모바일결제보안동향및시사점 7) 1. 개요 최근애플이신제품출시와함께 애플페이 (Apple pay) 라는모바일결제서비스를발표했고, 국내에서도최대의모바일메신저기업인다음카카오가모바일결제서비스 카카오페이 를출시하면서모바일결제서비스에대한관심과시장성장에대한기대감이확산되고있다. 이미온라인전문결제대행업체 (PG) 들이존재하고있는상황에서인터넷플랫폼업체, 통신사, 카드사등다수의기업들이모바일결제서비스진출이지속적으로증가하는추세이다. 각업체들은시장을선도하기위해경쟁적으로다양한방법과기술을도입하며결제프로세스를간소화하고있다. 이러한사용의편리성이확대됨에도불구하고해킹, 개인정보유출등의보안위협은여전히증가하고있어서모바일결제시장의확대에가장큰장애요인으로작용하고있다. 따라서향후모바일결제시장이활성화되기위해서는보안문제해결이가장핵심적인요소중하나일것이다. 이에본고에서는모바일결제패러다임변화에대해살펴보고각주요업체의보안방법, 국내외규제동향등모바일결제보안현황에대해관련시사점을도출하고
모바일결제보안동향및시사점 자한다. 2. 모바일결제패러다임변화 (1) 모바일결제시장급성장 Gartner(2013. 5) 에따르면모바일결제시장규모는 2012 년 1,631 억달러에서 2017 년까지연평균 35% 씩성장한 7,214 억달러에육박할것으로전망하고있다. ( 단위 : 백만달러 ) 자료 : Gartner(2013. 5. 15) 이와같이전세계적으로모바일결제시장이계속해서성장하는추세에따라국내에서도스마트폰을이용하는모바일뱅킹이용건수비중이 45.5% 로, 꾸준히증가하는추세를보이며온라인기반의결제에서모바일기반의결제로변화되는양상을보이고있다.
( 일평균, 이용건수기준 ) 자료 : 한국은행 (2014. 8. 19) (2) 결제대행업체 (PG) 중심에서인터넷플랫폼업체로경쟁확대 초기의모바일결제시장은 2000년대초, 중반에미국과중국의최대전자상거래업체사이트인이베이와타오바오에기반을둔페이팔 (PayPal) 과알리페이 (Alipay) 와같은 PG전문업체 1) 가시장에진출해현재까지시장을선도하고있다. 2010년대들어서는 2011년구글의구글월렛 (google wallet) 을비롯하여 2014년하반기출시발표한애플의애플페이 (Apple pay) 와국내업체카카오의카카오페이 (Kakao pay), 상용화를앞두고있는페이스북등인터넷플랫폼업체들이진출하면서새로운강자로떠오르고있다. 이와더불어이동통신사, 유통업체등다양한업종의기업이모바일결제시장에진출했거나진출할예정으로다양한기업들이모바일결제시장에서경쟁하고있다. 더불어제공되는금융서비스영역도모바일결제뿐만아니라송금서비스및토털금융서비스로확대되고있다. 1) PG(Payment Gateway): 신용카드가맹점의일종으로서인터넷사업자를위해결제업무를대행하 여주는전자지급결제대행업체
모바일결제보안동향및시사점 업종업체 ( 서비스명 ) 주요내용 구글구글월렛전자지갑서비스, e 메일기반송금서비스 플랫폼통신사전자상거래 해외국내해외국내해외 애플 애플페이 전자지갑결제서비스 페이스북 미정 전자화폐서비스 ( 예정 ) 텐센트 텐페이 온 / 오프라인결제서비스 다음카카오 카카오페이 온라인결제서비스, 송금서비스 네이버 라인페이 온라인결제서비스, 충전기능 ( 일본 ) verizon ISIS 온 / 오프라인결제서비스 Safaricom M-페샤 온 / 오프라인결제서비스및전자화폐서비스 SKT 스마트월렛 전자지갑서비스 KT 모카월렛 전자지갑서비스 LG U+ 페이나우플러스 온 / 오프라인결제서비스 이베이 페이팔 자사사이트내지급결제서비스 알리바바 알리페이 자사사이트내지급결제서비스및공과금결제서비스, 금융서비스 아마존 아마존페이먼트 자사사이트내지급결제서비스 국내 - - - 카드사 해외 국내 비자 페이웨이브 온 / 오프라인결제서비스 마스터카드 페이패스 온 / 오프라인결제서비스 하나 SK 카드 모비박스 전자지갑서비스 신한카드 스마트월렛 전자지갑서비스 삼성카드 엠 (M) 포켓 전자지갑서비스 KB국민카드 와이즈월렛 전자지갑서비스 자료 : 기사자료정리 (3) 결제프로세스단순화 최근인터넷플랫폼업들이모바일결제시장에진출하면서가장대표적으로내세우 는강점이바로결제프로세스의단순화이다. 과거의모바일결제프로세스는카드정
