중요성 커지는 핀테크 보안 기술

금융과 IT가 결합한 핀테크 열풍이 불고 있다.보수적이었던 금융가를 둘러싼 장벽이 조금씩 무너지면서 새로운 아이디어와 기술을 바탕으로 더 빠르고 간편한 금융 서비스들이 속속 선보이고 있다. 은행에 가지 않아도 계좌를 개설하고 거래를 할 수 있는 인터넷 전문은행도 올해 내 등장할 것으로 보인다. 하지만 제 아무리 편리한 서비스라 할지라도 고객의 자산을 안전하게 지켜내지 못한다면 무용지물이다. 이용자 보호를 위한 보안기술 강화는 필수다.


지문, 홍채, 목소리가 내 돈을 지킨다
최근 간편결제 서비스와 비대면 거래가 늘어나면서 다양한 보안 관련 기술이 주목받고 있다.금융 보안 기술은 크게 이용자의 본인 인증과 사업자의 서버 보안 두 가지 측면에서 살펴볼 수 있다. 이용자의 본인 인증은 공인인증서, 휴대폰 인증, ARS 인증 등이 대표적인 예다. 9월부터 공인인증서 의무사용 규정이 폐지됨에 따라 대체 수단에 대한 관심이 커질 수밖에 없다.

가트너는 인증방법을 크게 4가지로 분류했다. 지식 기반 인증, 소지 기반 토큰 인증, 생체 기반 인증, 특징 기반 인증이 바로 그것이다.

가장 흔한 방법이 바로 지식 기반 인증 방식이다. 문자, 숫자 등 텍스트 기반의 비밀번호가 바로 그것. 키보드로 비밀번호를 입력하던 방식에서 한 발 더 나아간 것이 바로 가상 키패드 화면이다. 사전에 등록한 패턴이나 그래픽 이미지를 선택하거나 화면에 손이나 마우스로 그림을 그리는 방법도 여기에 해당된다. 알고 있는 정보를 이용해 OTP(On Time Password)를 생성하는 OTP코드북도 지식 기반 인증방식이라 할 수 있다.

특징 기반 방식은 주로 백업 개념으로 사용된다. 질문에 대한 답을 유도하는 Q&A 방식이나 사용자의 정보를 이용한다는 측면에서는 지식 기반 인증방식과 유사하지만, 사용자의 고유정보가 아닌 특징을 활용한다는 측면에서 다르다. 여기서의 특징은 사용자의 답변이 사용자만 유일하게 아는 정보가 아니라 사실에는 기반한 정보다.


소지 기반 방식은 다른 채널을 활용하는 OOB(Out-of-band) 인증방식으로 SMS나 음성, 이메일 등으로 인증하는 방식을 말한다. 최근 인터넷뱅킹 이용 시 공인인증서와 함께 이중 보안 방법으로 사용되는 2채널 인증 방식이 소지 기반 방식이다. OTP를 스마트카드나 보안토큰에 저장해 별도의 인증매체에 인증하는 방법도 비슷한 유형이라 할 수 있다.

마지막으로 생체기반 인증은 최근 가장 주목받고 있는 방식이다. 이미 생체인식 기술을 응용한 인증은 상용화돼 쓰이고 있다. 스마트폰 지문인식 기능이 대표적인 예다. 핀테크 활성화와 함께 얼굴 형태, 홍채, 지문, 정맥구조 등 개인의 고유한 생물학적 특성을 금융에 접목하려는 시도가 이어지고 있다.

해외에서는 이미 생체정보를 금융 서비스에 도입한 사례가 많다. US뱅크, USAA 등은 음성인식 기반 모바일 뱅킹 서비스를 운영하면서 사용자 인증 및 계좌 조회, 이체 등을 할 수 있다. 영국 바클레이는 기업고객을 대상으로 손가락 정맥 인증방식을 도입했다. 인식 장치에 손가락 정맥을 등록한 다음 인터넷 뱅킹에 접속해 인증을 하는 것이다. 호주 세인트조지는 지문인식을 통해 모바일 뱅킹 로그인이 가능하다.

안면인식 기술도 금융 서비스에 접목될 것으로 보인다. 중국 알리바바가 안면인식을 결제서비스에 접목할 계획이고 ‘밀어서 잠금해제’를 해온 애플은 ‘셀카(셀프카메라)’로 잠금해제를 하기 위한 안면인식 기술 특허를 냈다.

우리나라에서도 생체인식 기술을 보유한 기업들이 금융 분야로 눈을 돌리고 있다. 5월 IBK기업은행과 바이오 인증 기술 도입·정착을 위한 양해각서(MOU)를 맺은 이리언스는 홍채인식 결제 시스템을 선보였다. 국내에서 바이오 인식 기술 관련 알고리즘, 하드웨어, 소프트웨어를 모두 내재화한 기업으로는 유일하다.

이리언스는 한국정보통신(KICC)과 생체인증센터를 공동으로 구축하고 있다. 이리언스의 기술은 인증센터와 연동해 홍채를 등록한 사람만이POS(Point of Sales)로 결제할 수 있고, 스마트폰에서 본인 등록을 통한 로그인, 자금이체 등이 가능하다. 황정훈 이리언스 본부장은 “바이오정보 분산관리 표준안 제정에 회사 연구진이 참여를 하고 있다. 우리 회사의 핀테크 기술은 표준안에 맞춰 서비스할 예정”이라고 말했다.

