PC뱅킹 수준땐 활용도↓…해외선 웹방식 선호, 국내 은행권은 미온적
애플 아이폰 열풍과 곧 진입 예정인 안드로이드폰 등으로 국내 스마트폰 시장의 급성장이 예고되는 가운데, 이를 활용한 모바일 금융거래의 보안대책에 대한 관심도 커지고 있다.
특히 스마트폰은 이동성과 사용편의성 때문에 PC뱅킹을 넘어설 잠재력이 큰 만큼 PC뱅킹의 연장선이 아닌 보다 근본적인 온라인 금융보안 대책이 요구되고 있다. 이와 관련, 최근 금융계에서 스마트폰 표준금융거래 모델을 정립중이고 금융감독원도 스마트폰 전자금융서비스 안전대책을 제시했지만, 여전히 적잖은 과제가 남아있다는 지적이다.
◇스마트폰 금융거래 대중화 임박=스마트폰이 금융거래의 수단으로 주목받는 것은 이동성 때문이다. 언제 어디서건 항시 휴대하는 이동전화의 특성상 은행내방이나 PC를 찾지 않아도 된다는 게 스마트폰 뱅킹의 장점이다. 최근 유행하는 아이폰이나 진입을 앞둔 안드로이드폰의 경우 일반 3세대(G) 이동전화의 범용가입자인증모듈(USIM) 기반 뱅킹서비스에 비해서도 UI가 편리한데다 데이터처리속도 등이 빨라 사용편리성도 월등하다. 스마트폰뱅킹이 모바일뱅킹의 주축으로 자리잡고 조만간 PC뱅킹마저 앞지를 것이라는 관측이 나오는 것도 이 때문이다. 아이폰이 국내에 진입하자 하나은행과 기업은행 등 은행권이 서둘러 관련 서비스를 마련하고 가입자 유치에 나선 것도 이와 무관치 않다.
실제 하나은행의 아이폰 금융서비스는 간단한 애플리케이션 형태로 공인인증서를 통해 로그인하면 계좌이체나 조회는 물론 펀드, 신용카드, 지로납부 등 PC뱅킹과 동일한 서비스를 이용할 수 있어 호평을 받고있다.
문제는 과연 이같은 스마트폰뱅킹 서비스들의 보안성이 충분히 담보되었느냐는 점이다. 최근 해외에서 스마트폰 관련 해킹이나 웜같은 보안이슈가 제기되는 것도 이같은 우려를 부추기고 있다. 하나은행의 경우 금감원의 지침이 마련되기도 전에 서비스를 내놔 논란이 되기도 했다.
반면 일각에서는 스마트폰 뱅킹에 현재 PC뱅킹과 같은 보안대책을 적용할 경우 소비자들의 활용도가 떨어지는 것은 물론 오히려 보안위험성을 초래할 것이라는 비판도 제기되는 상황이다. 현행 PC뱅킹의 경우 공인인증서와 함께 키보드보안과 각종 백신 및 방화벽 등을 적용하고 있다. 그러나 공인인증서의 경우 일반파일처럼 복사가 가능해 유출가능성이 꾸준히 제기 되어온 데다 패스워드 누출을 막기 위해 키보드 보안을 적용하더라도 사용자가 통상 같은 패스워드를 다른 웹사이트 등에서 중복해 쓸 경우 무용지물이라는 지적이 나오고 있다. 게다가 PC뱅킹의 근간인 MS의 인터넷익스플로러와 액티브엑스(Activ X) 기술의 보안취약점 역시 꾸준히 제기되어 왔던 사안이다.
이 때문에 해외에서처럼 일회용 비밀번호제조기(OTP)나 보안토큰 같은 물리적 보안장치를 사용해야한다는 지적도 있다. 특히 스마트폰과 같은 모바일기기의 경우 운영체제나 기술, 이동성과 다양한 사용환경이 고정형인 PC와는 다르다는 점에서 특정기술에 의존하기보다는 이해당사자인 금융사가 자율적으로 보안대책을 수립할 수 있도록 해야한다는 지적이 있다.