보를매번입력해야하는번거로움과공인인증서실행, 비밀번호입력등결제프로세스가매우복잡해사용자의편리성이크게저해되었다. 최근의플랫폼업체들은이러한모바일결제의단점을해소하고자사의서비스를사용하도록유도하기위해경쟁적으로다양한방식과기술을도입하며결제프로세스를간소화하고있다. 카카오페이의경우결제수단에서카카오페이를선택하고결제카드선택후결제비밀번호만입력하면결제가완료되고, 애플페이의경우오프라인에서는 NFC 단말에휴대폰을근접시키고, 온라인에서는등록된카드를선택한후 Touch ID를이용한지문인식단계를거치면바로결제가완료된다. 자료 : 조선비즈 (2014. 9. 15), KISDI 재구성
모바일결제보안동향및시사점 3. 모바일결제보안현황 (1) 소비자 스마트폰의대중화로인하여모바일결제시장환경은 PC기반의온라인위주에서모바일기기를이용해온라인뿐만아니라오프라인까지시장이확대되고있다. 모바일에서의데이터보안은 PC에비해더취약함에도불구하고더욱편리한모바일사용을더우선시하는경향으로인하여보안위협은더욱증대되는상황이다. 국내에서는대표적으로 2014년 5월, 삼성카드의모바일카드인삼성앱카드의부정거래사용사고가발생하여 300여건의부정거래를통해 6,000만원의피해가발생하였다. 2) 사용자들은이러한사고발생가능성으로인해 카드정보를휴대전화에보관하는것이불안하다 및 해킹이걱정된다 는점을각각 59.5%, 56.0% 로선택하여보안상의이유로모바일결제서비스사용을꺼리고있음을알수있다. 이와같이모바일결제시장이더욱성장하기위해서는보안이무엇보다도중요한요인임을알수있다. 자료 : 한국방송통신전파진흥원 (2013. 8. 30) 2) 내일신문 (2014. 5. 14), 금감원, 삼성카드앱카드사고검사.
(2) 주요사업자동향 2014년현재 203개국 1억 5천만명의이용자를보유하고있는페이팔 (PayPal) 은전문 PG업체로서, 미국최대전자상거래기업인이베이 (ebay) 의전자결제시스템을위해인수되어운영되고있다. 페이팔은구매자와판매자사이에임시계좌를개설함으로서구매자가송금하는자금을임시계좌에일시적으로보관하고, 물품배송이확인되면판매자에게지불하는방식인에스크로 (Escrow) 방식을사용함으로써사고가발생하더라도사용자의계좌가직접탈취당할확률을낮추고있다. 또한글로벌카드사 에서설립한 PCI-DSS 3) 인증을통해기본적인보안성을확보하였다. 이와더불어미 국최대전자상거래기업인이베이의거대한사용자수와이들의거래정보를바탕으 로장기간구축된빅데이터를활용하여이상거래탐지시스템 (FDS) 을운영하여, 정 보유출및사고를실시간으로감시한다. 2011년구글에서출시한구글월렛 (google wallet) 은플랫폼업체로는최초로모바일결제시장에진출하였다. 그러나서비스개시후 2013년까지도앱결제건수가 1,000만건에못미치는등 4) 부진한결과를보여주고있다. 이는이동통신사와같은주요협력사수의저조함과경쟁사증가에기인하고있지만가장결정적인문제는보안문제에있었다. 구글은마스터카드의 Mobile PayPass 기술을사용하여모든금융데이터를암호화시켰으며, 거래에따른정보는모두보안처리되어보안영역 (Secure Element) 에저장되도록하였다. 기본적으로는결제시개인식별번호인 PIN(personal identification number) 번호를입력하는방식을통해본인인증및보안문제를해결 3) PCI-DSS(Payment Card Industry Data Security Standard): 카드정보해킹및도난 / 분실사고로부터고객의신용카드정보유출을막기위해비자, 마스타카드, 아메리칸익스프레스, JCB 등글로벌신용카드사에서만든데이터보안표준인증 4) Strabase Google Wallet, 모바일결제시장공략에어려움토로... 결제성사될수록오히려손해.