얼굴인식 보안 솔루션을 개발한 파이브지티는 최근 하나ㆍ외환은행의 핀테크지원센터 원큐랩에 입주했다. 파이브지티의 기술은 카메라를 통해 입력되는 디지털 이미지 중 얼굴 특징이라는 생체정보를 이용해 사람을 자동으로 식별하는 생체인식방법이다. 1초 이내에 어두운 환경에서도 인증이 가능하다는 장점이 있다. 파이브지티의 기술은 그동안 주로 사무실이나 관공서, 신규 아파트 및 고급빌라에 적용됐다.

금융규제가 풀리면서 새로운 활로를 찾은 셈이다. 파이브지티는 안면인식 보안솔루션 도입을 추진해 현재 영업1부 PB센터에 안면인식 입출시스템을 시범 설치한 상태다.

사용자보다 기업이 먼저 보안 챙겨야
그동안 우리나라 결제 서비스는 사용자 인증이 보안의 중심에 있었다. IT업계 한 관계자는 “핀테크가 제대로 굴러가려면 거래 처리에 대한 보안 모니터링 강화는 필수적이다. 공인인증서, OTP를 이용한 소극적 보안에서 적극적 보안을 위해 실시간 사기탐지 시스템을 구성해야 한다”며 “모든 거래를 추적하고 쌓여있는 모든 데이터를 분석해야 하는데, 국내에는 아직 그만한 실력을 갖춘 곳이 없다”고 말했다.

해외에서는 결제 사업자의 서버 보안에 신경을 쓴다. 데이터를 안전하게 보관하는 방법을 고민하는 것이다. 이미 PCI-DSS(Payment Card Industry-Data Security Standard) 표준을 준수하고 있다. PCI-DSS는 카드정보 해킹이나 도난ㆍ분실 사고로부터 신용카드 정보를 보호하기 위해 마련된 카드산업 보안 표준이다. 국내 PCI-DSS 인증을 획득한 회사는 KG이니시스, LG CNS, LG유플러스, 퍼스트데이타코리아, 한국사이버결제 등이 있다.

FDS(Fraud Detection System, 이상행위 탐지시스템)도 최근 주목받는 기술이다. FDS의 이상행위(Fraud)는 속임수나 거짓말로 돈이나 금융 혜택을 얻는 범죄를 말한다. FDS는 이용자의 금전적 손실이나 정보 유출 등을 탐지하고 차단하기 위해 고안된 시스템이라고 할 수 있다. FDS는 크게 정보수집, 분석 및 탐지, 대응의 과정으로 구성된다.

이용자 단말기나 네트워크 등을 통해 정보를 수집하고 정보들 사이의 상관관계를 분석해 그와 어긋나는 행위를 탐지하는 것이다. 이상행위가 발생하면 2차 확인 절차를 더 거치게 한다. 예를 들어, 서울 광화문의 한 식당에서 점심을 먹은 후 카드 결제 30분 만에 부산에서 동일한 카드 승인 요청이 들어온다면, 이상행위에 해당된다. 이를 금융에 응용하면 소액거래를 주로 이용하던 사람이 고액을 거래가 없던 수신자에게 보낼 경우 이상거래로 의심해 볼 수 있다.

사실 FDS는 1990년 이미 도입된 기술이다. 해외에선 이 기술을 고도화시켜 금융 범죄 방지에 힘쓰고 있다. 이에 비하면 우리나라는 아직 걸음마 수준이다. 8개 카드사는 FDS를 모두 구축했지만, 은행과 증권사는 2013년부터 구축에 나섰다. 지난해 12월 금융감독원을 중심으로 FDS 구축과 고도화를 위한 협의체를 구성해 준비하고 있다.

물론 FDS가 금융 보안 문제를 모두 해결해 주지는 않는다. 금융보안원 측은 “FDS가 만능은 아니다. 전자금융거래에 있어서 부정 이용자에 의해 발생되는 거래의 이상 유무를 판단해 거래를 차단하거나 혹은 추가 인증 등의 절차를 추가해 사기를 예방하는 차원”이라고 설명했다.

블록체인, 핀테크 보안기술로 주목
최근 들어 가상화폐 비트코인의 ‘블록체인(Block Chain)’ 기술도 새로운 핀테크 보안기술로 주목받고 있다. 블록체인은 쉽게 블록을 잇따라 연결한 모음이라고 생각하면 된다.

기본 구조는 일정 시간 동안 과반수 이상의 사용자가 동의한 거래내역만 하나의 블록으로 묶고, 새로 만든 블록은 이전 블록체인 뒤에 덧붙이는 과정을 반복하는 것이다.

블록체인은 서버 없이 개인 컴퓨터끼리 연결하는 P2P(Peer to Peer) 방식을 기반으로 한다. 비트코인의 경우 거래가 공개 키 암호 방식으로 이뤄진다. 한번 쓰여진 블록은 조작이 불가능하고 누구나 볼 수 있는 공공장부의 성격을 갖고 있어 안전하고 투명한 관리가 가능하다. 이에 따라 비트코인뿐 아니라 P2P 대출, 주식거래(거래인증), 공인인증서 등 기존 금융 중개자 역할을 대체하는 분야에서 활용될 수 있다.


[본 기사는 테크엠(테크M) 2015년 9월호 기사입니다. 더 자세한 내용은 매거진과 테크M 웹사이트(www.techm.kr)에서 보실 수 있습니다.]
[관련기사] 대세 기술로 부상한 블록체인을 해부한다

▶미래를 여는 테크 플랫폼 '테크엠(테크M)' 바로가기◀
▶[슈퍼 중국의 유니콘들] 우리가 아는 중국은 틀렸다
▶[MIT리뷰] 인공지능이 발전하면 일자리가 줄어들까
▶[테크&가젯] 분노·뇌파 알아채는 웨어러블
▶3D프린터가 만들어 낸 생활 예술
▶[인터넷 전문은행] 은행 아닌 아마존을 연구하라