- 코로나19와 디지털화로 금융권을 중심으로 비대면 본인인증 도입 확대 -

- 업계 횡단적 규칙의 필요성 증대 -

최근 코로나19 확산 방지를 위해 많은 기업들이 비대면 서비스 제공을 늘리고 있다. 일본에서는 온라인 본인인증 수법 ‘eKYC(electronic Know Your Customer)’가 비대면 서비스의 기반 시스템으로 활발히 도입되고 있다. 일본에서 eKYC가 어떻게 서비스되고 있으며, 향후 과제는 무엇인지에 대해 알아보자.

온라인 절차의 기반 기술, eKYC

온라인 비대면 서비스는 대면 서비스와는 달리 서비스 이용자가 실제로 존재하는지 여부를 확인하는 수단이 필요하다. 이용자의 존재를 엄밀히 확인하기 위해서는 대면으로 운전 면허증과 마이넘버*카드 등 사진이 부착된 공적 신분증을 확인해야 하는데, 이를 온라인으로 하는 기술이 eKYC이다.

  주*: 사회보장·세금 공통번호로, 전국민에게 부여된 일본판 주민등록번호

대표적인 방법으로 비대면 서비스 이용자가 웹 브라우저나 스마트폰 앱을 사용해 자신의 얼굴사진과 이름, 주소, 생년월일이 기재된 사진 부착 신분증 사진을 보내 신원을 확인하는 것이 있다. 이 기술을 사용하면 은행 고객은 지점에 가서 대면으로 신원확인을 하지 않더라도 온라인으로 계좌를 개설할 수 있다.

일본의 금융기관은 범죄수익이전방지법(이하 '범수법')에 근거해 자금세탁 등 부정행위를 방지할 목적으로 고객 계좌 개설 시 본인 확인(거래 시 확인)이 의무화돼 있다. 비대면 거래의 경우 예전에는 본인확인을 위해 ‘(공적으로 발행된)사진부착 본인 확인서류 복사본 송부’와 ‘전송불가 우편을 통한 주소 확인’이 필요했으나 범수법의 시행 규칙이 2018년 11월에 개정되면서 온라인 본인확인 방법이 추가됐다. 이로 인해 eKYC 서비스 사업자가 늘어나면서 금융기관이 연이어 eKYC를 도입하기 시작했다.

2021년 6월에 ‘스마트 계좌 개설’ 앱에 eKYC의 구조를 도입한 미쓰비시 UFJ 은행의 담당자는 “비대면 접수 신규 계좌개설 건수 중 90%가 eKYC를 통해 이루어진다”고 설명했다. 미쓰비시은행은 히타치제작소의 ‘eKYC지원 서비스’의 S개발키트(SDK)와 API를 사용해 eKYC 기능을 도입했으며, 빠르면 신청 다음 날에 계좌번호를 앱으로 통지해줄 수 있다.

eKYC로 수집한 개인정보를 부정감지 등에 응용

보안 인증기술 스타트업 Liquid는 일본 eKYC시장에서 2년 연속 매출 최고 점유율(ITR 조사)을 획득한 업계 톱 기업이다. 웹 브라우저 버전과 앱 버전(SDK)을 제공해 금융기관 등 도입 기업을 늘리고 있다.

Liquid의 서비스

자료: 닛케이컴퓨터

eKYC서비스 사업자 중 대다수는 고객사 기업으로부터 업무를 위탁받기 때문에 eKYC로 취득한 개인정보 등을 일정기간 후에 삭제하는 경우가 많다. 하지만 Liquid는 eKYC로 취득한 개인정보를 활용할 수 있도록 Liquid의 서비스 및 eKYC를 도입한 일부 기업을 대상으로 이용자 개인정보의 제3자 제공에 동의하도록 요구한다.

Liquid가 개인정보의 제3자 제공 동의를 요구하는 이유는 두 가지로, 하나는 자사 eKYC의 AI 정확도 향상에 활용하기 위해서이며, 다른 하나는 Liquid의 향후 서비스에 활용하기 위해서이다. LIQUID Shield라 불리는 eKYC를 활용한 부정감지 서비스와 고액 거래, 주소변경 등에 필요한 엄격한 본인 인증의 인증대행 서비스를 계획하고 있다.

