신분증·카드·비번 필요없는 세상 / 금융 등 모바일 바람타고 ‘날갯짓’ / 5년전 7억弗 시장, 올 246억弗 ‘쑥’ / 은행마다 바이오 인증 확대 / 카드사도 바이오 결제 서비스 / 정보 유출 가능성 낮다지만… / 일단 유출되면 재발급 어려워 큰 불편 / 한국식 ‘금융서버 방식’ 인증, 조각난 정보 결합돼야 인증… 도용 방지

#. 경기도 안산에 사는 주부 김모(59)씨는 최근 KB국민은행에 들렀다가 흥미로운 경험을 했다. 통장이나 인감, 비밀번호 없이 손바닥 정맥 인증으로 창구에서 돈을 찾는 ‘손으로 출금 서비스’였다. 평소 새 기술에 관심이 많은 김씨는 직접 등록해 보기로 했다. 절차는 간단했다. 신분증을 제시한 뒤 비밀번호를 입력하자 계좌에 등록된 휴대전화로 인증번호가 떴다. 창구에서 인증번호를 입력한 뒤 기계에 정맥 스캔을 4번 하고 서명하는 것으로 끝. 채 5분이 안 걸렸다.

김씨는 “요즘 주로 모바일뱅킹이나 인터넷뱅킹으로 은행일을 보기 때문에 은행 지점에 갈 일은 많진 않다. 그래도 언젠가 한 번은 쓰겠지 싶어 손바닥 정맥 인증을 등록했는데 너무 편하다. ATM기에서 입출금할 때도 손바닥만 갖다 대면 된다. 행여 나중에 비밀번호를 잊어버려도 손만 있으면 되는 거 아닌가”라며 흡족해했다. 국민은행 관계자도 “비밀번호 분실 우려가 높고, 창구 이용률이 높은 고령층 고객이 주요 타깃이다. 특히 고령층 고객은 디지털 소외를 겪을 수 있는데, 이런 쉬운 금융서비스 제공의 의미가 크다”고 말했다.

2002년 나온 스티븐 스필버그 감독, 톰 크루즈 주연의 ‘마이너리티 리포트’는 2054년 미래를 그린 영화다. 영화에선 홍채나 망막 정보를 읽어 개인 신원을 식별한다. 홍채를 인식하는 첨단 CCTV를 피하려고 눈을 다른 사람 것으로 바꾸기도 한다.

30년도 넘게 남은 미래지만 마이너리티 리포트의 일부는 현실이 됐다. 지문이나 홍채, 목소리 등 개인이 지닌 고유 생체정보로 본인 인증을 하는 생체인식 기술은 더 이상 공상과학(SF) 영화 속에서만 존재하는 게 아니란 얘기다.

생체인증은 이미 세계적으로 널리 쓰이고 있다. 공항출입국 심사 때 홍채인식으로 신원을 확인하고, 일부 국가에서는 홍채인식으로 전자주민등록증을 만들고 있다. 많은 회사원이 지문인식을 통해 출퇴근 시간을 찍기도 한다.

미국 시장조사업체 AMI에 따르면 생체인증 기술의 세계시장 규모는 2014년 7억달러에서 지난해 156억달러로 성장했고, 올해 246억달러에 달할 것으로 예상된다. 내년에 333억달러까지 성장할 전망이다. 대부분 사람이 스마트폰을 보유한 만큼 시장 규모는 매년 앞자리를 바꿔가며 성장할 것으로 보인다.

개인 신원 인증이 곧 돈으로 연결되는 금융권에선 생체인증 기술 도입이 활발하다. 기존 공인인증서나 인터넷뱅킹 보안프로그램의 취약성이 몇 차례 드러나고, 전자금융사기 등 금융 보안 사고가 증가하는 상황에서 보안성이 큰 생체인증 기술은 새로운 보안체계로 각광받고 있다.

◆비대면 거래 증가로 바이오인증 부각

최근 모바일 금융거래가 보편화하고 핀테크 업체들이 갖가지 상품 개발에 나서면서 비대면 금융 거래가 증가하고 있다. 송금거래건수만 봐도 그렇다. 2011~15년 증가한 총 송금거래건수 12억건 중 인터넷·모바일 뱅킹 비중이 9억건(75%)이나 차지한다. 한국은행의 ‘2018년 중 국내 인터넷뱅킹서비스 이용 현황’에 따르면 일평균 인터넷뱅킹 이용실적은 1억1897만건, 52조1557억원, 모바일뱅킹은 7462만건, 5조3435억원에 이른다.

거래 횟수만큼 인증이 필요하다. 그동안 공인인증서나 일회용 비밀번호(OTP), 보안카드 등 전통적 인증 수단을 썼으나 이제는 별도 보관하거나 암기할 필요 없고, 분실 우려가 없는 바이오인증 기술이 크게 부각되고 있다.

