• Tweet

금융감독원이 ‘스마트폰 전자금융서비스 안전대책’을 발표했다. 스마트폰이 확산되면서 이를 이용한 금융거래도 활발해질 전망이어서 이에 대한 대비책을 마련한 것이다. 하지만 금감원이 발표한 안전대책이 기존 PC 환경에서 구현됐던 내용들을 그대로 스마트폰에 적용해, 새로운 기술과 흐름과는 동떨어진 대책이 아니냐는 우려의 목소리도 나오고 있다.

금감원은 지난해 12월 초 금감원과 금융회사, 금융정보보호전문기관 전문가로 구성된 ‘스마트폰 전자금융서비스 안전대책 마련 태스크포스팀(TFT)’을 운영해왔다. 이번 안전대책은 스마트폰을 이용한 전자금융서비스의 혁신을 지원하면서 예상되는 잠재적인 보안위협으로부터 고객정보를 보호하겠다는 취지에서 마련됐다. 안전하게 스마트폰 기반 전자금융거래를 하도록 적정한 보안기준을 마련하는데 중점을 뒀다는 것이 금감원의 입장이다.

금감원이 제시한 안전대책은 ① 전자금융거래 부문 ② 기술적 침해대응 부문 ③ 취약점 모니터링 부문 등 3개 분야로 나눠 수립됐다.

전자금융거래 부문은 스마트폰 전자금융서비스 가입 시 다단계 가입자 확인을 거치도록 하고 로그인시 사용자 인증을 강화하는 등 서비스 이용단계에서 이용자의 신원확인을 강화했다. PC 인터넷뱅킹의 전자자금이체시 적용하는 거래인증방법과 보안등급별 자금이체한도를 적용함으로써 PC 인터넷뱅킹과 유사한 보안수준 적용한 것.

이와 관련해 금감원의 한 관계자는 “그동안 일반 피처폰에서 제공해 왔던 모바일뱅킹과는 전혀 다른 접근이 필요했다”며 “스마트폰의 경우 PC와 다름없는 기기이기 때문에 기존 PC에서 제공돼 왔던 수준에 맞는 대책을 마련한 것”이라고 밝혔다.

취약점 모니터링도 강화토록 했다. 금감원은 서비스 제공 금융회사가 정보보호전문기관 등과 협력해 스마트폰 관련 새로운 취약점을 신속히 인식하고 대응할 수 있는 모니터링체제를 구축하도록 했다. 아울러 금감원은 ‘스마트폰 전자금융서비스 안전대책 마련 TF’를 올해에도 계속 운영해 향후 예상되는 보안위협에 범금융권이 공동 대응할 수 있도록 할 계획이다.

기술적 침해대응 부문의 경우 금융거래전 통신구간에서 암호화해 송수신되도록 가이드를 제시했다. 또 비밀번호 등 중요입력정보가 유출되거나 변조되지 않도록 입력정보 보호대책을 적용하고 중요한 금융정보는 스마트폰에 저장하지 못하도록 했다. 바이러스 등 악성코드에 의한 보안위협으로부터 전자금융거래를 보호하기 위해 악성코드 예방대책을 적용하고, 전자서명을 의무화해 고객이 거래사실을 부인하는 것을 방지했다.

즉 공인인증서를 사용토록 하고 키보드 보안도 추가하라고 한 것. 하지만 이 부분에서 많은 문제제기가 이뤄지고 있다. 금감원은 특정 기술을 언급하지 않았다고 밝히고 있지만 심비안이나 윈도우 폰(구 윈도우 모바일), 맥 OS X, 안드로이드 등 다양한 스마트폰 운영체제에 대한 심도있는 이해가 부족했기 때문에 PC에 적용됐던 내용을 그대로 스마트폰에 적용하려는 것 아니냐는 우려섞인 목소리가 나오고 있다. 또 금융거래 시스템 구현 문제가 단순히 금융에만 국한되지 않는데도 불구하고 너무 빠른 결정을 내렸다는 지적도 등장하고 있다.

