[인터뷰] 상지형 페이콕 대표 "모바일 포스기 인증 부실…보안 위험"

"두 가지 기준 안 지켜도 운영 가능"

"신뢰 추락 우려…주관 부처 나서야"

상지형 페이콕 대표. ⓒ데일리안

"금융위원회로부터 혁신이라고 인정 받으면 뭘 하나. 주관부처가 보안 인증 기준을 부실하게 적용하면서 금융 사고 위험이 커지고 있다."

상지형 페이콕 대표는 지난 달 29일 데일리안과 만나 스마트폰을 신용카드 단말기로 사용할 수 있는 금융서비스에 대해 이 같이 말했다.

페이콕은 소상공인이 별도 카드 단말기 없이도 스마트폰 앱을 이용해 고객의 카드를 결제하는 서비스 페이콕에어를 운영하고 있다. 관련 법령이 없던 2019년 금융권 규제샌드박스를 통해 서비스를 시범운영하다, 2021년 말 관련 여신전문금융업법 내 보안규정이 개정되면서 안정적으로 서비스를 출시했다.

상 대표에 따르면 스마트폰을 카드 단말기로 사용하기 위해서는 두 가지 보안 기준이 있다. 우선 개인 신용 정보를 암호화하는 초기 암호화 키는 스마트폰 내 별도의 물리적 공간, 이른바 트러스트존(TEE)에 저장토록 한다. 또 복수의 외부 기관에서 거래 처리 과정에 대한 보안 안전성 평가를 받아야 한다.

상 대표는 페이콕의 경우 두 가지 기준을 다 지켜야 한다고 안내 받았지만, 주관 부처인 금융위와 여신전문금융협회가 이 두 기준을 지키지 않은 업체들도 해당 서비스를 운영할 수 있게 하면서 보안사고 위험이 커지고 있다고 주장했다.

그는 "대다수 업체들은 두 번째 기준만 지키고 있는데 단말기 보안의 핵심은 첫 번째 기준"이라며 "특히 초기 암호화키의 경우 신용카드 단말기 정보보호 기술기준에 따르면 단말기 제조 직후 주입돼야 한다고 규정하고 있는 사안인데 대다수 업체들은 이를 지키지 않고 있고 서비스를 운영하고 있다"고 설명했다.

페이콕의 경우 시험기관이 첫 번째 기준을 지켰는지 확인하기 위해 직접 스마트폰 제조사에 함께 방문하는 등 엄격한 잣대로 평가했다는 설명이다. 상 대표는 "시험기관은 페이콕의 초기 암호화 키가 스마트폰 제조 과정에서 주입됐는지 확인하기 위해 삼성에 직접 찾아가 검증했다"며 "다른 업체는 이런 절차를 거치지 않고 서비스를 운영하고 있는 것은 이해하기 어렵다"고 꼬집었다.

애매모호한 기준으로 금융서비스의 보안 사고 위험성은 물론, 새로운 시장에 대한 신뢰가 떨어질 수 있다는 우려다. 상 대표는 "스마트폰 제조 단계부터 초기 암호키가 TEE 내에 저장되지 않으면 언제든 카드 개인정보가 유출되는 보안 사고가 발생할 수 있다"며 "보안 기준을 엄격하게 지키지 않아도 국가가 인증서를 줬으니 보안에 나태한 사고가 만연할 것"이라고 말했다.

상 대표는 보안에 대한 큰 우려가 있는 업체의 경우 다시 보안 인증 절차를 지켜야 한다는 입장이다. 여신협회의 인증 단말기 사후관리에 따르면 중요한 취약점이 발견돼 취약점을 개선한 경우 변경시험을 통해 인증서 효력을 유지하도록 돼 있다.

아울러 최근 애플페이 도입으로 스마트폰을 근거리무선통신(NFC) 단말기로 사용하는 서비스 출시가 많아지고 있는 데 대해 "스마트폰 단말기도 글로벌 EMV 기준에 맞는 높은 기준을 갖춰야 한다는 인식도 확산되고 있다"며 "이런 측면에서 주관 부처가 스마트폰 단말기의 명확하고 엄격한 보안 기준을 세워야 한다"고 강조했다. EMV는 비자, 마스터카드, 유로 페이 등 카드사가 모여 만든 NFC 결제 표준으로, 애플페이는 EMV 컨택리스 방식을 채택한 NFC단말기를 통해 결제가 이뤄진다.