[디지털데일리 박기록기자] 지문, 홍채, 정맥, 안면인식 등 생체인증을 활용한 스마트뱅킹 모델이 쏟아지고 있다.

더구나 핀테크 간편결제서비스의 확산과 인터넷전문은행처럼 비대면실명확인에 기반한 비대면채널 금융서비스의 출현으로 생체인식 활용의 확장성은 움직일 수 없는 대세로 자리잡았다.

우리은행, IBK기업은행, 신한은행, KEB하나은행, 대구은행 등 은행권은 이미 올해초까지 홍채 또는 지문인식에 기반한 다양한 스마트뱅킹 프로세스를 선보였다.

기업은행은 지난해 12월 중순, 홍채인식으로 본인을 인증하는 ATM(현급입출금기)을 내부 직원들을 대상으로 시범 서비스에 들어갔고, 우리은행은 지난달 중순 은행권에서는 처음으로 일반인 대상의 홍채인식 ATM서비스를 시작했다.

잎서 신한은행은 지난 12월초 국내 은행권 최초의 비대면실명확인 프로세스가 적용된 셀프뱅킹서비스인 ‘디지털 키오스크’(Digital Kiosk)를 선보이면서 여기에 본인확인 수단으로 손바닥 정맥 인식을 최초로 적용했다. 오는 3월쯤 모바일은행 서비스를 선보이는 부산은행도 FIDO(Fast Identity Online)플랫폼에 기반한 지문인식을 적용할 계획이다.

하지만 이같은 혁신적인 내용의 생체보안 시스템을 경쟁적으로 선보이는 이면에 금융권 내부에선 고충을 호소하는 목소리도 커지고 있다.

이유는 크게 두 가지다. 하나는 금융회사가 생체인증 이외의 강력한 대체 보안수단도 동시에 마련해야한다는 것이다.

일반인들의 생각엔 보안성이 높은 ‘생체인증’을 도입하면 모든 보안문제가 일시에 해결될 것으로 생각하지만 정작 금융회사의 보안 IT담당자들은 이에 동의하지 않는다.

현실적으로 공인인증서를 병행하는게 가장 안전하지만 공인인증서를 고집하는 것은 시대 조류에 역행하는 행위로 인식되기 때문에 그외의 대체 수단을 찾을 수 밖에 없다.

다른 또 하나는 금융 생체인증 표준 가이드라인이 아직 나오지 않은 상태에서 금융회사간 생체인증 도입이 경쟁적으로 진행되다보니 추후 이를 통합하기위한 사회적 비용이 점차 늘어나고 있다는 점이다. 결과적으로 아직 뚜렷하게 성과가 나타나고 있지 않은 생체인식 기반 스마트금융 서비스에 과도한 에너지가 투입되고 있다는 지적이다.

◆“생체인증이 만병통치약인줄 알아”... 가중되는 보안 스트레스 = 지난 2일 KEB하나은행은 자사의 스마트폰뱅킹(1Q bank)에서 공인인증서 없이 계좌이체까지 가능한 FIDO기반의 ‘지문인증 서비스’를 선보였다.

그런데 자세히 들여다보면 KEB하나은행이 이날 공개한 지문인식 시스템에는 다른 은행들에서 보지 못한 보안수단들이 몇개 더 추가됐다.

KEB하나은행은 고객이 스마트폰뱅킹 이용이 지문정보를 통해 등록, 접속하면 이 정보를 별도의 보안 키값으로 전환시켜 보안서버에 관리하도록 했다. 즉, FIDO를 통한 생체인증 방식과 별개로 또 하나의 보안값을 추출해 이중으로 관리하는 것이다. 지문을 통한 본인인증 프로세스도 논리적으로 뚫릴 수 있다는 상황을 가정했기때문이다.

지나친 기우라고 생각할 수 있겠지만 꼭 그렇지만도 않다. 실제로 현재 은행권이 적용하고 있는 FIDO기반의 지문인식서비스의 작동 프로세스는 논리적으로 해킹위협에 노출될 위험이 존재하기 때문이다.

현재 국내 모바일뱅킹서비스에서 적용되는 FIDO기반의 지문인식 프로세스에서 은행은 고객의 지문인식 정보 자체를 가지고 있지 않고, 본인확인 프로세스 과정에 개입할 수도 없다.

고객이 자신의 지문 정보를 스마트폰 구입시 등록하고, 추후 모바일뱅킹 이용에 앞서 스마트폰 생체인식 본인인증 앱을 실행시켜 본인임을 확인할 뿐이다.

고객 본인과 스마트폰 앱상에서의 본인확인 프로세스가 완료된 이후에 비로소 금융거래가 샐행되는 구조다. 지문인증의 역할은 고객이 본인 스마트폰에 설정된 암호를 푸는 정도의 역할에 그치고 있는 셈이다.

