카드번호를 들으면 스코프가 넓어진다: 콜봇 결제 구간의 DTMF 마스킹 게이트 설계

결제가 끼어드는 순간 스코프가 넓어진다

콜봇이 상담 중 카드번호를 음성이나 DTMF로 받으면 그 순간부터 통화가 지나가는 텔레포니 인프라·녹음 저장소·상담원 화면까지 전부 PCI DSS 적용 범위에 들어갑니다. Amazon Connect의 공식 PCI 준수 가이드는 통화 녹음에 카드 데이터가 담기면 "그 데이터를 녹음에서 지우고 로그·전사본에서도 가려야 한다"고 명시하며, DTMF는 암호화해 수집하라고 권고합니다. 콜봇 루프를 설계할 때 결제 구간을 별도로 다루지 않으면 봇 자체는 텍스트만 처리하더라도 그 통화 경로 전체가 심사 대상이 됩니다.

흔히 "녹음을 잠깐 끄면 된다"는 방식으로 접근하지만 이는 절반의 답입니다. 일시정지·재개(pause and resume) 방식은 상담원이 여전히 카드 정보를 듣고 입력하므로 상담원 단말·네트워크·화면은 그대로 범위 안에 남습니다. 콜봇 루프에서는 그 구간을 아예 듣지도 보지도 못하게 만드는 마스킹만이 스코프를 실제로 줄이는 방법입니다.

마스킹은 데이터만 지우고 대화는 끊지 않는다

DTMF 마스킹은 통화를 멈추지 않고 특정 구간의 키패드 톤만 로그·녹음·화면에서 억제하는 방식입니다. Twilio는 콘솔에서 PCI 모드를 켜면 카드번호·유효기간·보안코드를 요청하는 동안 봇이나 상담원이 해당 DTMF 톤을 듣지 못하도록 리댁션을 적용한다고 안내합니다. 콜봇 루프 관점에서 중요한 것은 이 마스킹이 대화 상태 머신 안에 별도 서브플로로 명시돼야 한다는 점입니다. 일반 대화 턴과 결제 턴을 같은 로깅 파이프라인에 그대로 흘리면, 마스킹 설정을 빠뜨린 배포 한 번이 카드 데이터를 로그에 그대로 남깁니다.

설계에서 운영까지: 콜봇 결제 구간 PCI 스코프 축소 체크리스트

기획 단계에서는 배포 전 합격선을 수치로 못 박습니다. 결제 서브플로 진입 시 마스킹 적용률 100%, 원본 DTMF·카드 자릿수가 남은 로그 0건, 결제 구간 평균 처리시간 45초 이내를 기준으로 두면 카나리 배포에서 통과·중단을 코드로 판정할 수 있습니다. 이 세 수치가 없으면 결제 구간 테스트는 "잘 되는 것 같다"는 인상 평가로 흘러갑니다.

실패 패턴은 크게 세 가지로 반복됩니다. 첫째, 스테이징에서는 켜져 있던 마스킹 설정이 프로덕션 환경 변수 차이로 꺼진 채 배포되는 경우. 둘째, 콜봇이 처리하지 못해 상담원에게 핸드오프하는 도중 결제 서브플로 상태가 유실돼 마스킹이 풀리는 경우입니다.

셋째, STT 전사 파이프라인이 결제 구간까지 통째로 받아써 텍스트 로그에 카드 자릿수가 그대로 남는 경우도 반복됩니다.

복구 전략은 감지와 즉시 차단으로 나눕니다. 결제 서브플로 진입을 감지하면 전사·녹음 스트림을 분리된 채널로 강제 라우팅하고, 마스킹 적용 여부를 매 턴 헬스체크로 확인합니다. 헬스체크가 실패하면 콜봇은 결제를 계속 진행하지 않고 통화를 안전하게 종료한 뒤 사용자에게 별도 안전 회선으로 다시 걸도록 안내하는 서킷브레이커를 둡니다.

운영 체크리스트로는 배포 전 가짜 카드번호로 결제 시나리오를 자동 테스트하고, 로그 스키마에는 mask_applied 불리언·세션 ID·서킷브레이커 발동 사유만 남기고 원본 자릿수 필드는 스키마에서 제거합니다. 신규 통합 지점이 생길 때마다 분기별 컴플라이언스 감사를 돌려 서드파티 연동이 스코프를 조용히 넓히지 않는지 확인합니다.

지속 개선은 결제 서브플로 변경 로그를 일반 대화 로직 변경과 분리해서 관리하는 데서 출발합니다. 마스킹 실패나 핸드오프 중 노출 의심 사례는 매주 별도 인시던트로 집계해 원인을 코드 변경·설정 드리프트·서드파티 장애로 분류하면, 다음 배포 전 회귀 테스트에 그 케이스를 그대로 추가할 수 있습니다.

실행 요약

콜봇이 결제까지 처리한다면 결제 구간은 일반 대화 루프와 다른 규칙으로 설계해야 합니다. 마스킹 적용률 100%·원본 로그 0건·처리시간 45초 이내를 코드로 선언하고, 마스킹 헬스체크 실패 시 서킷브레이커로 통화를 안전하게 끊으며, 로그 스키마에서 원본 카드 자릿수 필드 자체를 없애면 상담 인프라 전체가 PCI 스코프에 끌려 들어가는 상황을 막을 수 있습니다.

참고 링크

Amazon Connect PCI Compliance Best Practices — AWS 공식 문서

Introducing PCI-Compliant Agent Assisted Payments on Twilio Voice — Twilio