모바일결제보안동향및시사점 하고자하였다. 그러나핀번호의해킹위험과함께, 선불카드이용시정보를삭제하더라도개인정보가그대로남아있다는보안취약점이나타났다. 또한구글월렛사용자들이단말을분실한경우다른이용자가기존사용자계정정보로결제서비스를활용할수있다는사실이알려짐으로써구글월렛서비스를일시중단한뒤, 결제정보를클라우드에저장하는방식으로전환하여다시출시하였다. 현재까지구글월렛은계속해서시장을선점하고자노력중이다. 2014 년 10 월 20 일에서비스를시작한애플의애플페이 (Apple pay) 는개시한지 72 시간만에이용횟수가 100 만건이넘어서면서 5) 빠른속도로성장하고있다. 애플페이 는아이폰5s부터도입한 Touch ID 라는지문인식센서를통한생체인증방식을애플페이에도적용하였다. 여기에신용카드번호등중요한데이터를무의미한문자나열로변환시키는토큰화기술을사용하고, 결제과정에서는일회성코드가무작위로생성돼전송함으로써데이터가유출되더라도사용할수없도록보안을강화했다. 여기에아이폰내에별도로탑재된보안메모리칩셋인 보안영역 (Secure element) 을통해저장하는방식을사용하였다. 이를통해카드정보가유출되는상황이발생하더라도데이터는랜덤화된무의미한문자나열이므로사용할수없도록하였다. 국내에서는 2014년 9월다음카카오 (daumkakao) 가자사의플랫폼을기반으로한모바일결제서비스인 카카오페이 를발표했다. 해외와는달리국내에서는이용자 PC에공인인증서를비롯한 Active-X나플러그인방식으로보안프로그램 6) 을설치하여이용자를보호하고자하였으나, 이러한방식에사용자들이불편함을느낌으로써해외와유사한방식으로시스템을구축하기위해정부부처가규제를완화하는과정에서카카오페이가출시되었다. 카카오페이는 LG CNS와제휴를맺고, 금융감독원의 5) 아이뉴스 24 (2014. 10. 28), 애플페이, 사흘만에이용횟수 100 만건돌파. 6) 공인인증프로그램, End-to-End(E2E) 보안프로그램, 키보드보안프로그램
보안 가 군인증을받은엠페이 (Mpay) 보안방식을이용하였다. 엠페이 (Mpay) 는결제시필요한카드정보를암호화하여사용자의스마트폰과 LG CNS 데이터센터에각각분리하여저장하는방식으로, 정보유출이발생할경우에도사용자의완전한정보를알수없도록하였다. 또한전화번호변경, 분실및기기변경에따른단말기교체, 결제비밀번호 5회이상오류시모두계정초기화되도록하였다. 현재는카카오톡 선물하기 라는모바일결제서비스에한정적으로사용되고있으며이와는별도로송금서비스인 뱅크월렛카카오 를제공할계획을발표하였다. 업체서비스명인증및보안방식 이베이 구글 애플 페이팔 (PayPal) 구글월렛 (google wallet) 애플페이 (Apple pay) - 에스크로 (Escrow) 방식 - PCI-DSS - 이상거래탐지시스템 (FDS) - PIN(personal identification number) - MasterCard의 Mobile PayPass기술 - 보안영역 (Secure Element) - Touch ID( 정전식지문센서 ) - 토큰화기술 - 보안영역 (Secure element) 다음카카오카카오페이 (Kakao pay) - 엠페이 (Mpay) 보안방식 (3) 국내외규제동향 해외에서는보안관련정책을개별업체들이자국의가이드라인을참고하여자율적으로보안방식을수립하도록유도하는자율규제원칙을세우고있다. 미국과영국등해외선진국에서는 2000년대초중반부터온라인및모바일보안관련가이드라인을제공해왔으며, 이후싱가포르, 독일, 호주등도 2000년대후반에대부분의가이드라인을제공하고있다.