따라서 만약 누군가가 A 고객의 은행계좌번호를 훔쳐 A고객 이름의 대포폰을 개설한뒤 지문인증 및 본인확인을 거친다면 해킹 위험에 노출될 수 있는 논리가 성립한다. 여러 개의 가정이 결합됐기때문에 현실에서 발생할 가능성은 크게 낮지만 어쨌든 이러한 위험때문에 은행 보안 IT담당자들은 생체인증 이외의 보완 수단을 짜낼 수 밖에 없다.

아울러 KEB하나은행은 이번 지문인증을 도입하면서 국내 은행권에선 처음으로 실물 없이 휴대폰 보안영역에서 작동하는 T-OTP 서비스도 추가했다.

T-OTP(Trust zone – One Time Password)는 스마트폰 내에 존재하는 보안영역에서 일회용 비밀번호를 생성해주는 OTP로 하드웨어 기반 최상급 보안서비스로 평가된다. 고객이 기존 실물 OTP를 가지고 다니는 번거로움을 해소하기위한 편의성 차원에서 이를 개발했지만 보안 강화의 목적도 동시에 깔려있다. 결과적으로 KEB하나은행은 지문인증을 도입하면서 이중 삼중의 보안수단을 확보한 셈이다.

생체인증이 가지는 고도의 보안성은 의심하지 않지만 은행이 고객의 생체정보를 직접 보관하고 관리, 운영하는 프로세스가 정립되지 않으면 이같은 대체 보안수단에 대한 개발 스트레스는 항상 뒤따를 수 밖에 없다는 지적이다.

한편으론 금융거래시 개인 생체정보의 정합성을 확인할 수 없는데 따른 구조적인 한계도 노출되고 있다는 지적도 나오고 있다.

신한은행의 ‘디지털 키오스크’를 보면, 신규 고객이 자신의 신분증을 키오스크를 통해 은행 콜센터로 전송한뒤 콜센터 담당자와 고객이 화상통화를 통해 본인 확인하는 절차를 거친다.

이 절차를 통해 콜센터 담당자는 위조된 신분증인지의 여부 등을 확인하게된다. 이상이 없다고 판단되면 은행 담당자는 신규 등록을 승인하고, 이후 고객은 절차에 따라 손바닥 정맥 정보 등록 절차를 하게된다.

문제는 화상상담을 통한 본인확인 과정에서 먼저 인식오류가 발생해버리면, 이후 등록되는 고객의 생체정보는 사실상 의미가 없게된다는 점이다. 누군가가 불순한 의도로 정교하게 위조된 신분증으로 화상상담을 통해 본인확인 과정을 통과하면 이 과정에서 등록된 생체인증정보도 결과적으로 허위의 정보가 되는 것이다.

◆아직 정비되지 않은 생체인증 표준화 = 지금까지 국내 은행권에서 선보인 생체기반 서비스는 종류에 비해서 아직 사용자가 많지는 않다.

은행 고객은 생체인증을 당장 선택하지 않더라도 공인인증서와 비밀번호, ID/PW 로그인, OTP(일회용 비밀번호생성기) 등 다양한 보안수단을 선택해서 사용할 수 있는데다 지난해부터 허용된 비대면본인확인방식도 신분증을 스캔해서 보내거나 타계좌 확인 등 복수의 방법으로 인증이 가능하다.

표준안이 정해지지않은 상황에서 고객의 생체 데이터가 관리되는 상황이 이어지고 있다. 만약 홍채인증 ATM을 도입한 우리은행과 기업은행에 고객이 동시에 거래하고 있다면, 이 고객은 각각의 생체정보를 등록해야만 한다.

또 각각 거래 은행에 생체정보를 등록했다 하더라도 두 은행간 금융거래가 원할할지도 미지수다. 두 은행이 고객 생체 정보의 정합성을 확인하는 별도의 후속 작업이 필요하기 때문이다. 결국 지금의 방식으로는 개별 은행들이 각각의 고객 데이터를 쌓아두는 것에 불과한 상황이다.

물론 생체정보 기반의 금융서비스를 시작한 은행들은 현재 지문, 홍채, 정맥 등 자사가 축적한 생체정보를 별도 서버에 분리하고, 안전하게 관리하고 있다. 관리의 문제점은 없다.

하지만 궁극적으로 이 데이터가 향후 은행권 전체의 온라인 지급결제에 사용되기 위해선 대규모 표준화 작업이 불가피하다.

현재 금융결제원을 중심으로 금융 생체정보 관리를 위한 표준 가이드라인이 만들어지고 있는 단계다. 금결원의 가이드라인은 당초 지난해말까지 선보일 예정이었으나 현재는 올해 상반기 정도로 늦춰진 상황이다.

한 시중 은행 관계자는 “생체인증 표준 가이드라인이 나온 이후에 은행들이 서비스 경쟁에 나서도 늦지않은데 쫓기듯이 너무 서두르고 있다”고 불편한 속내를 드러냈다.

금융 생체인증 프로세스가 완전히 정립될때까지 좀 천천히 가야한다는 ‘속도 조절론’에 대한 요구가 커지는 분위기다.

<박기록 기자>rock@ddaily.co.kr