전체가 같은 위험에 노출됩니다.
노출된 핀번호는 되돌리기 어렵습니다
번호가 유출되어 제3자가 먼저 사용해 버리면, 발행사 입장에서는 정상 절차로 처리된 사용 기록만 남습니다. 누가 썼는지 추적하거나 사용을 취소하는 것이 어려운 경우가 많고, 보상 여부와 절차는 발행사 정책에 따라 갈립니다. 예방이 사실상 유일한 대책인 이유입니다.
- 핀번호가 보이는 화면을 촬영해 메신저나 SNS에 올리지 않습니다. 가림 처리를 했더라도 원본 화질에서 복원되는 사례가 있습니다
- 공용 PC나 공용 와이파이 환경에서 핀번호를 열람하거나 입력하지 않습니다
- 발행사나 사용처를 사칭해 핀번호를 알려 달라고 하는 연락에 응하지 않습니다. 정상적인 고객센터는 핀번호 전체를 요구하지 않습니다
- 구매 직후 사용 계획이 없다면 등록만 먼저 해 두는 방식이 가능한지 발행사 안내를 확인합니다
- 유효기간과 잔액은 발행사 공식 조회 페이지에서만 확인하고, 검색 결과로 뜬 유사 사이트에 번호를 입력하지 않습니다
번호를 이미 노출했다고 판단되면 지체 없이 발행사 고객센터에 연락해 사용 정지나 재발급이 가능한지 문의하는 것이 좋습니다. 가능 여부와 조건은 발행사마다 다르며, 시간이 지날수록 대응 여지가 줄어듭니다.