Liquid의 eKYC를 도입한 기업은 eKYC에 사용된 개인정보를 타사에 제3자 제공할지 아니면 자사 내에서의 본인 인증에만 사용할지를 선택할 수 있다. 예를 들면, Liquid의 eKYC를 이용하는 NTT도코모는 현재 eKYC 관련 개인정보를 제3자에 제공하지 않으며, Liquid의 부정감지 서비스도 이용하지 않는다.

계좌매매 방지에서부터 주소변경까지

세븐은행이 덴쓰국제정보서비스(ISID)와 공동출자해 자회사로 설립한 ACSiON은 인터넷에서 횡행하는 계좌 매매를 막기 위해 eKYC를 응용한 서비스를 제공하고 있다. ACSiON의 eKYC서비스는 사진 부착 신분증과 얼굴을 촬영해 전송하는 방식이다. 비대면 계좌 개설 신청이 늘고 있는 지방은행과 프리랜서 인재의 매칭 서비스를 제공하는 Lancers 등 25개사가 본인확인을 강화하기 위해 연이어 도입을 결정했다.

ACSiON의 eKYC서비스를 사용하기 위해서는 이용자가 ACSiON의 회원이 돼야 한다. 예를 들어 ACSiON의 eKYC서비스를 도입한 은행에서 신규 계좌를 온라인으로 개설할 경우 이용자가 은행 웹사이트에서 신청하면 ACSiON의 웹사이트로 연결된다. ACSiON의 eKYC 서비스 이용에 동의하면, 은행 고객이 되는 동시에 ACSiON의 온라인 본인 인증 ‘proost’의 회원이 되는 것이다. ACSiON은 proost 회원으로 등록된 이용자의 이름과 주소, 얼굴사진의 데이터 및 본인확인 서류에 기재된 정보를 부정감지와 인증 서비스에 응용하기 위해서 축적하고 있다.

Proost의 등록정보 관리기능

자료: ACSiON

ACSiON은 세븐은행의 부정적인 계좌 개설을 막기 위한 노하우를 proost 회원등록 절차에 담아냈다. 세븐은행에서 금융범죄대책의 업무경험을 쌓은 멤버를 ACSiON에 보내서 은행의 부정대책의 시선에서 거래를 감시하고 있다. 갑작스러운 해외 접속이나 기종 변경 등 부자연스러운 이용 상황을 감지하며, 이러한 이용자의 행동패턴에 따라 인증 레벨을 강화하는 ‘리스크 베이스 인증’ 방식을 취한다.

또한 proost로 eKYC서비스를 도입한 기업에게 ‘온라인 공동이용형 창구’라 불리는 서비스를 제공하고 있어, proost에 회원등록한 이용자라면 동의 하에 다른 기업 서비스 신청 시 신원확인이 완료된 개인정보를 전달할 수 있다. 이용자가 주소 등 회원정보를 변경하면 ACSiON은 proost의 회원 데이터베이스를 갱신해서 이미 이용자가 등록한 기업에도 변경한 정보를 전송. 범수법에 대응할 필요가 있을 경우에는 그때마다 얼굴을 촬영해서 전송하도록 한다.

미션: 딥페이크 기술을 막아라

2021년 6월 인공지능학회에서 히타치제작소의 연구개발그룹은 ‘딥페이크 기술로 타인의 신분증을 사용해 eKYC가 돌파될 우려가 있다’는 논문을 발표했다. 히타치는 논문에서 딥페이크 기술로 여성이 남성으로 위장하는 실험을 실시해 온라인으로 신원을 확인하는 eKYC 기술을 뚫을 수 있을 것인지를 검증했다. 그 결과, 가짜 영상과 남성의 운전면허증의 얼굴 사진이 동일인물이라고 판정됐다. eKYC 앱에 따라서는 타인의 운전면허증이 위조에 사용될 우려가 있다는 결론이 나왔다.

eKYC서비스를 제공하는 기업은 가짜 영상을 사용한 타인의 위장을 막는 기능을 겨루고 있다. 미쓰이스미토모파이낸셜그룹과 NTT데이터, 아일랜드의 생체인증 기업 Daon의 합병회사인 Polarify는 카메라에 비친 얼굴이 디스플레이의 정지화와 동영상, 사진, 카메라 프린트일 경우 자동인식해 접수하지 않는 기술을 가지고 있다.

