모바일 결제 보안 동향 및 시사점

초기의 모바일 결제 시장은 2000년대 초, 중반에 미국과 중국의 최대 전자상거래 업체 사이트인 이베이와 타오바오에 기반을 둔 페이팔(PayPal)과 알리페이(Alipay)와 같은 PG전문업체1)가 시장에 진출해 현재까지 시장을 선도하고 있다. 2010년대 들어서는 2011년 구글의 구글월렛(google wallet)을 비롯하여 2014년 하반기 출시 발표한 애플의 애플페이(Apple pay)와 국내업체 카카오의 카카오페이(Kakao pay), 상용화를 앞두고 있는 페이스북 등 인터넷플랫폼 업체들이 진출하면서 새로운 강자로 떠오르고 있다. 이와 더불어 이동통신사, 유통업체 등 다양한 업종의 기업이 모바일 결제 시장에 진출했거나 진출할 예정으로 다양한 기업들이 모바일 결제 시장에서 경쟁하고 있다. 더불어 제공되는 금융서비스 영역도 모바일 결제뿐만 아니라 송금서비스 및 토털 금융서비스로 확대되고 있다. 국내에서는 해외 주요국과 달리 정부 주도형으로 금융위원회가 인터넷 및 모바일 금융관련 보안 정책을 수립해 운영하고 있다. 국내에서 본격적으로 인터넷 결제에 대한 보안 방안을 수립하게 된 시기는 2012년 11월 비씨 ․ 국민카드 온라인 부정결제 사고가 발생하면서 부터이며, 이후 온라인 결제 보안강화를 위한 관계기관 합동 대응팀 구성, 운영계획이 발표되었다. 이 사건을 계기로 모바일을 통한 온라인 결제 보안강화 방안도 함께 추진되면서 2013년 4월 “온라인 결제 보안 강화 종합 대책 마련”을 통해 모바일 결제 서비스 인증 강화 및 공인인증서 발급 절차 강화 등의 대책을 마련하였다. 그러나 2014년 전세계적으로 모바일 결제 시장이 급성장하고 있음에도 불구하고 국내 모바일결제 시장은 공인인증서 의무 사용, Active-X 등의 장애요인으로 인해 성장이 제한되면서 이를 해소하기 위해 규제 완화 정책이 다수 발표되었다. ’14년 4월 온라인 카드 결제시 공인인증서 의무 사용이 폐지되었으며, ’14년 9월에는 Active-X 사용을 제한하고 Non-active-X 방식의 공인인증서 기술을 개발해 보급하기로 했다. 2014년 현재 203개국 1억 5천만명의 이용자를 보유하고 있는 페이팔(PayPal)은 전문 PG업체로서, 미국 최대 전자상거래 기업인 이베이(ebay)의 전자 결제 시스템을 위해 인수되어 운영되고 있다. 페이팔은 구매자와 판매자 사이에 임시계좌를 개설함으로서 구매자가 송금하는 자금을 임시계좌에 일시적으로 보관하고, 물품 배송이 확인되면 판매자에게 지불하는 방식인 에스크로(Escrow)방식을 사용함으로써 사고가 발생하더라도 사용자의 계좌가 직접 탈취당할 확률을 낮추고 있다. 또한 글로벌 카드사에서 설립한 PCI-DSS3) 인증을 통해 기본적인 보안성을 확보하였다. 이와 더불어 미국 최대 전자상거래 기업인 이베이의 거대한 사용자 수와 이들의 거래 정보를 바탕으로 장기간 구축된 빅데이터를 활용하여 이상 거래 탐지 시스템(FDS)을 운영하여, 정보 유출 및 사고를 실시간으로 감시한다. 2011년 구글에서 출시한 구글 월렛(google wallet)은 플랫폼 업체로는 최초로 모바일 결제 시장에 진출하였다. 그러나 서비스 개시 후 2013년까지도 앱 결제 건수가 1,000만 건에 못미치는 등 부진한 결과를 보여주고 있다. 이는 이동통신사와 같은 주요 협력사 수의 저조함과 경쟁사 증가에 기인하고 있지만 가장 결정적인 문제는 보안문제에 있었다. 구글은 마스터 카드의 Mobile PayPass 기술을 사용하여 모든 금융 데이터를 암호화 시켰으며, 거래에 따른 정보는 모두 보안처리되어 보안 영역(Secure Element)에 저장되도록 하였다. 기본적으로는 결제 시 개인 식별 번호인 PIN(personal identification number)번호를 입력하는 방식을 통해 본인 인증 및 보안 문제를 해결하고자 하였다. 그러나 핀 번호의 해킹 위험과 함께, 선불카드 이용 시 정보를 삭제하더라도 개인정보가 그대로 남아있다는 보안취약점이 나타났다. 