금융감독원이 지난달 스마트폰 전자금융서비스 안전대책을 마련하기 위한 태스크포스(TF)를 결성한 뒤 "PC와 같은 수준의 보안대책을 적용하겠다"고 밝히자 논란이 제기된 것도 이 때문이다. 금감원의 지침은 강제성이 없는 권고성격이지만 시중은행들은 사실상 강제조항으로 받아들이고 있다.
만약 PC처럼 키보드보안과 백신프로그램(실시간감시)을 이중삼중으로 적용할 경우 스마트폰 뱅킹의 활용성이 크게 떨어지게 된다. 또 스마트폰 제조사(플랫폼업체)와의 협의도 필요하다. 실제 아이폰의 경우 OS상에서 음악서비스를 제외한 멀티태스킹을 허용하지 않고 있다. 결국 제조사의 허락 없이는 금융프로그램과 백신이나 키보드보안 프로그램을 동시에 돌릴 수 없다. 애플은 OS기술을 폐쇄적으로 운영하고 있어 허용될 가능성이 적다. 아이폰의 경우 백신프로그램이 존재하지 않고 애플이 이를 허락하지도 않는다.
게다가 스마트폰의 경우 안드로이드나 윈도모바일, 리눅스, 블랙베리 OS 등 기술기반이 제각각인 상황이다. 각 OS기술마다 고유한 보안장치들이 마련돼 있다. 행정규제를 통해 일률적으로 해결한다는 것 자체가 무모한 발상이라는 지적이 나온 것도 이 때문이다.
◇웹서비스화로 근본적 대응 필요성 제기=다행스러운 것은 금융감독원이 최종 발표한 스마트폰 전자금융서비스 안전대책에는 각 금융사가 입력정보 보호대책과 악성코드 예방대책을 적용하라고 했을 뿐 구체적 기술을 명시하지 않았다는 점이다. PC뱅킹처럼 별도 백신이나 키보드보안, 방화벽 프로그램을 클라이언트형태로 설치하지 않아도 되는 셈이다.
때문에 금감원의 온라인 금융보안 정책에 반기를 들고 소송까지 제기했던 김기창 고려대 법대 교수(오픈웹 대표) 조차 이번 대책에 대해 "금감원이 처음으로 규제일변도가 아닌 사업자가 합리적으로 적정한 보안대책을 선택할 수 있도록 유연한 접근법을 보여줬다"며 긍정적 평가를 내리기도 했다.
아예 이번 기회에 금융당국이 정책적으로 PC뱅킹과 스마트폰뱅킹을 포함한 유무선 금융거래를 웹서비스 중심으로 재편하고 이에 따른 새로운 금융거래 준칙과 보안가이드라인을 마련해야한다는 주장도 나온다. 스마트폰 뱅킹의 활성화를 위해서는 하나은행과 같은 뱅킹서비스를 별도의 애플리케이션으로 만드는 게 아닌 브라우저로 접속하면 어느 은행이건 이용할 수 있도록 웹서비스화해야 한다는 것이다
이는 은행입장에서도 유리한 방법일 수 있다. 제각각인 스마트폰 플랫폼별로 별도 애플리케이션을 개발하는 것에 비해 경제성이 높기 때문이다. 게다가 혹시 모를 보안이슈가 제기될 때에도 통합적으로 대응할 수 있다는 것도 장점이다. 이용자입장에서도 각각의 은행들마다 별도 애플리케이션을 설치해야하는 불편이 사라진다. MS의 액티브엑스와 같은 허점이 있는 특정 기술에 대한 종속성도 해소될 수 있다.
실제 해외에서도 웹서비스 방식을 선호한다. 뱅크오브아메리카(BOA)와 와코비아, 호주 퀸즈랜드은행 등은 PC뱅킹은 물론 모바일기기에서 접속시에도 브라우저를 통한 웹기반 뱅킹서비스를 제공한다. 물론 이들도 일회용 비밀번호나 가상키보드 등 적절한 보안대책을 마련하고 있다.
다만 국내은행들은 여전히 보안성이 검증되지 않았다는 이유로 웹방식에 대해 미온적 태도를 보이고 있다. 게다가 금감원 등 규제당국을 의식, 기존 클라이언트(애플리케이션) 설치방식을 선호하고 있어 실현여부는 여전히 불확실하다.