그동안 PC를 통해 금융 거래를 할 경우에는 해당 사이트에 접속하는 순간 별도의 보안 프로그램이 강제적으로 사용자의 PC에 깔렸고, 키보드 보안 제품도 설치토록 했다. 금융사마다 서로 다른 회사의 제품을 사용하면서 두 세개의 금융사 계좌를 보유한 사용자들은 또 서로 다른 수많은 프로그램을 깔아야 했다.

문제는 여기서 끝나지 않았다. 초기 안전한 금융 거래를 위해 채택된 기술과 공인인증서의 과도한 활용은 웹표준화라는 거대한 흐름에 적절히 대응할 수 없도록 발목을 잡았다. 또 금융권의 비표준 문제는 금융권의 문제만 끝나지 않았다. 다양한 아이디어를 통해 새로운 IT 서비스를 제공할 때마다 사실상 표준이 돼버린 기존 인프라 때문에 기술 선택과 구현의 자유까지도 빼앗아 간 것.

이번 보안 대책이, 발생할지 모를 위험에 대해 선제적으로 대응하겠다는 뜻만큼은 이해된다. 다만, 최근 모 보안 회사가 2010년 주 공격 대상이 윈도우 7과 스마트폰이 될 것이라는 내용이 대대적으로 보도되면서, 좀 더 장기적인 관점에서 논의가 필요했던 스마트폰 보안에 금감원이 조급해진 것 아니냐는 지적도 있다.

아이폰용 뱅킹 소프트웨어를 가장 먼저 선보인 하나은행의 경우 해당 프로그램을 다운받아 설치하면 하나은행 사이트로 이동이 된다. 이후 스마트폰용 인증서를 USIM에 다운로드해 설치하고, 금융거래를 할 때는 이미 발급받았던 보안카드를 활용토록 했다. 또 하나은행은 ‘제일브레이킹’된 아이폰에 대해서는 아예 지원도 안하고 있다. 제일브레이킹된 아이폰은 애플의 정식 루트에 등록된 제품 이외에 별도의 프로그램도 개인들이 선택해 사용할 수 있다.

아이폰 사용자로 하나은행 아이폰용 금용 애플리케이션을 사용하고 있는 한 사용자는 “USIM에 개인정보와 금융정보가 들어가기 때문에 이미 암호화 돼 있고, 이런 상황에서 스마트폰 인증서와 보안카드로 이중 삼중 안전하게 거래를 할 수 있다. 왜 하나은행과 같은 방식을 활성화 시킬 생각은 안하고 PC 분야에 적용됐던 걸 그대로 스마트폰에 적용하려는 지 이해할 수 없다”고 목소리를 높였다.

스마트폰 분야의 한 전문가도 “여전히 유선 보안 시각을 탈피하지 못하고 있는 것 같다. 이미 스마트폰을 활용하고 있는 해외에서도 이번 금감원 의 보안 가이드가 적용된 전례가 없다. 브라우저에서 제공하는 SSL 암호나 별도 결제 서비스들을 통해 거래하는 전세계적인 흐름도 외면하고 있는 것 같아 안타깝다”고 밝혔다.

이와 관련해 금감원 측은 “특정 기술에 대해서는 거론하지 않았고, 해당 가이드만 줬다. 상당히 신중하게 안을 마련했다”는 입장을 밝혔다.

감독 기관으로 ‘안전’에 관심을 가지는 것은 당연한 의무지만 이제 막 싹을 틔우고 있는 스마트폰 시장에 어떤 영향을 줄지 모를 중대 사안에 대해 좀더 여유있고 심도있는 연구가 아쉬운 대목이다.

• '윈도우8' 평가판 29일 공개…뭐가 바뀌나
• '머리 어디서 했니?' 정보 나누는 SNS

"'조용한 세상'도 IT 배움에 목마르다"