비밀번호나 사전등록 질의응답 등의 ‘지식기반’, 보안카드나 OTP발생기 등의 ‘소지기반’, GPS 등 이용자 위치를 이용한 ‘위치기반’의 전통적 인증 수단은 제3자와 공유가 가능하다. 반면 지문이나 홍채 등 ‘생체기반’ 인증은 제3자와 공유나 공여, 양도가 불가능해 보안성이 훨씬 크다.

시중은행들은 새 기술에 대한 저항 때문에 여전히 전통적 보안인증 방법에 주로 의존하지만 생체인증을 통한 로그인이 점차 증가하는 추세다.

KB국민은행의 생체인증 수단은 지문과 홍채, 화자인증, FACE ID다. 스타뱅킹(미니)이나 마이머니, 리브온에서 쓰이는 지문인증서는 기존 공인인증서의 암호 대신 지문을 입력해 인증하는 방식인데, 277만명이 쓰고 있다. ‘스타알림’이나 리브, 리브똑똑의 지문인증은 스마트폰OS에 저장된 생체정보와 거래 시 입력된 생체 정보의 일치 여부를 확인해 인증하는 방식으로 204만5000명이 쓰고 있다. 스타뱅킹, 리브온에 쓰이는 홍채인증은 21만1000명이 쓴다.

KEB하나은행에 따르면 지난해 1분기만 하더라도 지문인증 가입자는 43만5145명, 로그인 건수는 545만4866회에 그쳤다. 지난 1~4월 가입자수는 97만5546명, 로그인 건수는 1400만1516회로 배 이상 늘었다. 홍채인증도 지난해 1분기 9만7873명 가입, 로그인 52만7228회에서, 올해 1~4월 23만6363명 가입, 로그인 139만7886건으로 증가했다.

IBK기업은행의 모바일뱅킹 앱인 I-one뱅크의 바이오인증 로그인 비중은 지난해 1월 13.9%였지만, 12월엔 19.2%로 늘었다. 신한은행은 전체 비대면 거래 사용고객 중 바이오인증 사용고객 비율이 36.69%에 이른다.

KB국민은행의 ‘손으로 출금 서비스’처럼 영업점 창구나 ATM기, 디지털 키오스크 등에서도 생체인증 활용도 늘어나는 추세다. 현재 KB국민은행은 디지털창구 운영점포 731개점 창구에 바이오인증 센서 9822개를 설치·운영 중이다.

신한은행은 2015년 12월 국내 최초로 비대면 실명인증에 생체인증을 적용한 디지털 셀프뱅킹 창구 ‘Your Smart Lounge’(YSL)를 설치했다. 신한은행 관계자는 ”YSL로 입출금 창구 거래량의 90%에 해당하는 총 117가지 업무가 가능하다”고 말했다.

◆카드사들은 결제수단에 생체인증 활용

카드사들은 생체인증 기술을 모바일 애플리케이션 로그인 외에도 플라스틱 신용카드나 스마트폰 페이 등을 대신하는 결제수단으로 활용하기 위해 기술개발 및 상용화에 안간힘을 쏟고 있다.

신한카드는 지난달 23일 ‘코리아 핀테크 위크 2019’ 행사에서 국내에서 시도되지 않던 생체인식 결제 서비스인 ‘신한 페이스 페이’를 선보였다.

LG CNS와의 기술협력으로 개발된 신한 페이스 페이는 3D·적외선 카메라로 추출한 디지털 얼굴 정보와 결제정보를 매칭해 매장에서 안면인식만으로 결제하는 방식이다. 신한카드 관계자는 “지갑과 휴대전화를 집에 두고 나오더라도 페이스 페이로 음식을 사먹을 수 있다”면서 “내년부터 편의점 CU 일부 매장 및 대학교 식당 등에서 상용화하는 방안을 추진하고 있다”고 밝혔다.

BC카드는 국내 금융사 최초로 ‘보이스 결제’ 인증 기술을 간편결제시스템에서 서비스 중이다. 간편결제 플랫폼인 ‘PAYBOOC’에서 보이스인증 등록에서 “내 목소리로 결제” 등 자신만의 음성을 스마트폰에 저장한 뒤 결제 때 그대로 말하면 결제가 완료된다.

BC카드 관계자는 “보이스인증에 쓰이는 음성정보는 숫자 형태로 바뀌어 암호화되고, 결제 시 개인 음성정보와 더불어 BC카드가 보유한 서버를 통해 복수로 인증해 매우 안전하다”고 말했다.

롯데카드는 2017년 5월 국내는 물론 세계 최초로 손바닥 정맥으로 결제하는 ‘핸드페이’ 서비스를 세븐일레븐이나 롯데마트, 롯데리아, 롯데시네마 등 롯데그룹 계열사 90여곳에서 하고 있다.

