전자금융업자 KYC, 어디까지 해야 할까? 선불·PG 사업자가 확인해야 할 본인확인 체크리스트

전자금융업자 KYC, 어디까지 해야 할까? 선불·PG 사업자가 확인해야 할 본인확인 체크리스트

전자금융 서비스가 다양해지면서 KYC 역시 단순한 본인확인 절차를 넘어 서비스 운영과 리스크 관리 전반에서 중요해지고 있습니다.

신분증을 어떻게 검증할 것인지부터 명의도용과 부정거래를 어떻게 방지할 것인지, 외국인 고객은 어떻게 인증할 것인지, 기존 KYC의 성능과 운영비용은 어떻게 점검해야 하는지까지 전자금융업자가 고려해야 할 영역도 점점 넓어지고 있습니다.

이에 ARGOS는 앞으로 한 달간 「전자금융업자를 위한 eKYC 실무 가이드」 시리즈를 통해 전자금융업자가 실제 KYC 환경을 구축하고 운영하면서 마주할 수 있는 주요 과제를 하나씩 살펴봅니다.

이번 시리즈에서는 전자금융업자의 KYC 체크포인트를 시작으로 신분증 OCR과 위·변조 탐지, 명의도용 방지, 외국인 KYC, 기존 eKYC 솔루션 점검, KYC 운영비용, 스테이블코인·디지털자산과 같은 신규 금융서비스의 KYC까지 총 8편에 걸쳐 다룰 예정입니다.

각 주제를 단순한 기술 소개가 아닌 전자금융업자의 실제 서비스와 운영 관점에서 살펴보고, 마지막에는 앞선 내용을 종합해 전자금융업자가 eKYC를 구축하거나 고도화할 때 확인해야 할 전체 구조까지 정리합니다.

그 첫 번째 이야기로, 전자금융업자의 KYC는 어디까지 필요하고 현재 운영 중인 본인확인 프로세스에서는 무엇을 점검해야 하는지부터 살펴보겠습니다.

전자금융 서비스에서 KYC를 다시 살펴봐야 하는 이유

전자금융 서비스에서 본인확인은 익숙한 절차입니다.

하지만 선불전자지급수단, PG, 간편결제 등 서비스가 다양해지고 이용자가 확대되면서 이제는 단순히 "본인확인을 하고 있는가"​보다 "어떤 시점에, 어떤 수준으로 사용자를 확인하고 있는가"​가 중요해지고 있습니다.

특히 비대면 환경에서는 정상적인 정보로 가입한 계정이라도 실제 이용자가 달라질 수 있고, 신분증이 제출됐더라도 해당 신분증이 정상적인 문서인지, 제출한 사람이 실제 신분증 소유자인지 별도의 확인이 필요할 수 있습니다.

그렇다면 전자금융업자는 현재 운영하고 있는 KYC 프로세스에서 무엇을 점검해야 할까요?

전자금융 서비스의 사용자 여정은 단순히 가입에서 끝나지 않습니다.

서비스에 따라 사용자는 가입 이후 결제수단이나 계좌를 등록하고, 선불전자지급수단을 충전하거나 자금을 출금하고, 개인정보나 정산 정보를 변경하기도 합니다.

이 과정에서 중요한 것은 가입 당시 확인된 사용자와 실제 서비스를 이용하는 사용자를 얼마나 신뢰할 수 있는가입니다.

예를 들어 정상적인 정보로 생성된 계정이라도 이후 다른 사람이 해당 계정을 이용한다면 최초 가입 단계의 인증만으로는 이를 구분하기 어려울 수 있습니다.

따라서 전자금융업자의 KYC는 하나의 인증 절차로 보기보다 서비스 전체에서 발생할 수 있는 신원 리스크를 기준으로 살펴볼 필요가 있습니다.

전자금융업자는 어느 시점에서 사용자를 확인해야 할까?

모든 사용자에게 모든 단계에서 동일한 수준의 인증을 요구하는 것은 좋은 방법이 아닙니다.

인증 과정이 복잡해질수록 정상 사용자의 이탈 가능성도 높아질 수 있기 때문입니다.

따라서 먼저 서비스의 사용자 여정을 기준으로 신원확인이 필요한 지점을 구분해야 합니다.

대표적으로 다음과 같은 시점을 살펴볼 수 있습니다.

