보안 허점 드러난 비대면 서비스…과대광고가 더 위험하다
상태바
보안 허점 드러난 비대면 서비스…과대광고가 더 위험하다
  • 김선애 기자
  • 승인 2020.06.15 08:35
  • 댓글 0
이 기사를 공유합니다

간편결제·비대면 계좌개설 절차 허점 이용한 피해 발생
소비자 보호 최우선 둔 비대면·간편 핀테크 서비스 설계해야

[데이터넷] 최근 국내에서 불거진 보안 이슈 중 토스 부정결제와 위조 신분증을 이용한 대출 사기는 매우 심각하게 논의해 봐야 할 사건으로 주목된다. 이와 함께 최근 삼성전자가 SK텔레콤의 양자난수생성칩셋을 탑재한 5G 스마트폰 ‘갤럭시 A 퀀텀’이 과대광고로 소비자를 혼란하게 만든다는 비판이 일고 있다.

간편결제·비대면 계좌, 보안 허점 드러나

토스 부정결제 사고는 토스 고객 8명의 계좌에서 938만원의 돈이 무단으로 결제된 것이다. 토스는 피해고객에게 피해액을 돌려주면서 부정적인 여론이 확산되는 것을 차단하고자 하면서도 “기존에 유출된 개인정보를 이용한 것이지, 토스 간편결제 시스템이나 앱이 해킹당한 것은 아니다”라고 주장했다. 그러나 피해자들은 해당 비밀번호는 토스에서만 사용한 것으로, 다른 서비스에서 사용된 것이 아니라고 반박한다.

토스에서는 지난 2월 보이스피싱 사기 피해도 발생한 바 있다. 범인은 게임 사이트에서 이용자 정보를 도용해 피해자 전화로 결제 유도 메시지를 보냈으며, 이 후 피해자가 휴대폰 화면을 보도록 유도해 얼굴인증을 통해 결제가 이뤄지도록 했다.

위조 신분증을 이용한 대출사기는 비대면 계좌개설의 한계를 드러낸다. 범인은 위조 운전면허증으로 휴대폰과 인터넷은행 계좌를 개설하고 공인인증서까지 발급받았다. 그 후 타 은행과 증권사에서 1억여원의 대출을 받았다.

사용자에 사고 책임 떠넘겨선 안돼

현재 비대면으로 계좌를 개설하고, 오픈뱅킹으로 한 금융 앱에서 타행 서비스를 자유롭게 이용할 수 있으며, 생체인증만으로도 간편하게 결제·이체가 가능해졌다. 서비스를 설계할 때 반드시 보안을 고려해야 했으며, 나름의 보안 정책을 만들기는 했다.

그러나 범죄자들은 언제나 우회할 수 있는 방법을 찾아낸다. 일부 전문가 중 사용 패턴을 파악해 이상거래 시도를 찾아내는 방법으로 사기 범죄를 막을 수 있다고 한다. 행위분석, 컨텍스트 분석으로 안전한 비대면 거래가 가능하다고 주장한다. 이를 위해 금융기관은 사기거래탐지시스템(FDS)을 이미 도입했다. 그럼에도 불구하고 사고는 일어난다. 세계적인 금융기관과 핀테크 기업들도 많은 투자를 통해 지능적인 이상거래 탐지 시스템을 구축하고 업그레이드 하고 있지만, 크고 작은 사기거래를 탐지하지 못하며, 부정거래로 인한 소비자 피해를 보상하고 그 손실은 전체 서비스에 적용해 결국 소비자의 피해로 돌아오게 만든다.

사용자에게 ‘편리한 거래’의 강점을 강조하면서도 보안사고가 발생했을 때 사용자의 개인정보가 어딘가에서 탈취당해 발생한 사고라거나, 사용자가 부주의 해 사기 당한 것이라고 발뺌하는 것은 핀테크 산업 발전에 전혀 도움이 되지 않는다. 사고를 막기 위해 사용 편의성의 저해하는 비표준 보안 기술을 더하는 것 역시 바람직하지 않다. 공공기관 주도의 인증 서비스를 다시 주장한다면 그야말로 시대에 맞지 않은 생각이다.

과대광고 거품 쌓인 ‘신기술’

안전하고 편리한 온·오프라인 거래를 도와주는 기술은 이미 충분히 많다. 그러나 주목받는 많은 기술이 과대광고의 거품에 쌓여있다. 삼성전자의 ‘갤럭시 A 퀀텀’이 그 대표적인 예이다. ‘갤럭시 A 퀀텀’은 SK텔레콤의 양자난수생성칩셋을 탑재해 보안을 강화한다. 사용자 인증정보를 보다 안전하게 보호할 수 있다. 그러나 이 칩이 보이스피싱을 막거나, 개인정보를 도용한 사기거래를 막을 수는 없다.

양자난수생성칩은 암호화 키를 ‘진짜 난수’에 가깝게 생성하는 기술을 말한다. 데이터 암호화는 원본 데이터를 임의로 생성된 다른 데이터로 바꾸는 것이다. ‘임의로 생성된’이 핵심인데, 컴퓨터는 원칙적으로 임의로 데이터를 생성하지 못하며, 일정한 규칙을 주어야 한다.

