[정경뉴스=강경윤 기자] 우리나라 전자금융거래는 매우 활발하게 이루어지고 있다. 전체 금융거래 중 비대면 거래가 차지하는 비율은 87%를 차지하며 모바일 이용자 중 약 70%가 모바일뱅킹을 이용하고 있다. 뿐만 아니라 국내 경제활동 인구의 90%가 공인인증서를 사용하고 있다. 이는 정부가 전자금융거래 시 공인인증서의 사용을 권장하기 때문이다. 하지만 지난 2월 초 시중 은행들에 보관된 고객 공인인증서 461건이 해킹을 당하면서 온라인 보안문제에 비상등이 켜진 상태다. 이에 대해 정부는 최근 ‘온라인 결제 보안 강화 종합대책’을 발표해 전자금융거래의 보안을 강화하겠다는 방침이다. 일각에서는 공인인증서 자체가 가진 보안상의 허점으로 인해 정부가 내놓은 방침이 근본적인 대책이 아님을 지적한다. 전자금융거래 보안 강화에 대한 보다 근본적인 대책이 절실히 필요한 시점이다.

▲ 금융위원회는 4월 3일 청와대에서 열린 대통령 업무보고에서 금융전산 사고 방지 종합대책의 일환으로 전자금융 인증체계개편을 추진하겠다고 밝혔다.

금융당국, ‘온라인결제 보안강화 종합대책’ 마련
금융위원회는 4월 3일 대통령 업무보고에서 금융전산 사고 방지 종합대책의 일환으로 전자금융 인증체계 개편을 추진하겠다고 밝혔다.

공인인증서를 기반으로 한 현재의 전자금융인증체계 방식을 근본적으로 개편하겠다는 의미다. 이에 따라 금융위원회와 금융감독원은 4월 8일 ‘온라인결제 보안강화 종합대책’을 발표했다.

이는 지난해 11월 2~6일 BC카드와 KB국민카드의 소액결제체계인 안전결제(ISP)와 안심클릭을 이용하는 고객 200여 명의 정보가 무단 유출된 것이 계기가 됐다. 당시 범인들은 해킹한 정보를 불법 결제에 이용해 넥슨 등 온라인 게임 사이트에 1억7000만원의 피해를 입혔다.

종합대책의 주요 내용은 ▲게임 사이트 온라인결제 인증 강화 ▲부정사용방지시스템(FDS) 모니터링 확대 ▲모바일결제서비스 인증 강화 ▲앱 위·변조 방지를 위한 금융 앱스토어 서비스 개설 ▲모바일 단말기 지정 ▲공인인증서 발급 및 이용 안전성 강화 등이다.

금감원 관계자는 “지난해 온라인결제 해킹사건은 결제시스템 자체가 해킹당한 것이 아니라 PC에 침입해 얻은 카드 정보로 부정 결제된 것” 이라며 “본인 인증을 강화해 PC에서 민감한 개인 금융정보가 새나가지 않도록 할 것”이라고 밝혔다.

이번 종합대책을 살펴보면 금융 당국은 해킹을 통한 카드결제 피해가 온라인 게임 사이트에 집중된 점에 착안해 게임 사이트 결제 인증시스템을 강화한다는 방침이다. 이를 통해 5월부터는 온라인 게임 사이트에서 소액결제 시 이제까지 안전결제(ISP) 인증서와 카드번호, 비밀번호등만 필요했던 점과는 달리 온라인 게임 사이트에서 30만원 이상 결제하려면 공인인증서와 휴대전화 인증을 동시에 받아야 한다.

모바일 결제서비스에 대한 인증 강화대책도 마련됐다. 5월부터는 온라인 소액결제와 마찬가지로 스마트폰 등 모바일기기에서 신용카드 온라인 결제를 하려면 공인인증서 인증과 휴대전화 문자인증을 반드시 받아야 한다. 지금까지는 카드번호와 비밀번호 등만 알면 결제를 할 수 있었다.

