‘띠릭’ 소리에 식은땀… 내 워치가 ‘도둑 열쇠’ 된다면

스마트워치에 생활 인프라 카드를 심은 모습 [사진=챗GPT]

【투데이신문 김효인 기자】 모바일 결제·모바일 신분증 확산으로 ‘지갑 없는 삶’은 현실이 됐다. 하지만 아파트 출입·주차·공공시설·종량제 등 생활 인프라는 여전히 물리카드에 머물러, 이용자들이 임의로 디지털화하는 과정에서 취약한 구조와 맞물린 보안 공백이 우려된다.

1일 본보 취재에 따르면, 스마트워치에 현관 도어락 키부터, 종량제 카드 등 생활형 RFID(Radio Frequency Identification, 전자태그)를 임의로 등록해 사용하는 사례가 온라인 커뮤니티를 중심으로 확산되고 있는 것으로 나타났다.

실제 직장인 이모(34) 씨는 최근 스마트워치에 아파트 출입카드와 음식물 쓰레기 종량제 카드를 등록했다. 그는 “신용카드는 이미 휴대폰 속으로 들어갔는데 아파트 카드만 따로 들고 다니는 것이 번거로웠다”며 “인터넷 커뮤니티에서 방법을 보고 직접 등록했다. 주변에서도 비슷하게 사용하는 사람이 점점 늘고 있다”고 말했다.

최신 스마트 워치로 ‘20년 전 열쇠’ 쓰는 아이러니

문제의 출발점은 RFID카드 상당수가 설계 단계부터 강력한 보안을 전제로 만들어지지 않았다는 점이다. 스마트 기기에 카드를 등록하는 행위는 기술적으로 카드 에뮬레이션이라 불리는데, 기기가 실제 카드처럼 동작하도록 만드는 방식이다. 그러나 이 과정에서 복제되는 정보가 암호화된 인증 데이터가 아니라 단순 식별 번호에 그치는 경우가 적지 않다.

국내 아파트와 상업시설 등에서 널리 사용되는 초기 RFID 카드는 고유 번호만 확인하면 문이 열리는 구조로 설계됐다. 시스템은 카드가 누구의 것인지, 실제 카드인지 여부를 판단하지 않는다. 번호만 일치하면 같은 권한을 가진 존재로 받아들인다. 스마트워치나 스마트폰이 그 번호를 저장하고 있으면 원본 카드와 구분할 방법이 사실상 없다.

보안 업계에서는 이를 ‘기술의 시간차가 만든 취약성’이라고 설명한다. 손목 위에는 최신 스마트 기기가 올라가 있지만, 그 기기가 상호작용하는 인프라는 20년 전 설계에 머물러 있다는 것이다. 

한 보안업계 관계자는 “현재 대부분의 스마트워치에 바코드처럼 해당 기능을 심을 수 있고, 일부 장비의 경우 값싼 복제기나 스마트폰 앱만으로도 식별 번호를 읽어낼 수 있는 실정”이라며 “첨단 기기를 사용하면서도 보안 부분에서는 오히려 과거의 취약한 구조를 재현하고 있다”고 말했다.

중고거래 플랫폼에 올라온 워치 판매글. 생활 인프라 카드를 복사해 등록할 수 있다는 안내가 포함돼 있다 [사진=해당 사이트 캡처]

결제는 1회용 암호, 출입은 ‘번호만 맞으면 OK’

같은 무선 통신을 사용하는 간편결제 서비스는 왜 상대적으로 안전할까. 페이 서비스 등 금융 영역에서는 카드 정보를 그대로 전달하지 않고 매 거래마다 새로운 암호를 생성해 인증하는 방식이 정착돼 있다. 중간에서 정보가 유출되더라도 다시 사용할 수 없도록 설계된 구조다.

반면 생활 인프라는 상황이 다르다. 출입 통제 장치나 종량제 설비에 금융권 수준의 보안 체계를 도입하려면 인증 서버 구축과 네트워크 연결, 장비 교체, 유지보수까지 동반돼야 한다.

이미 수많은 단지와 시설에 설치된 장비를 교체하는 비용과 관리 부담을 고려하면 시스템을 바꿀 동력이 크지 않다는 것이 업계의 설명이다. 건설사와 시설관리업체, 장비 제조사가 분리된 구조 역시 문제로 지적된다. 보안 강화를 주도할 책임 주체가 불명확한 상황에서 기존 방식이 관성처럼 유지되고 있다는 것이다.

결국 금융은 디지털 전환을 통해 보안을 강화했지만, 생활 서비스는 비용과 구조적 한계에 묶여 과거의 인증 방식에 머물러 있는 셈이다. 이 간극이 개인의 편의를 추구하는 행동과 맞물리면서 새로운 위험을 만들어내고 있다.

사고 나면 누가 책임지나…‘편의’의 청구서는 후불

기술적 문제만큼 법적 책임도 복잡하다. 이용자가 임의로 카드를 등록해 쓰는 행위는 공식 절차가 아닌 경우가 많고, 관리규약에는 사고 시 책임을 제한하는 조항이 흔하다.

전문가들은 이를 사설 복제키 사용과 유사하게 볼 수 있어, 보안 사고가 나면 관리 주체가 책임을 회피하고 사용자 과실로 귀결될 가능성이 크다고 본다. 또 스마트기기 하나에 출입·결제 등 권한이 집중되면 분실·해킹 시 피해가 생활 전반으로 번질 수 있다.

한국인공지능법학회장인 최경진 가천대 법학과 교수는 “보안 수준이 낮은 RFID 카드는 복제·이식이 가능할 수 있고, 물리 카드만 허용한 규약이라면 무단 사용은 계약 위반 소지가 있다”며 “정보 유출로 사고가 나면 책임이 사용자에게 돌아갈 수 있다”고 지적했다.

이어 “출입·결제·생활 서비스 정보를 한 기기에 과도하게 집중시키는 것은 분실이나 해킹 시 생활 안전 전반에 영향을 줄 수 있다”며 “편의성만 보고 비공식 방식으로 등록하기보다 위험 분산 관점에서 접근할 필요가 있다”고 부연했다.

개인 주의만으로는 한계가 있어 시스템 차원의 보안 강화가 필요하다는 지적도 나온다. 해외에선 스마트폰 보안 영역을 활용한 모바일 키가 확산되고 있으며, 일부 국가는 신축 단계부터 이를 전제로 인프라를 설계한다.

한 경제학과 교수는 “편의로 가는 흐름을 막기보다는 안전하게 수용할 제도와 인프라가 병행돼야 한다”며 “규격·보안 수준이 제각각인 현실을 고려해 암호화 기반의 공식 디지털 출입 시스템 전환 등 표준 가이드라인 마련이 필요하다”고 말했다.