◆생체인증 기술의 한계점은

생체인증은 정보가 유출될 가능성이 작지만, 한번 유출되면 재발급이 어렵고 유출 정보가 영구적으로 악용될 수 있다는 문제가 있다. 전문가들도 생체인증 방식이 월등히 편리한데도 금융권에서 전통적 공인인증서에 비해 이용률이 떨어지는 건 개인정보 유출로 인한 사생활 문제, 이용 거부감, 기기 간 호환성을 위한 표준화 미흡, 기기 오류율 문제, 단말기 배포 및 고가의 센서 등 높은 운영비용 등을 지적한다.

윤재호 한국은행 금융결제국 전자금융기획팀 과장은 2016년 펴낸 ‘바이오인증 기술 최신 동향 및 정책과제’를 통해 “손가락 지문은 일정 경우에 한해 재발급이 가능하지만 다른 생체 정보는 매우 제한적”이라고 지적했다. 그는 이어 “금융산업에서 생체 인증 기술이 확산되기 위해선 사용자의 심리적 거부감과 정보유출에 대한 불안감 해소가 우선”이라며 “생체정보 활용 등록·처리·보관·폐기 등 전 과정에 대한 고객의 알권리를 충분히 보장할 수 있도록 ‘생체정보 보안 프로세스’ 구축을 검토할 필요가 있다”고 제안했다.

◆생체정보 조각내 금융사·금융결제원 분할 보관… 보안 우수

생체정보의 인증은 데이터베이스에 저장된 등록정보와 새롭게 입력된 정보를 비교해 진위를 판별하는 절차를 의미한다. 생체정보가 분산관리되는 기술은 크게 두 가지로 나뉜다.

첫째는 FIDO인증기술(개인매체방식)이다. 미국의 비영리법인 FIDO(Fast IDentity Online) 얼라이언스(Alliance)에서 공개한 기술 규격으로 사용자가 스마트폰 등의 개인기기에서 생체인식을 통해 보안 인증하는 방식을 말한다. 스마트폰으로 모바일뱅킹을 할 때 쓰이는 기술이 FIDO인증기술이다. 스마트폰 기기 내의 ‘트러스트존’이라 불리는 안전 영역에 저장되는 생체 정보는 기기 외부로 전달되거나 금융회사와 공유되지 않아 개인정보 유출이나 사생활 침해를 걱정하지 않아도 된다.

생체인증 정보를 개인 스마트폰에서만 쓴다면 FIDO인증 기술만 있어도 충분할지 모른다. 그러나 생체정보는 ATM기기나 디지털키오스크, 금융회사의 영업점 등 공용 디바이스에서도 사용된다. 공용 디바이스에는 금융서버 방식이 쓰인다. 생체정보를 단독으로는 인증에 쓸 수 없는 조각으로 분할해 일부는 금융회사 서버에, 나머지 조각은 제3의 기관에 보관한다. 고객이 거래에 생체정보를 쓰고자 하는 경우 각각의 생체정보 조각이 결합돼 인증되는 기술이 바로 금융서버 방식이다. 이를 통해 개인의 생체정보는 유출되더라도 도용할 수 없어 안전하게 보관된다.

한국에서는 제3의 기관이 바로 금융결제원이다. 금융결제원은 2016년 12월에 생체정보 분산관리센터를 오픈해 국내 금융회사들의 모집을 시작했다. 현재 80여개에 달하는 금융회사들이 금융결제원과 함께 고객들의 생체정보를 분할 보관해 관리하고 있다.

금융결제원에서 생체정보 인증 관련 업무를 담당하고 있는 박정현 차세대인증업무팀장은 국내에서 사용되는 금융서버 방식이 세계적으로도 매우 우수한 기술임을 강조했다. 박 팀장은 7일 “금융서버 방식은 금융결제원과 국내 금융회사들이 합작해 세계 최초로 개발한 기술이다. 우리나라에서만 쓰기도 아까운 기술이다. 해외에서도 좋은 평가를 받고 있어 수출도 충분히 가능하다. 현재 국제표준에 맞추는 작업을 진행 중이다. 생체정보 인증기술은 우리나라가 세계적으로 치고 나갈 수 있는 기술”이라고 힘주어 말했다.

생체정보 인증 쓰기를 주저하는 금융고객들의 걱정은 한 가지다. 혹시나 내 생체정보가 유출돼 도용되지 않을까 하는 것. 박 팀장은 “금융결제원의 금융서버 방식은 굉장히 안전하다. 금융결제원이나 금융회사가 보유하고 있는 생체인증 정보의 조각은 결합하지 않으면 아무런 의미가 없게 되어 있다. 생체인증 정보의 결합은 다 이력이 남기 때문에 절대 오남용될 수 없다”고 말했다.

남정훈 기자