뿐만 아니라 오는 4분기부터는 이용자가 금융기관에 미리 스마트폰 등을 등록해야만 금융거래를 할 수 있는 ‘모바일 단말기 지정제’를 시작할 예정이다.

금융 당국에 따르면 “온라인 결제 사고 방지를 위해 부정 결제가 빈번하게 발생하는 사이트 거래에서의 본인 인증과 부정 방지 모니터링을 강화하고 모바일상의 본인 인증도 강화했다”는 설명이다.

공인인증서의 태생적 허점, ‘보안 취약’
금융 당국이 온라인 결제 보안을 위해 마련한 이번 조치에 대해 일각에서는 근본 대책으로는 미흡하다는 지적이다. 보안 강화를 위해 공인인증서와 휴대전화 인증을 동시에 받는 등의 방안을 내놓았지만, 공인인증서 자체가 보안에 취약하고 복제가 가능하기 때문이다.

공인인증서는 현재 인터넷뱅킹이나 증권거래, 카드결제, 보험 등 금융거래와 전자정부 등 각종 공공서비스의 신분 확인용으로 쓰이는 일종의 온라인 인감이다. 현재까지 2000만명(중복 제외)이발급받아 사용 중이지만 보안 논란이 계속되고 있다.

실제로 지난 2월 초 금융결제원은 피싱(전자금융 사기) 사이트를 감시하던 중 악성 코드로 자동 수집된 공인인증서 목록을 발견했다. 해커들이 유저 컴퓨터에 악성 코드를 심어 공인인증서 정보를 빼낸 것이다.

국민, 신한, 우리, 하나, 외환, 씨티, 농협 등 주요 은행 고객들이 모두 해킹 대상이었다. 이에 따라 금융결제원은 해커들이 빼간 공인인증서 461건을 발견해 폐기했다. 은행 보안정보가 해킹당한 사례 중 역대 최대 규모였으며, 금융소비자들의 불만은 이만저만이 아니었다.

공인인증서 보안은 취약의 중심에는 악성 코드의 온상으로 꼽히는 ‘액티브X 플러그인’이 있다. 컴퓨터나 스마트폰에 공인인증서를 깔려면 액티브X 플러그인을 설치해야 하는데 해커들이 준동하는 것도 바로 이 공간이기 때문이다.

한국이 ‘피싱의 천국’이 된 것도 공인인증서 때문이라는 지적도 있다. 이민화 벤처기업협회 명예회장은 “다른 나라들은 보안 연결 시 인터넷 브라우저가 제공하는 홈페이지 인증 기능을 사용하고 있다. 그런데 한국은 이 같은 브라우저의 표준 기능을 무시하고 공인인증서라는 별도의 방법을 고집하고 있다”고 말했다.

공인인증서만이 아닌 ‘인증방법의 다양화’ 추구해야
인터넷 자유, 개방, 공유를 지향하는 오픈넷 단체를 통해 ‘오픈넷 운동’을 주도하고 있는 고려대학교 법학전문대학원 김기창 교수도 공인인증서의 보안 취약성에 대한 문제를 지적하고 있다.

김 교수에 따르면 금융위원회는 지난 1999년부터 모든 이체거래와 30만원 이상 결제거래에 공인인증서 사용을 강제해오면서 이용자들에게 보안 경고창이 뜨면 ‘반드시 예’를 누르라고 끈질기게 세뇌해온 결과 한국은 전 세계에서 악성 코드가 전파되기 가장 쉬운 나라 중 하나가 됐다는 설명이다.

그러므로 정부가 공인인증서와 같은 낡고 위험한 보안기술의 사용을 강제하지 말아야 한다는 것이다. 아무리 좋아 보이는 기술도 금방 시대에 뒤지게 되는 것이 보안계의 현실이다. 하지만 강제 규정이 도입되면 기득권자들이 생기고 10년이 넘게 시대가 변해도 그 규정을 폐지하기는 어렵게 된다.

