조현준 핀크 대표, 철저한 비대면 실명확인으로 사기 방지를 [안심 디지털 세상 ⑫]

필자는 지난 9.23일 기고에서, 신분증을 도용하는 방법으로 알뜰폰을 개통할 수 있고, 도용한 신분증과 알뜰폰을 이용해 신용카드까지도 발급받을 수 있음을 설명한 바 있다.

또한 타인의 신분증 사진에서 얼굴 사진을 사기꾼의 사진으로 대체하는 위조 방법으로, 신분증 사진 제시와 본인 명의 휴대폰 소지 검증, 그리고, 영상통화 검증까지 통과할 수 있어, 타인 명의 계좌를 비대면으로 개설할 수 있다는 점을 설명했다.

이 같은 비대면 실명확인의 허점을 이용한 사기 피해는 인지능력이 약한 사람들을 대상으로 할 것 같지만 실제 사례를 보면 꼭 그렇지는 않은 것을 알 수 있다.

작년 10월 16일부터 3일간 A사 B모(65) 전 회장 주식계좌에서 25억 상당 A사 주식이 매도되었다. 그런데 B 회장은 그 시기에 수감 중이었다고 한다. 수감 중에 어떻게 주식거래가 가능했을까? 다행히 A사에서 이 사실을 인지해 모든 계좌에 지급 정지를 걸어 매도 대금 인출은 방지할 수 있었다.

또, 올해 2월에는 또 다른 대기업 C사 D 회장이 25년 전 사용하던 신분증 사진을 누군가 도용해 D 회장 명의로 알뜰폰을 개통했고, 그 알뜰폰을 이용해 모 증권사에 D 회장 명의의 신규 계좌가 개설되었으며, 오픈뱅킹을 이용해 D 회장의 다른 보유 계좌들을 모두 찾아냈다.

이틀 뒤 D 회장 법인폰으로 평소 사용하지 않던 웹사이트에서 D 회장 명의의 인증서가 발급됐다는 알림이 잇달아 수신되어, 비서실이 금융 범죄 발생 사실을 인지, 인출을 막을 수 있었다.

비대면 실명확인 프로세스의 허점으로 인한 사기 피해에 대해, 금융기관에도 책임을 묻는 판결들이 최근 나오고 있어, 금융기관들도 이러한 허점의 피해에서 더 이상 자유로울 수 없게 되었다.

C 씨는 휴대폰으로 수신한 문자 청첩장의 링크를 클릭했고, 본인 휴대폰에 저장 중이던 운전면허증 사진과 금융·개인정보를 탈취당했다.

[현조1]또한, 탈취된 정보로 C 씨 명의 신규 폰이 개통되어, 운전면허증 사진 검증과 1원 송금암호 검증, 휴대폰 소지 검증이 모두 통과되며 사기 대출이 발생했다. 서울중앙지법은 올해 5월, 이 사건에 대해 “폰에 신분증 사진을 보관하는 행위는 사회 통념상 과실로 볼 수 없고, 기존 비대면 본인확인 절차의 허점 등을 고려해 보다 엄격한 기준이 적용돼야 한다”라며, 피해자 C 씨가 ㄱ 은행과 ㄴ 은행 및 ㄷ 생명보험을 상대로 제기한 채무부존재 확인 소송에서 원고 승소 판결을 내렸다.

작년 7월 부산지법동부지원도, “신분증 사진으로 신분증 인증이 이뤄진 것은 본인확인 조치 의무가 제대로 이행됐다고 보기 어렵다”며, 계좌를 개설해 준 금융기관에 책임을 지우는 판결을 했고, 작년 5월 서울남부지법도, “명의도용이나 착오 의사표시일 가능성이 높다”며, “금융사가 영업 편의를 위해 절차를 간소화해 발생한 위험”이어서, “책임은 원칙적으로 금융사에 있다”고 판결했다.

현행 비대면 실명확인 프로세스를 유지하면, 갈수록 진화하는 금융사기에 피해가 확대되어 언젠가는 사회문제화될 것이고, 법원은 그 책임을 계속 금융기관에 물을 가능성이 높다.

따라서 금융기관들 입장에서는, 스스로를 보호하기 위해서라도, 현행 비대면 실명확인 방법에서의 허점들을 보완할 필요가 있다.

대부분의 금융기관들이 비대면 실명확인을 위해 ‘실명확인증표 사진 방법’과 ‘영상통화 방법’과 ‘기존 계좌 방법’ 이상 3가지 중 2가지와 ‘휴대폰 번호 방법’을 중첩 사용하고 있는데, ‘실명 확인 증표 사진 방법’과 ‘영상통화 방법’, 휴대폰 방법에 허점이 있음은 지난 기고에서 설명하였다.

그런데 위 3가지 방법 중 나머지 하나인 ‘기존 계좌 방법’에도 허점은 있다.

실명확인증표 사진과 계좌번호를 휴대폰에 저장해 두고 있고, 자신의 계좌에서의 입출금 거래에 대한 휴대폰 문자 알림 서비스를 신청해 둔 사람이 스미싱을 당하면, 해커는 그 피해자의 실명확인증표 사진을 제시할 수 있을 뿐만 아니라, 그 계좌번호를 기존 계좌로 제시한 후 알림서비스에 통해 단문으로 수신되는 1원 송금의 암호도, 계좌 접근권한 없이 탈취할 수 있는 것이다.

다만, 해킹 앱 설치를 해야 하기에, ‘신분증 사진과 영상통화를 조합하는 방법’보다는 ‘신분증 사진과 1원 송금암호를 조합하는 방법’이 조금 더 까다롭기는 하다.

‘실명 확인 증표 사진 방법’을 보완하는 방법으로는, 신분증 발급을 위해 등록한 사진의 특징을 ‘제시된 신분증 사진에 인쇄된 사진의 특징’과 대조하는 방법이 제시되고 있다.

‘영상통화 방법’을 보완하는 방법으로는, 신분증 발급을 위해 등록한 사진의 특징을 ‘영상 통화상의 얼굴 특징’과 대조하는 방법이 제시될 수 있을 것이다.

‘기존 계좌 방법’을 보완하는 방법으로는, 1원 송금 적요를, 실명 확인 신청자가 금융기관에 직접 제시하는 방법’을 지양하고, 그 신청자가 기존 계좌를 개설한 금융기관에 본인인증을 하고 접근하여, 그 1원 송금 적요를 실명 확인이 필요한 금융기관에 전송해 줄 것을 신청하게 하는 방법으로 대체하는 것을 제시할 수 있다. 이 대체 방법을 적용하게 되면, 알림 서비스를 통해 그 1원 송금 적요가 노출되더라도, 기존 계좌를 개설한 금융기관에 등록된 본인인증 매체까지 노출되지 않는 한, 안전하게 될 것이기 때문이다.

[조현준 핀크 대표]