조성훈기자 hoon21@
특히 스마트폰은 이동성과 사용편의성 때문에 PC뱅킹을 넘어설 잠재력이 큰 만큼 PC뱅킹의 연장선이 아닌 보다 근본적인 온라인 금융보안 대책이 요구되고 있다. 이와 관련, 최근 금융계에서 스마트폰 표준금융거래 모델을 정립중이고 금융감독원도 스마트폰 전자금융서비스 안전대책을 제시했지만, 여전히 적잖은 과제가 남아있다는 지적이다.
◇스마트폰 금융거래 대중화 임박=스마트폰이 금융거래의 수단으로 주목받는 것은 이동성 때문이다. 언제 어디서건 항시 휴대하는 이동전화의 특성상 은행내방이나 PC를 찾지 않아도 된다는 게 스마트폰 뱅킹의 장점이다. 최근 유행하는 아이폰이나 진입을 앞둔 안드로이드폰의 경우 일반 3세대(G) 이동전화의 범용가입자인증모듈(USIM) 기반 뱅킹서비스에 비해서도 UI가 편리한데다 데이터처리속도 등이 빨라 사용편리성도 월등하다. 스마트폰뱅킹이 모바일뱅킹의 주축으로 자리잡고 조만간 PC뱅킹마저 앞지를 것이라는 관측이 나오는 것도 이 때문이다. 아이폰이 국내에 진입하자 하나은행과 기업은행 등 은행권이 서둘러 관련 서비스를 마련하고 가입자 유치에 나선 것도 이와 무관치 않다.
실제 하나은행의 아이폰 금융서비스는 간단한 애플리케이션 형태로 공인인증서를 통해 로그인하면 계좌이체나 조회는 물론 펀드, 신용카드, 지로납부 등 PC뱅킹과 동일한 서비스를 이용할 수 있어 호평을 받고있다.
문제는 과연 이같은 스마트폰뱅킹 서비스들의 보안성이 충분히 담보되었느냐는 점이다. 최근 해외에서 스마트폰 관련 해킹이나 웜같은 보안이슈가 제기되는 것도 이같은 우려를 부추기고 있다. 하나은행의 경우 금감원의 지침이 마련되기도 전에 서비스를 내놔 논란이 되기도 했다.
반면 일각에서는 스마트폰 뱅킹에 현재 PC뱅킹과 같은 보안대책을 적용할 경우 소비자들의 활용도가 떨어지는 것은 물론 오히려 보안위험성을 초래할 것이라는 비판도 제기되는 상황이다. 현행 PC뱅킹의 경우 공인인증서와 함께 키보드보안과 각종 백신 및 방화벽 등을 적용하고 있다. 그러나 공인인증서의 경우 일반파일처럼 복사가 가능해 유출가능성이 꾸준히 제기 되어온 데다 패스워드 누출을 막기 위해 키보드 보안을 적용하더라도 사용자가 통상 같은 패스워드를 다른 웹사이트 등에서 중복해 쓸 경우 무용지물이라는 지적이 나오고 있다. 게다가 PC뱅킹의 근간인 MS의 인터넷익스플로러와 액티브엑스(Activ X) 기술의 보안취약점 역시 꾸준히 제기되어 왔던 사안이다.
이 때문에 해외에서처럼 일회용 비밀번호제조기(OTP)나 보안토큰 같은 물리적 보안장치를 사용해야한다는 지적도 있다. 특히 스마트폰과 같은 모바일기기의 경우 운영체제나 기술, 이동성과 다양한 사용환경이 고정형인 PC와는 다르다는 점에서 특정기술에 의존하기보다는 이해당사자인 금융사가 자율적으로 보안대책을 수립할 수 있도록 해야한다는 지적이 있다.
금융감독원이 지난달 스마트폰 전자금융서비스 안전대책을 마련하기 위한 태스크포스(TF)를 결성한 뒤 "PC와 같은 수준의 보안대책을 적용하겠다"고 밝히자 논란이 제기된 것도 이 때문이다. 금감원의 지침은 강제성이 없는 권고성격이지만 시중은행들은 사실상 강제조항으로 받아들이고 있다.
