전자금융 서비스의 명의도용, 신분증 인증만으로 막을 수 있을까?

전자금융 서비스의 명의도용, 신분증 인증만으로 막을 수 있을까?

전자금융업자를 위한 eKYC 실무 가이드, 세 번째 이야기입니다.

지난 2편에서는 전자금융업자가 eKYC 솔루션을 선택할 때 확인해야 할 요소로 신분증 OCR, 진위·위변조 탐지, Face Match, Liveness, 글로벌 신분증 지원 범위​를 살펴봤습니다.

그렇다면 이러한 인증 기술은 실제 전자금융 서비스에서 어떤 문제를 해결할 수 있을까요?

대표적으로 살펴볼 수 있는 것이 명의도용과 부정 이용입니다. 전자금융 서비스에서는 사용자가 제출한 신분증 정보를 정확하게 읽는 것도 중요하지만, 그 신분증이 정상적인 문서인지, 그리고 지금 서비스를 이용하려는 사람이 실제 신분증 소유자인지까지 확인할 필요가 있습니다.

특히 비대면 환경에서는 사용자를 직접 확인하기 어렵기 때문에 하나의 인증 방식에 의존하기보다 신분증과 실제 사용자를 단계적으로 연결하는 eKYC 구조가 중요합니다.

정상적인 신분증이라고 해서 실제 사용자도 본인일까?

신분증 기반 인증을 생각하면 가장 먼저 떠올리는 것은 신분증의 진위 여부입니다.

제출된 신분증이 정상적으로 발급된 문서인지, 이미지나 정보가 변조되지는 않았는지 확인하는 것은 중요한 과정입니다.

하지만 여기에서 한 가지 더 생각해야 합니다. 정상적인 신분증을 실제 소유자가 아닌 다른 사람이 제출한다면 어떨까요? 이 경우 신분증 자체에는 문제가 없을 수 있습니다.

즉, 신분증이 정상이라는 사실과 현재 서비스를 이용하는 사람이 해당 신분증의 소유자라는 사실은 별개의 문제입니다.

전자금융 서비스의 비대면 신원확인에서는 이 두 가지를 구분해서 살펴볼 필요가 있습니다.

① 이 신분증을 신뢰할 수 있는가?

② 지금 인증하는 사람을 신뢰할 수 있는가?

명의도용을 방지하기 위한 eKYC는 이 두 질문에 모두 답할 수 있어야 합니다.

첫 번째 단계, 제출된 신분증을 검증한다

가장 먼저 확인해야 하는 것은 사용자가 제출한 신분증입니다.

OCR을 통해 이름, 생년월일, 신분증 번호 등의 정보를 추출하는 것에서 나아가 제출된 문서가 정상적인 신분증인지 확인하는 과정이 필요합니다.

특히 이미지 편집이나 정보 변경 등으로 신분증이 조작됐을 가능성을 고려한다면 신분증 진위 및 위·변조 탐지가 중요해집니다.

전자금융업자가 신분증 인증을 운영할 때는 다음과 같은 흐름으로 생각할 수 있습니다.

신분증 촬영 → 정보 추출 → 진위 확인 → 위·변조 탐지 이 과정의 목적은 단순히 사용자의 정보를 확보하는 것이 아니라 제출된 신분증을 신뢰할 수 있는지 판단하는 것입니다.

하지만 이것만으로 명의도용을 완전히 확인할 수 있는 것은 아닙니다. 다음으로는 신분증과 실제 사용자를 연결해야 합니다.

두 번째 단계, 신분증 소유자와 현재 사용자를 비교한다

제출된 신분증이 정상적이라면 이제 확인해야 할 대상은 사용자입니다.

신분증 속 인물과 지금 인증하고 있는 사람이 동일한가?

이를 확인하는 과정이 Face Match입니다.

Face Match는 신분증에 포함된 얼굴 이미지와 현재 인증 과정에서 촬영한 사용자의 얼굴을 비교해 동일인 여부를 판단합니다.

전자금융 서비스에서 이 과정이 중요한 이유는 정상적인 타인의 신분증이 사용되는 상황을 고려해야 하기 때문입니다.

예를 들어 다른 사람의 신분증 정보를 확보한 사람이 해당 신분증을 이용해 인증을 시도한다면 신분증 자체를 검증하는 것만으로는 실제 사용자를 구분하기 어려울 수 있습니다.

따라서 신분증 검증 → Face Match를 연결함으로써 문서뿐 아니라 현재 인증을 진행하는 사람까지 확인하는 구조를 만들 수 있습니다.

세 번째 단계, 실제 사람이 인증하고 있는지 확인한다

Face Match를 적용하더라도 한 가지 문제가 더 남습니다.

인증 과정에서 제출된 얼굴 이미지가 실제 사용자의 얼굴을 실시간으로 촬영한 것인지 확인해야 합니다.

얼굴 인증 과정에서도 사진이나 화면에 표시된 얼굴 이미지, 사전에 촬영된 영상 등을 이용한 비정상적인 인증 시도를 고려해야 하기 때문입니다.

이러한 상황을 구분하기 위해 활용되는 것이 Liveness Detection입니다.

Liveness는 인증 과정에 실제 사람이 참여하고 있는지를 확인하는 기술입니다.

따라서 비대면 환경에서 실제 사용자를 확인하기 위해서는

신분증 검증→ Face Match→ Liveness가 서로 별개의 기능이 아니라 하나의 인증 흐름으로 연결될 필요가 있습니다.

신분증은 "어떤 신원을 주장하고 있는가"​를 확인하고,

Face Match는 "현재 사용자가 그 신분증의 소유자인가"​를 확인하며,

Liveness는 "실제 사람이 지금 인증에 참여하고 있는가"​를 확인하는 역할을 합니다.

