피싱·스미싱 금융범죄 꼼짝마…금융결제원, 신용카드 이중인증 추진

DDP 코리아 핀테크 위크에서 시연

/사진=임종철 디자이너

전화금융사기(보이스피싱)를 비롯, 원격제어 해킹 프로그램을 깔아 범행하는 '스미싱(SMS와 피싱의 합성어)'을 사전 차단할 수 있는 차세대 보안·인증 방식의 도입이 추진된다.

30일 금융결제원에 따르면 '트러스트원(TrustOne, 가칭)'의 프로토타입이 개발중이며 현재 전업카드사 8곳과 도입 논의가 이뤄지고 있다. 실물 카드를 근거리무선통신(NFC) 기능이 탑재된 스마트폰에 터치해 인증을 진행하는 방식이다.

이른바 멀티팩터 인증(MFA)이다. 자신의 카드와 스마트폰을 한 번에 분실한 경우가 아니라면 보안성을 담보할 수 있게 된다. 기존 일회용비밀번호(OTP) 방식도 MFA의 하나지만 3자에 의한 해킹·유출로부터 자유롭지 못하다.

지금은 4~8자리의 PIN 번호 인증만으로 계좌이체·결제 등 대부분의 온라인 금융거래가 가능한 상황이다. 지문이나 안면인식 등 추가적인 수단도 있으나 이들 방식으로 인증에 실패하면 결국에는 PIN을 입력하게 된다.

이 때문에 PIN 번호가 유출되면 개인의 금융 피해는 걷잡을 수 없이 커질 수 있다. 카드사나 은행마다, 또는 쇼핑몰마다 각기 다른 PIN 번호를 설정하는 것이 보안성을 높이는 방법이지만 국민 대다수는 동일한 PIN 번호를 다수의 사이트에서 그대로 사용한다.

트러스트원은 별도의 인증 기능을 넣은 신용카드나 체크카드를 온라인 결제·이체 때 NFC 기능이 있는 스마트폰에 태그하면 된다. 일정 금액 이상의 거래에만 트러스트원을 사용하고 소액은 기존 간편결제를 이용하는 등 선택적 적용이 가능하다.

금융결제원에 따르면 이는 △은행 △카드 △통신 △쇼핑 △가상자산 등 각 업권의 개별적인 보안 정책을 따라야만 했던 개인의 인증 책임과 부담을 줄여준다. 금융거래의 편의성은 높이면서도 금융 사고의 위험은 차단하는 것이 핵심이다. 특히 스마트폰에 집중된 인증을 분산시켜 휴대전화 해킹과 분실, 신용카드 정보 유출시에도 안전을 확보할 수 있다.

트러스트원을 활용하면 카드 부정 사용, 은행계좌 도용, 신원 도용을 통한 불법 대출 등 3자에 의한 금융 범죄를 사전에 차단할 수 있을 전망이다.

금융결제원 관계자는 "강력한 보안을 제공하면서도 결제카드를 활용해 사용자 편의성을 그대로 유지함으로써 거부감을 최소화하고 비용 절감 효과를 거둘 수 있을 것"이라고 말했다.

다만 신용카드에 추가 인증용 IC칩 이식이 필요하므로 기존에 보유하고 있는 카드로는 트러스트원을 사용할 수 없다. 금융결제원은 신규 카드 발급과 관련한 비용을 카드사가 부담하는 방향으로 협의하고 있다.

트러스트원 개발에는 핀테크 기업들과의 협업이 있었던 것으로 알려졌다. 서비스는 이르면 내년 상반기 중 출시될 전망이다. 금융결제원은 이날부터 다음달 1일까지 동대문디자인플라자(DDP)에서 진행되는 '코리아 핀테크 위크'를 통해 트러스트원 서비스를 시연한다.

[머니투데이 스타트업 미디어 플랫폼 '유니콘팩토리']

최태범 기자 bum_t@mt.co.kr