모바일결제보안동향및시사점 국가년도가이드라인명주요내용 영국 2003 년 SYSC 핸드북 안전한인터넷뱅킹서비스의제공을위해 IT 시스템의 리스크관리와정보보안을요구 미국 2005 년 전자금융리스크관리원칙인터넷뱅킹환경의인증가이드라인 금융기관은전자금융리스크관리지침의권고에따라자율적으로전자금융거래관련의 7가지보안사항을적용가능위험평가, 고위험거래를위한고객인증, 계층형보안프로그램, 인증기술효과, 고객인식교육등을다루며, 특정기술을강제하지말아야할것을권고 싱가포르 2008 년 인터넷뱅킹과리스크 관리가이드라인 인터넷뱅킹을포함한금융시스템을위한리스크관리와 보안통제를위탁하는최상의업무개요설명 독일 2009 년 인터넷뱅킹 보안가이드 인터넷뱅킹의보안요구사항으로 SSL 사용, 인증서검증, 비밀번호사용, OS 버전최신화, 신뢰프로그램사용, 인터넷및이메일을통한금융사기조심등을권고 호주 2010 년 자료 : 금융보안연구원 건전성 실무지침 가이드내용을참고하여이를기준점으로삼을수있고, 법률에관한전문적인조언을얻는데활용하도록장려 개별모바일결제서비스업체들은이러한가이드라인에따라다른방식의보안방식및기술을사용하고있으나, 정보유출과같은사고가발생하였을경우에따른책임분담기준을마련하여운영중이다. 특히, 정보보안에대한책임소재는각업체가지게되므로업체들은정보유출및사고를막기위해적극적으로보안위협에따른대책을마련하고있다. 국내에서는해외주요국과달리정부주도형으로금융위원회가인터넷및모바일금융관련보안정책을수립해운영하고있다. 국내에서본격적으로인터넷결제에대한보안방안을수립하게된시기는 2012년 11월비씨 국민카드온라인부정결제사고가발생하면서부터이며, 이후온라인결제보안강화를위한관계기관합동대응팀
구성, 운영계획이발표되었다. 이사건을계기로모바일을통한온라인결제보안강화방안도함께추진되면서 2013년 4월 온라인결제보안강화종합대책마련 을통해모바일결제서비스인증강화및공인인증서발급절차강화등의대책을마련하였다. 그러나 2014년전세계적으로모바일결제시장이급성장하고있음에도불구하고국내모바일결제시장은공인인증서의무사용, Active-X 등의장애요인으로인해성장이제한되면서이를해소하기위해규제완화정책이다수발표되었다. 14년 4월온라인카드결제시공인인증서의무사용이폐지되었으며, 14년 9월에는 Active-X 사용을제한하고 Non-active-X 방식의공인인증서기술을개발해보급하기로했다. 또한금융위원회는 2014년 8월 여전업감독규정 을개정함으로써 PG업체가저장한카드정보에대한유출사고발생시 PG사가책임을부담하도록규정하고, 이를통해보안강화를유도함으로써직접규제에서간접규제로변화하고있다. 발표시기정책명주요내용 12 년 12 월 13 년 4 월 14 년 4 월 온라인결제보안강화를위한관계기관합동대응팀구성 운영온라인결제보안강화종합대책마련온라인카드결제시공인인증서의무사용폐지추진 12년 11월에발생한비씨 국민카드온라인부정결제사고를계기로온라인결제보안강화를위한관계기관합동대응팀구성, 운영계획발표비씨 국민카드온라인부정결제사고및일반적인모바일금융거래의보안위협의증가함에따라모바일을통한온라인결제보안강화방안을함께추진전자상거래시공인인증서등을의무적으로사용하도록하는 전자금융감독규정시행세칙 을개정하여공인인증서의무사용폐지발표 14년 7월 전자상거래결제간편화방안 14년 9월 전자상거래결제간편화및 Active-X해결방안 자료 : 각년도금융위원회보도자료참고 공인인증서이외에문제점을해소함으로써국내전자상거래시장에서결제간편화를더욱촉진시키기위한개선방안마련해외에비해간편결제서비스가불편하다는지적이계속됨에따라소비자불편사례및제약요인을분석하여여전업감독규정개정등의해결방안제시
