금융권 생체인증 열풍 속 보안 불안

[한국금융신문 신윤철 기자] 금융권 생체인증 범위가 점점 늘어나고 있다. 지난 2015년 이후 비대면 인증 거래가 허용되자 지문·홍채·정맥 등 다양한 생체정보를 금융거래에 접목시키는 시도가 활발하게 이뤄졌다. 또 기술의 발달로 휴대폰을 통한 생체인증이 손 쉬워져 이러한 시도를 돕는 상황이다. 생체인증이 각광받는 이유는 온라인 거래가 대세가 된 상황에서 보안성과 편의성을 동시에 잡았다고 여겨지기 때문이다. 그러나 생체인증 보안이 해킹에 의해 뚫리는 사태가 발생하자 본격적인 도입을 자제하자는 신중론도 고개를 들고 있다.

◇ 온라인 거래, 생체인증에 힘 실어주다

모든 금융거래의 핵심이라 할 수 있는 은행권에서도 생체인증 열풍은 거세다. 은행권이 생체인증을 도입하는 이유는 비대면 거래가 90%를 상회하는 상황에서 기존 공인인증서 방식을 보완할 필요를 느꼈기 때문이다. 또 인터넷전문은행이 편의성을 무기로 시장 잠식에 나서자 이에 대응하기 위한 측면도 있다.
은행들이 지원하는 생체인증은 다양하다. 정맥부터 홍채 최근에는 목소리만으로도 금융거래가 가능하도록 관련 서비스를 출시하고 있다. 은행들은 오프라인 지점에서는 정맥, 온라인에서는 홍채 인증 등 상황에 따른 맞춤형 인증 방식을 제공하고 있다.

신한은행은 지난 2015년 12월 국내 최초로 옛 디지털 키오스크인 ‘스마트라운지’에서 손바닥 정맥 인증을 활용한 금융 서비스를 선보인 바 있다.

KB국민은행도 지난 4월 말부터 손바닥 정맥 바이오인증 서비스를 서울 여의도 영업부 두 곳에서 시범운영 중이다. 5월 말까지 50여개점 추가 운영 뒤 단계적으로 전국 지점으로 확대키로 했다. 바이오 정보만으로 ATM과 창구거래가 가능하고, 오는 6월에는 전자식 대여금고의 본인 확인 수단으로도 활용된다.

신한은행도 전국에 확대 적용하기 위한 전 작업으로 올 하반기 바이오 디지털 시범 점포를 선정해 ATM·영업점 창구·대여금고 등에서 바이오 인증 서비스를 제공할 예정이다. KEB하나은행은 SK텔레콤과 제휴해 6월 중 SK텔레콤의 AI 기기 ‘누구’를 통해 음성 금융 서비스를 제공할 계획이다. ‘누구’는 이용자의 음성을 인식하는 방식이다.

손바닥 정맥 인증은 보안성이 상대적으로 높아 금융권이 선호하는 대표적인 생체인증 방식이다. 정맥 인증은 표면의 노출된 방식이 아니라 위·변조가 어렵다. 홍채인증의 경우 삼성전자가 올해 초 홍채인증이 가능한 휴대폰을 출시하면서 주요 시중은행들이 이를 활용할 수 있는 서비스를 선보이기도 했다.
◇ 연이어 드러난 생체인증 보안 구멍

생체인증이 각광받는 이유는 무엇보다도 보안성 때문이다. 문제는 생체인증의 보안성을 뚫는 사례가 발생하고 있다는 점이다. 삼성전자가 올해 선보인 휴대폰 갤럭시 S8의 홍채 인증이 독일 해커들에 의해 파훼된 사례가 대표적이다.

독일의 카오스 컴퓨터 클럽(CCC) 해커들은 갤럭시 S8 홍채 인식 보안을 파훼하는 영상을 촬영해 공개했다. 방법도 간단했다. 영상 속 남성은 1)얼굴 사진을 촬영한 다음, 2)해당 사진을 출력하고, 3)출력물의 눈동자 부분 위에 콘택트렌즈를 올려, 4)갤럭시 S8 홍채 인식 화면에 노출시키자 홍채 인증 잠금 해제가 되었다. 이 방법을 적용하면 고성능 카메라로 특정인의 홍채를 촬영해 보안을 무력화 시킬 수 있다.

해외 은행 사례에선 HSBC은행이 음성인식 서비스의 안전성을 강조하며 생체인증의 우수함을 홍보했지만 영국 BBC의 댄 시먼스 기자는 쌍둥이 동생이 흉내 낸 자신의 목소리로 모바일 뱅킹 인증에 성공한 영상을 올렸다. 특정상황에서 벌어진 일들이지만 세간의 인식만큼 보안성이 뛰어나지 않다는 점을 보여줬다.
생체정보는 비밀번호와 달리 임의대로 변경할 수 없기 때문에 한 번 유출되면 위험성이 더 크다. 현행 전자금융거래법에서는 생체정보를 포함한 보안인증수단의 위변조로 소비자가 피해를 입은 경우 소비자는 구체적인 상황을 입증해야만 손해를 배상받을 수 있다. 미국의 경우, 쉽게 배상받을 수 있도록 금융기관에 책임을 묻고 있다.

금융당국은 2015년 3월 전자금융 거래 때 공인인증서를 의무로 사용해야만 했던 규정을 폐지했다. 지난해에는 보안카드나 OTP 생성기 없이도 인터넷이나 모바일뱅킹으로 계좌이체를 할 수 있도록 관련 규제를 없앴다.

이런 상황에서 생체인증은 규제 완화의 분위기 속에서 더욱 활성화될 가능성이 높다. 보안성에 대한 우려가 높아지는 배경이다.



신윤철 기자 raindream@fntimes.com