정부가 보안점검을 직접 하겠다는 발상을 버려야 한다는 지적도 덧붙였다. 어느 나라 정부도 보안을 책임져줄 수는 없다는 것. 정부에는 보안점검 서비스를 할 전문성도 없을 뿐 아니라 이런 일을 하겠다고 나설 경우, 진정으로 필요한 전문적이고 상시적인 보안 감사 서비스 시장이 형성될 토양 자체가 아예 없어진다는 것이다.

정부의 본래적 역할을 다시 생각해봐야 할 대목이다. 정부가 해야 할 일은 민간의 전문 보안업체들이 자유롭고 활발하게 경쟁할 수 있도록 시장 환경을 감시함으로써, 경쟁을 통해 더 나은 보안기술이 채택되고 더 높은 수준의 보안 감사 서비스가 실제로 제공될 수 있도록 해야 한다는 주장이다.

한편으로는 온라인 결제 보안 강화를 위해 정부의 전자금융거래 시 공인인증서만이 아닌 ‘인증방법의 다양화’를 해야 한다는 주장도 제기되고 있다. 공인인증서만 강제하지 않고 보다 다양한 인증방법을 허용해야 소비자 선택의 폭이 넓어질 수 있기 때문이다.

뿐만 아니라 금융업계와 보안업계도 경쟁을 통해 더욱 편리하고 안정적인 인증방법을 개발할 수 있을 것이다. 공인인증서만을 중심으로 한 구조를 탈피해야 액티브X에서 벗어날 수 있고, 그랬을 때 전자금융 거래 시 다양한 웹 브라우저 및 OS를 사용할 수 있게 된다.

페이게이트 이동산 이사는 “웹 브라우저와 OS 환경이 다양화되면 보안을 위협하는 공격 대상도 줄어든다”라고 말했다. 이외에 ‘글로벌 표준에 맞는 다양한 공인인증 서비스를 허용해야 한다’라는 견해도 제시됐다.

공인인증서에 ‘주민등록 지문’ 결합도 대안책 해외에서는 전자금융거래 시 공인인증서에다 생체정보, OTP(One Time Password, 무작위 일회용 패스워드) 등 2~3가지 요소를 혼합해 보안에 활용한다. 보안 절차가 늘어나면 늘어날수록 해킹이 어렵기 때문이다.

미국, 프랑스 등 선진국에서도 최근 4~5년간 생체 정보를 공인인증서로 암호화해 저장하는 방식으로 전자주민증을 만들거나 전자여권을 발급하고 있다. 뿐만 아니라 유엔에서도 지문이나 홍채 등 생체정보를 공인인증서로 암호화해 IC칩에 저장하는 ‘유엔 One 스마트 카드’ 제도를 추진 중이다. 우리나라의 경우도 공인인증서에 지문 데이터를 결합하는 방식으로 온라인 보안체계를 강화할 수 있다.

최윤호 유엔 난민기구(UNHCR) 정보보호 총괄책임자(CISO)에 따르면 “한국은 이미 전자서명법 등 지문을 공인인증서와 결합해 사용할 수 있는 조항이 있음에도 전혀 활용하지 못하고 있다”라며 “한국의 주민등록체계는 40년 역사를 자랑한다. 지문 등 국민 생체정보 데이터베이스도 자연스럽게 구축돼 있다. 이 둘만 결합해 보안체계를 구축해도 해커들의 공격을 막을 수 있다”고 강조했다.

앞으로 전자금융거래가 더욱 활성화되는 만큼 모든 국민이 안심하고 이용할 수 있도록 보다 안정적인 보안 강화 정책이 마련되길 기대해본다.

ggangky@mjknews.com

강경윤 기자  ggangky@mjknews.com

<저작권자 © 정경뉴스, 무단 전재 및 재배포 금지>