얼굴 촬영에 의존하지 않는 eKYC 도입도 확대되고 있다. 그중 하나가 전용 SW로 신분증 사진과 IC칩 정보를 인식해 은행과 신용카드회사에 조회 결과를 전송하는 방식이다. 미쓰비시 UFJ 은행은 2019년 5월, 인터넷뱅킹인 미쓰비시 UFJ 다이렉트의 계좌 소유자를 대상으로 인터넷 증권회사 등의 본인 확인 업무를 지원하는 ‘본인확인 서포트 API 서비스’를 시작했다.

본인확인 서포트 API서비스의 개요

자료: 닛케이XTech

이 API를 이용하는 기업은 이용자가 운전면허증 등 본인 확인 서류의 사진 데이터를 제출한 뒤, 이용자 동의 하에 미쓰비시 UFJ 다이렉트에 로그인하도록 해서 주소를 확인하면 이용자의 본인 특정사항을 미쓰비시 UFJ 은행으로부터 API경유로 취득할 수 있다.

시사점

야노경제연구소의 조사에 따르면 2021년 5월 말 시점에 일본의 모든 도시은행이 eKYC 도입을 완료 혹은 결정했으며, 지방은행은 62개 은행 중 16개 은행, 제2 지방은행은 38개 은행 중 3개 은행이 eKYC를 도입했다. 휴대전화부정이용방지법과 고물영업법 등의 법률에 따라 본인 확인이 필수인 업종에도 도입이 확대되고 있다. 예를 들면 NTT도코모는 2021년 3월부터 온라인 신청으로만 접수하는 새요금제 ‘ahamo’에 eKYC를 도입하고 있다.

다양한 기업이 eKYC를 도입하고 있는 현재, 새로운 사회적 과제도 부상하고 있다. 우선은 본인 확인의 비용이다. M지방은행의 T부장은 “기업이 대면으로 서비스를 제공하던 때에는 크게 의식하지 않았던 본인 확인 업무에 드는 비용이 비대면 서비스의 확대로 인해 사회적인 비용으로 널리 인식되게 됐다. 온라인에서 저비용으로 본인 확인이 가능한 구조를 만들어 사회 인프라 차원에서 도입될 수 있도록 할 필요가 있다.”라고 말한다.

다른 하나는 업계 횡단적 규칙의 필요성이다. 지금까지는 업계와 기업에 따라 본인확인의 정도가 달랐다. 예를 들면 전력, 가스 등의 서비스에서는 일반적으로 신분증을 통한 본인 확인이 필요하지 않으나 금융처럼 엄격한 본인 확인을 요구하는 업계도 있다. 위험성과 편리성에 따라 본인 확인의 정도를 규정하는 업계 횡단적인 규칙이 있다면 본인 확인 기능을 도입한 서비스의 전개가 보다 쉬워질 것이다.

올해 9월에 창설된 일본 디지털청은 다른 성청(省庁)에 대한 권고권 등 강력한 종합조정기능을 가지고 있어 일본 정부도 본인 확인 규칙의 검토를 위한 준비를 하고 있다. 지금까지 관할기관에 따라 다르게 규정됐던 본인 확인에 대해 공통적인 안전성과 편리성이 확보된 규칙이 필요해졌기 때문이다. 사회 인프라화되고 있는 온라인 본인 인증에 대한 규칙을 디지털청이 어떻게 마련할 것인지에 대해 일본 산업계 전체가 촉각을 기울이고 있다.

자료: 미쓰비시UFJ은행, ACSiON, Liquid 등 각사 홈페이지, 닛케이 컴퓨터 닛케이XTech, KOTRA 도쿄 무역관 자료 종합