'아들 얼굴'로 1000만원 결제… 아이폰 '얼굴 인식 오류' 논란

전문가 "생체인증 맹신 금물"

애플 아이폰X. 애플 공식 홈페이지

최근 삼성 갤럭시10의 지문 인식 오류에 이어 애플 아이폰의 ‘얼굴 인식’ 기능 오류 논란까지 제기돼 ‘생체 인식 기술’의 정확성이 도마 위에 올랐다. 국내에서 얼마 전 한 초등학생 아들이 아버지 아이폰의 ‘페이스 아이디(아이폰의 얼굴 인식 잠금 기능)’를 뚫고 1000만원에 가까운 게임 아이템을 결제한 것으로 알려졌기 때문이다. 보안 전문가는 “생체 인식 기술은 100% 안전한 기술이 아니다”라며 “간편결제, 금융 앱 등을 지문이나 얼굴 인식 하나로만 가능하도록 하는 건 사실 굉장히 위험한 방식”이라고 우려했다.

최근 스마트폰 업계에 따르면 초등학생 김모군이 아버지의 아이폰X에 설정된 페이스 아이디를 해제하고 1000만 원가량의 온라인 게임 아이템을 구입했다. 아버지와 닮은 아들이 손쉽게 아버지 아이폰의 얼굴 인식 잠금을 해제한 것이다.

아버지 김씨는 애플 측에 얼굴 인식 기능 오류라고 결제 금액을 환불해달라고 요청했지만, 애플 측은 이미 사전에 위험성을 공지했다는 이유로 거절했다. 실제 애플은 자사 홈페이지에 “얼굴 인식 잠금장치가 해제될 가능성은 100만분의 1로, 얼굴 인식 시도가 5번 실패하면 암호를 입력하게 돼 있다”며 “특히 13세 미만의 어린이 중 사용자와 얼굴이 닮은 쌍둥이 및 형제자매의 경우 통계적 확률이 다를 수 있는데, 이 문제가 우려되면 암호(비밀번호)를 사용하는 것을 권장한다”고 적어놓았다. 한편 지난달 중순엔 갤럭시S10, 갤럭시노트10 등의 지문 인식 오류가 알려지자 삼성전자가 부랴부랴 소프트웨어 업데이트를 하기도 했다.

김승주 고려대 정보보호대학원 교수는 4일 CBS라디오 ‘김현정의 뉴스쇼’에 출연해 “(결제상의 문제가) 아이폰 자체의 문제인지 아니면 그 앱 설계의 문제인지는 한번 따져봐야 할 것 같다”며 “요새 간편결제 얘기 많이 하시잖나. 그런데 생체 인식 기술이라는 게 100% 안전한 기술이 아니다. 보통 금융 앱같이 중요한 것을 사용할 때는 비밀번호 등과 병행해 쓰라고 권고를 많이 한다”고 설명했다.

삼성전자 갤럭시 지문 인식 화면. 연합뉴스 

그러면서 “처음에 로그인할 때는 지문 같은 걸 대서 로그인한다 하더라도 계좌 이체 같은 걸 할 때는 비밀번호 한 번 더 물어보는 것들이 있다. 이런 식으로 설계돼 있어야 이게 제대로 된 거지 그냥 지문 하나 가지고만 다 되는 것은 사실은 굉장히 위험한 것”이라고 지적했다.

김 교수는 “많은 분이 조금 잘못 알고 계시는 게 있다. 지문이든 홍채든 얼굴 인식이든 처음에 내가 등록한 어떤 정보와 100% 일치해야지만 잠금 화면이 풀린다라는 생각”이라며 “생체 정보라는 것은 사람의 컨디션이나 상황 등에 따라 조금씩 변한다. 그래서 생체 인식 기술을 적용할 때는 일부러 오차 범위라는 걸 집어넣는다”고 설명했다. 예를 들어 지문 인식 같은 경우 손가락에 상처가 있을 수도 있고, 누를 때마다 압력이나 위치도 조금씩 다를 수도 있다고 덧붙였다.

이어 “그래서 보통 생체 정보가 처음 등록했을 때 100% 일치해야지만 열리도록 세팅해 놓지는 않는다. (개발자가) 처음 등록했을 때와 80% 일치, 70% 일치 이런 식으로 설정해놓는다”며 “보안 전문가들은 이 때문에 생체 인증 기술을 너무 맹신해서는 안 되고 비밀번호 같은 다른 보안 수단과 병행하라고 한다”고 강조했다.

나진희 기자 [e-mail]