회원가입 및 최초 이용

서비스를 이용하는 사용자가 누구인지 확인하는 최초 단계입니다. 서비스 특성에 따라 기본적인 사용자 정보뿐 아니라 신분증 기반의 신원확인이 필요할 수 있습니다.

선불 충전 및 이용 한도 변경

충전 금액이나 이용 범위가 커지는 경우 기존에 확보한 사용자 정보만으로 충분한지 확인할 필요가 있습니다. 특히 무기명 또는 낮은 수준의 인증으로 시작한 사용자를 기명 사용자로 전환하는 과정에서는 추가적인 신원확인이 필요할 수 있습니다.

출금 및 정산계좌 등록·변경

자금이 실제 계좌로 이동하는 단계에서는 계정 사용자와 거래 당사자의 관계를 보다 정확하게 확인해야 할 필요성이 커집니다.

개인정보 및 주요 계정정보 변경

사용자 정보나 주요 인증수단이 변경되는 경우에도 기존 사용자와 현재 요청을 수행하는 사람이 동일한지 확인하는 과정이 중요할 수 있습니다.

즉, 중요한 것은 인증 단계를 많이 만드는 것이 아니라 각 서비스에서 신원 리스크가 커지는 지점을 먼저 찾는 것입니다.

신분증을 제출받는 것만으로 충분할까?

전자금융업자가 신분증 기반 KYC를 운영한다면 다음으로 살펴봐야 할 것은 신분증을 어떻게 검증하고 있는가입니다.

신분증 촬영 후 OCR을 통해 이름, 생년월일, 신분증 번호 등의 정보를 추출하는 것은 신원확인 과정의 시작점이 될 수 있습니다.

하지만 OCR은 기본적으로 문서에 적힌 정보를 읽어내는 기술입니다.

따라서 보다 신뢰도 높은 비대면 신원확인을 위해서는 다음과 같은 요소를 함께 고려해야 합니다.

신분증 정보 추출 → 신분증 진위 및 위·변조 확인 → 신분증 사진과 사용자 얼굴 비교 → Liveness 확인

여기서 중요한 차이가 발생합니다. '신분증에서 정보를 읽었다'와 '해당 신분증과 사용자를 신뢰할 수 있다'는 같은 의미가 아니기 때문입니다.

전자금융업자가 eKYC 솔루션을 검토할 때 단순 OCR 지원 여부만 비교하기 어려운 이유도 여기에 있습니다.

신분증 소유자와 실제 사용자가 같은지도 확인해야 한다

정상적인 신분증이 제출됐다고 하더라도 또 하나의 문제가 남아 있습니다.

지금 서비스를 이용하고 있는 사람이 실제 신분증 소유자인가?

타인의 신분증이나 계정을 이용하는 상황에서는 신분증 자체에 문제가 없을 수도 있습니다.

이때 활용할 수 있는 것이 Face Match와 Liveness입니다.

Face Match는 신분증에 포함된 얼굴 이미지와 현재 인증을 진행하는 사용자의 얼굴을 비교해 동일인 여부를 확인합니다. Liveness는 인증 과정에서 실제 사람이 참여하고 있는지를 확인해 사진이나 영상 등 비정상적인 인증 시도를 구분하는 데 활용됩니다.

따라서 비대면 KYC는 단순히 문서를 확인하는 것을 넘어, 신분증 → 문서의 신뢰성 → 신분증 소유자 → 실제 사용자 까지 연결해서 보는 것이 중요합니다.

외국인 사용자가 있다면 KYC 구조는 더 복잡해진다

전자금융 서비스가 외국인 사용자까지 확대된다면 또 다른 문제가 발생합니다.

국내에서 발급된 신분증만 처리하는 것과 여러 국가에서 발급된 여권과 신분증을 처리하는 것은 필요한 인증 환경이 다르기 때문입니다.

외국인 관광객 대상 선불카드, 해외송금, 환전, 글로벌 결제와 같은 서비스에서는 다양한 국가에서 발급된 여권이나 신분증을 처리해야 할 수 있습니다.

이 경우 단순히 여권 OCR을 지원하는지만 확인해서는 부족합니다.