모바일결제보안동향및시사점 4. 결어 지금까지모바일결제의패러다임변화와소비자, 기업, 정부측면에서의보안현황에대해살펴보았다. 스마트기기확산에따라모바일생태계에대한영향력이커지면서다수의기업들이모바일금융시장에진입하고있다. 금융거래형태도단순한결제대행서비스에서벗어나송금, 대출, 투자중개, 보험등전체금융분야로시장이확대되고있는추세이다. 이렇게다수의기업이모바일결제서비스제공하고, 모바일결제의프로세스가간소화됨에따라다수의소비자들이모바일결제를활용하면서시장이급속도로성장하고있다. 그러나여전히해킹, 개인정보유출등의사건사고가끊이지않고있으며, 이로인해소비자입장에서모바일결제에대한보안위협및정보유출에대한불안감이매우큰장애요인으로잠재해있다. 따라서향후모바일결제시장활성화를위한모바일결제보안시스템이제대로작동하기위해서는정부, 기업, 소비자가연합해자신의역할을수행해야만이루어질수있다. 우선, 정부측면에서는정부주도형직접규제방식에서벗어나민간주도형의간접규제방식으로전환해야한다. 과거은행중심으로하는오프라인금융과달리온라인금융의경우각업체마다보안수준과기술이다르기때문에정부에서모든기준을마련할수없으므로정부에서는모바일결제보안에대한최소한의기술수준을가이드라인으로제공하고, 특히, 보안문제발생시명확한책임소재와피해보상에대한기준을강화해야할것이다. 둘째, 기업측면에서는고차원적인보안기술강화를위해노력해야한다. 애플의 Touch ID에대한해킹사례가존재하고, 구글의구글월렛의경우에도보안취약점과함께서비스를중단한경험이있다. 따라서기업에서결제시스템의간소화만을추구할것이아니라더고차원의보안기술개발과해킹방지프로그램개발등을통해보안을강화해야할것이다. 셋째, 소비자에대한모바일보안인식강화가요구된다. 모바일결제시자신의개
인정보가유출되지않도록비밀번호등개인정보를폰에저장하지않아야하며, 각종해킹프로그램이폰에저장되지않도록잘모르는문자나사이트에대한링크를실행하지않도록조심해야할것이다. 이러한참여자의노력이지속적으로수행된다면향후에는모바일결제에대한신뢰가확대되면서모바일결제시장이더욱활성화될것으로예상된다. 참고문헌 금융보안연구원 (2012. 11. 20), 전자금융정책및감독선진화를위한주요국사례분석. 금융위원회 (2012. 12. 6), 온라인결제보안강화를위한관계기관합동대응팀구성 운영. 금융위원회 (2013. 4. 9), 온라인결제보안강화종합대책마련. 금융위원회 (2014. 4. 3), 온라인카드결제시공인인증서의무사용폐지추진. 금융위원회 (2014. 7. 28), 전자상거래결제간편화방안. 금융위원회 (2014. 9. 23), 전자상거래결제간편화및 Active-X해결방안. 내일신문 (2014. 5. 14), 금감원, 삼성카드앱카드사고검사. 아이뉴스24 (2014. 10. 28), 애플페이, 사흘만에이용횟수 100만건돌파. 조선비즈 (2014. 9. 15), 美 中, 스마트폰결제시장주도 한국은걸음마. 한국방송통신전파진흥원 (2013. 8. 30), 모바일결제와전자지갑서비스이용행태조사. 한국은행 (2014. 8. 19), 2014년 2/4분기국내인터넷뱅킹서비스이용현황. KDB산업은행 (2014. 7. 17). 해외 ICT 업계의금융업진출현황. Gartner (2013. 6. 4). Gartner Says Worldwide Mobile Payment Transaction Value to Surpass $235 Billion in 2013. Gartner (2013. 5. 15). Forecast: Mobile Payment, Worldwide, 2013 Update.