모바일뱅킹 인증을 둘러싼 보안 신뢰성이 다시 도마에 올랐다. 얼굴인증을 로그인 수단으로 활용해 온 은행권에서 관련 서비스를 멈추고, 인증 체계 전반을 점검하는 움직임이 이어지고 있다.

◆ 우리·하나은행, 얼굴인증 선제 점검

29일 은행권에 따르면 우리은행과 하나은행이 모바일뱅킹 앱에서 제공해 온 얼굴인증 서비스를 일시 중단했다. 두 은행은 모두 보안 사고나 기술적 결함 때문은 아니라고 선을 그으면서, 얼굴인증 시스템 전반에 대한 점검과 보안 강화를 위한 선제적 조치라고 밝혔다.

우리은행은 지난 19일 공지에서 “얼굴인증 서비스 전반에 대한 시스템 점검으로 해당 서비스 일시 중단한다”며 “이번 점검은 보안 수준 강화를 위한 조치로, 점검 완료 후에는 더욱 안정적이고 고도화된 서비스로 제공될 예정”이라고 밝혔다. 

다만 해당 서비스는 도입 이후 보안 사고 없이 운영돼 왔으며, 공인된 보안 검증을 완료한 솔루션을 적용해 왔다고 설명했다. 같은 날 하나은행도 공지사항을 통해 하나원큐 앱의 얼굴인증 서비스를 일시 중단한다고 밝혔다.

하나은행은 "최근 언론 보도와 관련해 안심하고 금융 서비스를 이용할 수 있도록 얼굴인증 시스템 전반에 대한 선제적 점검과 추가 보안 강화를 진행하고자 한다”며 “2020년 도입 이후 현재까지 보안사고 없이 안정적으로 운영돼 왔으며 공인 인증기관의 보안 평가를 통과한 기술을 적용해 왔다”고 강조했다. 

◆ ‘첫 관문’ 로그인 인증 보안 재점검

우리·하나은행 모두 중단 기간에는 간편비밀번호와 지문 인증 등 다른 인증 수단을 통해 은행 앱을 이용할 수 있다. 이번에 중단된 얼굴인증 서비스는 이체나 송금 등 거래 단계가 아닌, 모바일뱅킹 로그인 단계에 적용되는 인증 수단이다. 계좌 개설이나 본인 확인을 위한 안면인식과는 다른 인증 수단인 셈이다.

최근 금융권 안팎에서는 얼굴인증 등 생체인증 기술이 로그인 단계에서 실제 사용자와 이미지·영상 등을 충분히 구분할 수 있는지에 대한 문제 제기가 이어지고 있다. 로그인 단계에 적용되는 얼굴인증은 거래 인증 이전의 ‘첫 관문’에 해당한다.

따라서 판별 정확도가 떨어질 경우 금융 정보 노출로 이어질 수 있어, 보안 완성도에 대한 점검 필요성이 제기돼 왔다. 은행들은 이체 단계에서 추가 인증 절차가 적용된다는 점을 강조하고 있다.

하지만 로그인 성공만으로도 민감한 정보가 노출될 수 있는 구조라는 점에서 로그인 단계 보안에 대한 이용자 우려도 적지 않았다. 이번 얼굴인증 서비스 중단 역시 이러한 문제 제기와 이용자 불안을 고려해, 로그인 단계 인증 체계를 재점검하려는 조치로 해석된다.

◆ "눈 깜빡임 등 탐지 적용 가능"

이와 관련해 얼굴인증 기술의 적용 환경과 한계에 대한 전문가 설명도 나온다. 박기웅 세종대 정보보호학과 교수는 “일반적으로 얼굴인증에는 사진이나 영상 여부를 판별하기 위한 라이브니스 탐지나 입체 인식 기술이 적용돼야 한다”고 말했다. 

이어 “아이폰의 경우 ToF(Time of Flight) 카메라가 탑재돼 있어 속이기 어렵지만, 일부 스마트폰은 제약이 있다”고 설명했다. 다만 그는 "은행 앱은 모든 스마트폰을 수용해야 하는 특성상 기술 적용에 한계가 있는 것은 사실이지만, 그렇다고 반드시 해결이 불가능한 문제는 아니다”고 강조했다.

눈 깜빡임이나 화면 색 변화에 따른 반사 이미지를 분석하는 방식 등을 통해 충분히 적용할 수 있었을 것이란 게 박기웅 교수의 지적이다. 얼굴인식 기반 인증 서비스는 모바일뱅킹을 중심으로 금융권 전반에서 빠르게 확산되고 있다.

비밀번호 입력 부담을 줄이고 접근성을 높일 수 있다는 점에서 비대면 금융의 핵심 인증 수단으로 자리 잡았지만, 그만큼 로그인 단계에서의 보안 완성도를 어떻게 끌어올릴 것인지가 중요한 과제로 떠오르고 있다.