• 서비스 대상 국가의 신분증을 지원하는가

• 다양한 형태의 여권과 신분증 정보를 정확하게 추출할 수 있는가

• 해외 신분증의 위·변조 여부를 확인할 수 있는가

• 신분증 사진과 실제 사용자를 비교할 수 있는가

• 외국인 사용자의 인증 실패와 재시도를 관리할 수 있는가

등을 함께 살펴볼 필요가 있습니다.

특히 글로벌 서비스 확장을 계획하고 있다면 현재 필요한 국가뿐 아니라 앞으로 새로운 국가의 사용자가 추가됐을 때 인증 범위를 얼마나 쉽게 확장할 수 있는지도 중요한 기준이 됩니다.

기존 eKYC를 사용하고 있어도 점검이 필요한 이유

이미 신분증 OCR이나 eKYC 솔루션을 사용하고 있는 전자금융업자라면 새로운 솔루션을 추가하는 것보다 먼저 현재 인증 환경의 성과를 확인하는 것이 중요합니다.

예를 들어 다음과 같은 질문을 해볼 수 있습니다.

현재 사용자의 인증 완료율은 어느 정도인가?

어떤 단계에서 가장 많은 사용자가 인증을 포기하는가?

신분증 재촬영은 얼마나 발생하는가?

자동으로 처리되지 않고 운영자가 직접 검토하는 비율은 얼마나 되는가?

외국인 사용자의 인증 성공률은 국내 사용자와 얼마나 차이가 나는가?

위·변조 신분증이나 비정상적인 인증 시도를 어느 수준까지 탐지하고 있는가?

KYC를 이미 도입했다는 사실보다 중요한 것은 현재 KYC가 정상 사용자는 빠르게 통과시키면서 위험 사용자를 제대로 구분하고 있는가입니다.

전자금융업자 KYC 체크리스트

현재 운영하고 있는 인증 프로세스에 다음 질문을 적용해볼 수 있습니다.

KYC 적용 범위

• 어느 사용자에게 KYC를 적용하고 있는가?

• 사용자 여정 중 어느 시점에 신원을 확인하고 있는가?

• 위험도가 높은 거래에 추가 인증이 필요한가?

신분증 검증

• OCR만 사용하고 있는가?

• 신분증 진위 또는 위·변조 여부를 확인하고 있는가?

• 신분증 사진과 실제 사용자의 얼굴을 비교하고 있는가?

• Liveness를 적용하고 있는가?

외국인 KYC

• 여권 외 해외 신분증까지 지원할 수 있는가?

• 서비스 국가가 확대됐을 때 추가 개발 없이 대응할 수 있는가?

• 외국인 인증 실패율을 별도로 관리하고 있는가?

운영 효율

• 인증 완료율을 측정하고 있는가?

• 수동 검수 비율을 확인하고 있는가?

• 인증 실패로 발생하는 CS를 측정하고 있는가?

• 여러 인증 솔루션을 각각 운영하고 있지는 않은가?

이 질문 가운데 명확하게 답하기 어려운 항목이 있다면 현재 KYC 프로세스에서 추가로 확인해볼 지점이 있다는 의미일 수 있습니다.

전자금융업자의 KYC는 '인증 기능'보다 '인증 구조'가 중요합니다

전자금융업자의 KYC를 고도화한다고 해서 모든 사용자에게 더 많은 인증 단계를 추가할 필요는 없습니다.

오히려 중요한 것은 누구를 확인할 것인지, 언제 확인할 것인지, 어떤 위험을 확인할 것인지, 어느 수준까지 자동화할 것인지를 서비스 구조에 맞게 설계하는 것입니다.

ARGOS ID check는 신분증 OCR부터 신분증 검증, Face Match, Liveness, 글로벌 신분증 인증까지 비대면 KYC에 필요한 과정을 하나의 흐름으로 구성할 수 있도록 지원합니다.

전자금융 서비스의 기존 인증 프로세스를 점검하거나 외국인 KYC, 신분증 위·변조 탐지, 안면인증 등 추가적인 인증 체계를 검토하고 있다면 현재 운영 구조를 기준으로 필요한 KYC 범위를 먼저 확인해볼 수 있습니다.

다음 편에서는 신분증 OCR, 진위 및 위·변조 탐지, Face Match, Liveness, 글로벌 신분증 지원 범위까지 전자금융업자가 eKYC 솔루션을 비교할 때 확인해야 할 기준을 자세히 살펴보겠습니다! 다음 편도 기대해 주세요!