전자금융 서비스에서는 어느 시점에 적용해야 할까?

그렇다고 모든 사용자에게 서비스 이용 때마다 신분증과 얼굴 인증을 요구하는 것이 정답은 아닙니다.

인증 단계가 많아질수록 사용자 경험에 부담이 생기고 정상 사용자의 이탈로 이어질 수 있기 때문입니다.

따라서 전자금융업자는 서비스에서 신원 리스크가 발생하는 시점을 먼저 정의하고 그에 맞는 인증 수준을 설계할 필요가 있습니다.

예를 들어 다음과 같은 상황을 점검할 수 있습니다.

최초 KYC

처음 사용자의 신원을 확인해야 하는 단계에서는 신분증과 실제 사용자를 연결해 신뢰할 수 있는 사용자를 등록하는 것이 중요합니다.

이용 한도 확대

서비스 이용 범위나 거래 한도가 확대되는 과정에서는 기존에 확보한 사용자 정보만으로 충분한지 확인할 필요가 있습니다.

출금 또는 주요 거래

자금 이동과 관련된 중요한 요청에서는 현재 거래를 요청하는 사람이 기존에 확인된 사용자와 동일한지 다시 살펴봐야 할 수 있습니다.

주요 정보 변경

계정이나 거래에 영향을 줄 수 있는 주요 정보가 변경되는 경우에도 추가적인 사용자 확인이 필요할 수 있습니다.

핵심은 모든 단계에 동일한 인증을 추가하는 것이 아닙니다.

위험도가 높아지는 지점에서 필요한 수준의 인증을 적용하는 것입니다.

명의도용 방지는 인증을 많이 추가하는 문제가 아닙니다

전자금융 서비스에서 부정 이용을 줄이기 위해 인증 단계를 계속 추가한다면 보안은 강화될 수 있지만 사용자 경험은 복잡해질 수 있습니다.

따라서 중요한 것은 인증의 개수가 아니라 인증의 역할을 명확하게 구분하는 것입니다.

예를 들어 최초 KYC에서는 신분증을 기반으로 사용자의 신원을 확인하고, 이후 다시 사용자를 확인해야 하는 상황에서는 매번 신분증을 제출하도록 하기보다 기존에 확인한 사용자 정보를 기반으로 보다 간단한 재인증 방식을 적용하는 구조를 고려할 수 있습니다.

즉, 최초 신원확인 → 서비스 이용 → 위험 신호 또는 주요 거래 → 추가 사용자 확인과 같이 사용자 여정에 맞춰 인증 강도를 조정하는 것입니다.

이렇게 하면 정상 사용자의 불필요한 인증 부담을 줄이면서도 필요한 순간에는 보다 높은 수준의 신원확인을 적용할 수 있습니다.

전자금융업자가 명의도용 방지를 위해 확인해야 할 체크리스트

현재 운영 중인 인증 환경에 다음 질문을 적용해볼 수 있습니다.

신분증 검증

• 신분증 정보를 읽는 것에서 끝나고 있지는 않은가?

• 제출된 신분증의 진위 여부를 확인할 수 있는가?

• 신분증의 위·변조 가능성을 탐지할 수 있는가?

사용자 확인

• 신분증 속 인물과 실제 사용자를 비교하고 있는가?

• Face Match를 적용하고 있는가?

• 얼굴 인증 과정에 실제 사람이 참여하고 있는지 확인할 수 있는가?

서비스 이용 단계

• 최초 가입 이후 다시 사용자를 확인해야 하는 시점을 정의했는가?

• 거래 위험도에 따라 인증 수준을 달리 적용할 수 있는가?

• 중요한 거래마다 신분증을 다시 제출하게 하고 있지는 않은가?

운영

• 비정상적인 인증 시도를 구분할 수 있는가?

• 인증 실패 사유를 운영팀이 확인할 수 있는가?

• 정상 사용자의 인증 과정이 지나치게 복잡하지 않은가?

명의도용을 방지하기 위해서는 하나의 인증 기술보다 신분증과 실제 사용자를 어떻게 연결하고, 언제 다시 확인할 것인지​를 함께 설계하는 것이 중요합니다.

신분증에서 실제 사용자까지, 하나의 eKYC 흐름으로

ARGOS ID Check는 신분증 OCR, 신분증 검증, Face Match, Liveness​를 연결해 비대면 환경에서 제출된 신분증과 실제 사용자를 함께 확인할 수 있도록 지원합니다.

최초 KYC에서 확인된 사용자 정보를 기반으로 이후 다시 본인 여부를 확인해야 하는 상황에서는 ARGOS Face Auth를 활용해 신분증을 반복해서 제출하지 않고 얼굴 기반으로 사용자를 재확인하는 구조도 구성할 수 있습니다.

전자금융 서비스에서 중요한 것은 단순히 인증 단계를 늘리는 것이 아닙니다.

신분증을 신뢰할 수 있는가 → 현재 사용자가 실제 소유자인가 → 지금 실제 사람이 인증하고 있는가

를 하나의 흐름으로 연결하고, 서비스의 위험도가 높아지는 시점에 적절한 인증을 적용하는 것이 중요합니다.

전자금융 서비스의 명의도용 및 부정 이용 방지를 위해 현재 인증 구조를 점검하고 있다면, ARGOS와 함께 서비스 환경에 적합한 eKYC 프로세스를 확인해보세요.

국내 사용자에게 적용하던 인증 환경을 외국인 사용자에게 그대로 적용하기는 어려울 수 있습니다. 다음 편에서는 여권과 해외 신분증 처리부터 위·변조 탐지, Face Match, Liveness까지 외국인 고객을 대상으로 하는 전자금융업자가 준비해야 할 eKYC 환경​을 자세히 살펴보겠습니다.