또한 구글 월렛 사용자들이 단말을 분실한 경우 다른 이용자가 기존 사용자 계정정보로 결제 서비스를 활용할 수 있다는 사실이 알려짐으로써 구글월렛 서비스를 일시 중단한 뒤, 결제 정보를 클라우드에 저장하는 방식으로 전환하여 다시 출시하였다. 2014년 10월 20일에 서비스를 시작한 애플의 애플페이(Apple pay)는 개시한지 72시간만에 이용횟수가 100만 건이 넘어서면서 빠른 속도로 성장하고 있다. 애플 페이는 아이폰5s부터 도입한 ‘Touch ID’라는 지문 인식 센서를 통한 생체 인증 방식을 애플 페이에도 적용하였다. 여기에 신용카드 번호 등 중요한 데이터를 무의미한 문자 나열로 변환시키는 토큰화 기술을 사용하고, 결제 과정에서는 일회성 코드가 무작위로 생성돼 전송함으로써 데이터가 유출되더라도 사용할 수 없도록 보안을 강화했다. 여기에 아이폰 내에 별도로 탑재된 보안 메모리 칩셋인 ‘보안 영역’ (Secure element)을 통해 저장하는 방식을 사용하였다. 이를 통해 카드 정보가 유출되는 상황이 발생하더라도 데이터는 랜덤화 된 무의미한 문자 나열이므로 사용할 수 없도록 하였다. 국내에서는 2014년 9월 다음카카오(daumkakao)가 자사의 플랫폼을 기반으로 한 모바일 결제 서비스인 ‘카카오페이’를 발표했다. 해외와는 달리 국내에서는 이용자 PC에 공인인증서를 비롯한 Active-X나 플러그인 방식으로 보안프로그램을 설치하여 이용자를 보호하고자 하였으나, 이러한 방식에 사용자들이 불편함을 느낌으로써 해외와 유사한 방식으로 시스템을 구축하기 위해 정부부처가 규제를 완화하는 과정에서 카카오페이가 출시되었다. 카카오페이는 LG CNS와 제휴를 맺고, 금융감독원의 보안 ‘가’ 군 인증을 받은 엠페이(Mpay) 보안방식을 이용하였다. 엠페이(Mpay)는 결제 시 필요한 카드 정보를 암호화하여 사용자의 스마트폰과 LG CNS 데이터센터에 각각 분리 하여 저장하는 방식으로, 정보유출이 발생할 경우에도 사용자의 완전한 정보를 알 수 없도록 하였다. 또한 전화번호 변경, 분실 및 기기변경에 따른 단말기 교체, 결제비밀번호 5회 이상 오류시 모두 계정초기화 되도록 하였다. 현재는 카카오톡 ‘선물하기’라는 모바일 결제 서비스에 한정적으로 사용되고 있으며 이와는 별도로 송금 서비스인 ‘뱅크월렛카카오’를 제공할 계획을 발표하였다. 최근 인터넷 플랫폼업들이 모바일 결제 시장에 진출하면서 가장 대표적으로 내세우는 강점이 바로 결제 프로세스의 단순화이다. 과거의 모바일 결제 프로세스는 카드정보를 매번 입력해야하는 번거로움과 공인인증서 실행, 비밀번호 입력 등 결제 프로세스가 매우 복잡해 사용자의 편리성이 크게 저해되었다. 최근의 플랫폼업체들은 이러한 모바일 결제의 단점을 해소하고 자사의 서비스를 사용하도록 유도하기 위해 경쟁적으로 다양한 방식과 기술을 도입하며 결제 프로세스를 간소화 하고 있다. 카카오페이의 경우 결제수단에서 카카오페이를 선택하고 결제카드 선택 후 결제비밀번호만 입력하면 결제가 완료되고, 애플페이의 경우 오프라인에서는 NFC 단말에 휴대폰을 근접시키고, 온라인에서는 등록된 카드를 선택한 후 Touch ID를 이용한 지문 인식 단계를 거치면 바로 결제가 완료된다. 최근 애플이 신제품 출시와 함께 ‘애플페이(Apple pay)’라는 모바일 결제 서비스를 발표했고, 국내에서도 최대의 모바일 메신저 기업인 다음카카오가 모바일 결제 서비스 ‘카카오 페이’를 출시하면서 모바일 결제 서비스에 대한 관심과 시장 성장에 대한 기대감이 확산되고 있다. 이미 온라인 전문 결제대행업체(PG)들이 존재하고 있는 상황에서 인터넷플랫폼업체, 통신사, 카드사 등 다수의 기업들이 모바일 결제 서비스 진출이 지속적으로 증가하는 추세이다. 각 업체들은 시장을 선도하기 위해 경쟁적으로 다양한 방법과 기술을 도입하며 결제 프로세스를 간소화 하고 있다. 이러한 사용의 편리성이 확대됨에도 불구하고 해킹, 개인정보 유출 등의 보안 위협은 여전히 증가하고 있어서 모바일 결제 시장의 확대에 가장 큰 장애요인으로 작용하고 있다. 따라서 향후 모바일 결제 시장이 활성화되기 위해서는 보안 문제 해결이 가장 핵심적인 요소 중 하나일 것이다.