주로 시간을 적용해 중복되지 않은 임의 데이터를 만드는데, 극미량의 방사성원소가 폭발할 때 발생하는 임의의 데이터를 접목하거나 칩이 생산될 때 칩 마다 갖게 되는 미세한 물리적인 노이즈로 난수를 생성하는 등의 방법도 사용된다.

양자난수는 이러한 규칙 없이 완벽에 가까운 난수를 생성하는 기술을 말하며, SK텔레콤의 양자난수생성칩은 이 기술을 작은 스마트폰 칩에 넣은 것이다. 이 칩이 탑재된 스마트폰은 기존의 스마트폰보다 안전한 하드웨어 저장소를 제공할 수 있다.

이 저장소에는 유출되어서는 안되는 중요한 정보를 저장하게 되는데, 주로 금융거래시 필요한 인증정보, 디지털 신분증 정보 등이 저장된다. 이 정보가 양자난수칩을 이용해 안전하게 생성된 난수를 이용해 암·복호화 된다. 그러나 양자난수생성칩이 이미 유출된 개인정보를 이용한 부정거래, 보이스피싱 등 지능적인 피싱 피해를 막지는 못한다.

▲2017년 공개된 SK텔레콤 소형 양자난수생성칩
▲2017년 공개된 SK텔레콤 소형 양자난수생성칩

지능적으로 사용자 속이는 범죄자 막을 방법 필요

사용자의 개인정보가 안전하게 보관된다 해서 비대면 거래의 안전성이 보장되는 것은 아니다. 굳게 닫힌 정문을 부수고 들어오는 ‘무식한’ 도둑은 없다. 도둑은 잠겨있지 않은 창문, 실수로 열어둔 뒷문으로 들어오거나 신뢰할 수 있는 사람으로 위장해 사용자 스스로 문을 열게 만든다.

“이는 사용자의 실수이니 서비스 기업이 책임질 필요가 없다”고 발뺌해서는 서비스 신뢰도와 지속 가능성을 확보하지 못한다. 소비자가 보안을 책임질 필요 없이 서비스를 안전하게 만드는 것이 기본이다.

안전하게 편리한 본인인증 수단으로 생체인증이 주로 사용된다. 지문, 얼굴 등 생체정보는 이미지가 아니라 중요 특징점만 추출해 암호화된 탬플릿으로 보호된다. FIDO 표준을 따르는 생체인증이라면, 사용자 생체정보는 사용자 기기의 안전한 저장소에 암호화 돼 보관되며, 거래 시 사용자의 라이브 정보를 인식해 저장된 정보와 일치하면 사용자 본인이 맞다는 사실이 확인되며, 이 인증값이 서버로 전송된다. 사용자 정보가 외부로 유출되지 않기 때문에 안전하다.

범죄자가 사용자에게 휴대폰을 계속 보게 함으로써 몰래 거래를 인증하도록 하는 사고를 막기 위한 방법이 반드시 필요하다. 이체 혹은 결제 시 얼굴을 좌우, 위아래 등으로 돌리게 하는 등의 행위를 추가로 요구해 보다 한 단계 더 높은 본인확인을 하는 등의 방법도 제안될 수 있다.

▲FIDO 로그인 방법
▲FIDO 로그인 방법

분산ID를 이용하면 신분증 도용을 통한 사기를 막을 수도 있다. 분산ID는 디지털 신분증을 블록체인에 올려 여러 서비스에 일일이 가입하거나 로그인 하지 않아도 블록체인을 통해 인증함으로써 서비스를 이용할 수 있다. 범죄자가 위조된 신분증을 이용해 거래를 개설하고자 할 때, 해당 블록체인 네트워크에 이미 본인의 디지털 신분증이 등록돼 있다면 범죄를 저지를 수 없다.

피해자가 이용하지 않는 블록체인 네트워크에 위조된 디지털 신분증을 등록해 범죄를 저지르지 않도록, 디지털 신분증을 발급하는 인증기관에서는 본인확인을 더 철저히 해야 할 필요가 있다.

보안 검증 없는 핀테크, 범죄자의 ‘천국’

전자서명법 개정안이 시행되면, 공인인증서의 우월적 지위가 폐지되고, 다양한 전자서명 서비스가 등장해 더 편리하고 경쟁력있는 핀테크 서비스가 경쟁적으로 등장할 것으로 보인다. 기존 시장을 지배해온 금융기관들도 새로운 경쟁사에 맞서는 신무기를 장착해 전쟁에 뛰어들 것이다.

철저한 보안 검증 없이 개발되는 핀테크 서비스는 범죄자들에게 ‘천국의 문’을 열어줄 수 있다. 편리하고 안전하다고 믿었던 간편결제, 간편인증, 비대면 계좌개설이 연이어 뚫리고 있다. 다크웹에는 전 세계인의 개인정보, 금융정보, 의료정보가 절찬리에 판매되고 있으며, 범죄자는 많은 비용을 들이지 않고도 이 정보를 이용해 쉽게 금전을 탈취할 수 있다.

핀테크 서비스는 보안이 생명이다. 어떤 상황에서도 안전하게 소비자를 보호할 수 있는 보안 기술을 내재화 해 사용 편의성을 해치지 않으면서도 강력한 보안을 구현해야 한다.



댓글삭제
삭제한 댓글은 다시 복구할 수 없습니다.
그래도 삭제하시겠습니까?
댓글 0
댓글쓰기
계정을 선택하시면 로그인·계정인증을 통해
댓글을 남기실 수 있습니다.