만약 PC처럼 키보드보안과 백신프로그램(실시간감시)을 이중삼중으로 적용할 경우 스마트폰 뱅킹의 활용성이 크게 떨어지게 된다. 또 스마트폰 제조사(플랫폼업체)와의 협의도 필요하다. 실제 아이폰의 경우 OS상에서 음악서비스를 제외한 멀티태스킹을 허용하지 않고 있다. 결국 제조사의 허락 없이는 금융프로그램과 백신이나 키보드보안 프로그램을 동시에 돌릴 수 없다. 애플은 OS기술을 폐쇄적으로 운영하고 있어 허용될 가능성이 적다. 아이폰의 경우 백신프로그램이 존재하지 않고 애플이 이를 허락하지도 않는다.
게다가 스마트폰의 경우 안드로이드나 윈도모바일, 리눅스, 블랙베리 OS 등 기술기반이 제각각인 상황이다. 각 OS기술마다 고유한 보안장치들이 마련돼 있다. 행정규제를 통해 일률적으로 해결한다는 것 자체가 무모한 발상이라는 지적이 나온 것도 이 때문이다.
◇웹서비스화로 근본적 대응 필요성 제기=다행스러운 것은 금융감독원이 최종 발표한 스마트폰 전자금융서비스 안전대책에는 각 금융사가 입력정보 보호대책과 악성코드 예방대책을 적용하라고 했을 뿐 구체적 기술을 명시하지 않았다는 점이다. PC뱅킹처럼 별도 백신이나 키보드보안, 방화벽 프로그램을 클라이언트형태로 설치하지 않아도 되는 셈이다.
때문에 금감원의 온라인 금융보안 정책에 반기를 들고 소송까지 제기했던 김기창 고려대 법대 교수(오픈웹 대표) 조차 이번 대책에 대해 "금감원이 처음으로 규제일변도가 아닌 사업자가 합리적으로 적정한 보안대책을 선택할 수 있도록 유연한 접근법을 보여줬다"며 긍정적 평가를 내리기도 했다.
아예 이번 기회에 금융당국이 정책적으로 PC뱅킹과 스마트폰뱅킹을 포함한 유무선 금융거래를 웹서비스 중심으로 재편하고 이에 따른 새로운 금융거래 준칙과 보안가이드라인을 마련해야한다는 주장도 나온다. 스마트폰 뱅킹의 활성화를 위해서는 하나은행과 같은 뱅킹서비스를 별도의 애플리케이션으로 만드는 게 아닌 브라우저로 접속하면 어느 은행이건 이용할 수 있도록 웹서비스화해야 한다는 것이다
이는 은행입장에서도 유리한 방법일 수 있다. 제각각인 스마트폰 플랫폼별로 별도 애플리케이션을 개발하는 것에 비해 경제성이 높기 때문이다. 게다가 혹시 모를 보안이슈가 제기될 때에도 통합적으로 대응할 수 있다는 것도 장점이다. 이용자입장에서도 각각의 은행들마다 별도 애플리케이션을 설치해야하는 불편이 사라진다. MS의 액티브엑스와 같은 허점이 있는 특정 기술에 대한 종속성도 해소될 수 있다.
실제 해외에서도 웹서비스 방식을 선호한다. 뱅크오브아메리카(BOA)와 와코비아, 호주 퀸즈랜드은행 등은 PC뱅킹은 물론 모바일기기에서 접속시에도 브라우저를 통한 웹기반 뱅킹서비스를 제공한다. 물론 이들도 일회용 비밀번호나 가상키보드 등 적절한 보안대책을 마련하고 있다.
다만 국내은행들은 여전히 보안성이 검증되지 않았다는 이유로 웹방식에 대해 미온적 태도를 보이고 있다. 게다가 금감원 등 규제당국을 의식, 기존 클라이언트(애플리케이션) 설치방식을 선호하고 있어 실현여부는 여전히 불확실하다.
조성훈기자 hoon21@
