"손님 대신 알바가 커피값 냈다"…불안한 페이스페이

토스 안면결제 허점 논란
'오결제' 카페 알바생 인터뷰
'뒷사람 얼굴·사진 결제' 사례도
위변조 확인·보안 기술 있지만
토스 1초결제 강조해 절차 생략

서울 송파구의 한 카페 아르바이트생 김모씨는 지난 2일 손님의 커피값을 대신 결제한 사실을 다음 날 발견했다. 토스의 안면인식 결제 서비스 페이스페이가 손님 얼굴이 아니라 김씨의 얼굴을 잘못 인식했기 때문이다. 결제금액은 1만4000원이었다. 김씨는 이날 겪은 ‘오결제 사연’을 소셜미디어에 올렸고, 빠른 속도로 퍼졌다. 이후 ‘나도 당했다’는 오결제 사연이 연이어 올라왔다.

 ◇ 페이스페이 확산에 찬물

김씨는 10일 한국경제신문과의 인터뷰에서 “결제 화면을 이용자에게 넘겨주는 과정에서 잠깐 얼굴이 스쳤을 뿐인데 결제가 이뤄졌다”고 했다. 이 카페는 포스기(계산기) 대신 아이패드를 활용한 ‘태블릿포스’로 결제하는 구조다. 김씨는 “한 시간에 한두 명은 페이스페이 결제를 요청하는데, 이 사건 이후 불안해졌다”며 “결제 과정에서 추가 본인 인증이 필요한 줄 알았는데 동의 없이 돈이 빠져나간 사실에 놀랐다”고 말했다.

챗GPT

페이스페이는 등록한 얼굴 정보만으로 가격을 치를 수 있는 간편 결제 서비스다. 토스가 지난해 9월 ‘페이스페이’, 네이버페이가 지난해 11월 ‘페이스사인’이라는 이름의 안면인식 결제 서비스를 내놓으며 본격적으로 확산했다.

토스는 결제 금액의 3%를 포인트로 적립, 할인쿠폰 지급 등을 통해 700만 명 넘는 가입자를 확보했다. 네이버페이는 가입자 수를 공개하지 않고 있다. 이 결제 기능이 담긴 단말기 보급 기준으로는 올해 상반기 토스가 44만 곳, 네이버페이가 10만 곳으로 빠르게 확산했다.

하지만 토스의 페이스페이를 둘러싸고 잡음이 나오자 분위기가 달라졌다. “다른 사람이 내 얼굴 사진을 이용해서 결제했다” “친구가 사겠다고 했는데 뒤에 서 있던 내 얼굴을 인식해서 내 것으로 결제됐다”는 글이 온라인 커뮤니티에 많이 올라오고 있다. 페이스페이 기술에 허점이 있는 것 아니냐며 불안해하는 반응이다.

 ◇ ‘같지만 다른’ 속도 vs 안정성

업계는 토스 페이스페이의 ‘1초 결제’를 이번 사건의 원인으로 보고 있다. 간편하고 빠른 결제를 강조하고자 인증 과정을 과도하게 생략한 측면이 있다는 얘기다.

두 회사의 기술은 큰 틀에서 비슷하다. 토스와 네이버 모두 얼굴을 등록, 인식하고 결제하는 전 과정에 여러 단계의 보안 장치를 적용한다. 얼굴 검출, 품질 판단, 위변조 확인, 본인 식별, 이상 거래 탐지 등 여러 단계가 빠르게 이뤄지는 구조다. 카메라에 인식된 얼굴이 실제 사람인지를 실시간으로 확인하는 ‘라이브니스 디텍션’이 대표 기술이다. 사진, 동영상 등 ‘가짜 얼굴’로 속이려는 시도를 잡아내는 보안 기술인 페이스안티스푸핑(FAS)도 갖췄다.

네이버페이는 인증 과정을 한 번 더 거치더라도 정확하게 결제하는 데 중점을 둔 점에서 차이가 난다. 페이스사인은 얼굴 대조 결과가 일치하면 해당 결제자의 이름을 화면에 안내한다. 이때 나오는 ‘결제 확인’ 버튼을 눌러야 결제가 이뤄진다.

토스에는 결제자의 이름을 화면에 안내하거나 추가 버튼을 누르는 절차가 없다. 인식된 얼굴 정보가 확실하지 않은 ‘유사 구간’에 있을 때만 2차 인증(휴대폰 중간번호 네 자리 입력)을 요구한다. 업계 관계자는 “토스가 빠른 결제를 위해 최종 확인 절차를 생략한 것 같다”고 했다.

토스는 오인식, 본인이 시도하지 않은 결제가 확인되면 해당 결제 건을 취소·환불해준다는 방침이다. 아직은 제품 인식 오류와 결함보다 여러 사람이 한꺼번에 카메라 앞에 잡히는 등 환경적인 요인으로 발생하는 오결제 사례가 많은 것으로 알려졌다.

토스 관계자는 “관련 민원이 공식 제기된 적은 없어서 소문의 실체를 파악하기 어렵다”며 “페이스페이 결제 기술에는 문제가 없지만 불안한 이용자는 2차 인증을 별도 설정할 수 있다”고 말했다.

정지은/안정훈 기자 jeong@hankyung.com