신문은 선생님

최근 삼성전자 스마트폰의 모바일 결제 서비스인 삼성페이를 사칭한 스미싱 문자 메시지가 뿌려졌어요. 삼성페이 결제 내역인 것처럼 메시지를 보내 결제한 적이 없는 이용자가 해당 번호로 전화를 걸면 개인 정보를 빼내는 금융 사기의 일종입니다.

스미싱(Smishing)은 스마트폰에 악성코드가 담긴 앱을 깔아 몰래 개인 정보를 훔쳐가는 범죄를 말해요. 악성 코드가 깔리면 해커는 원격으로 주민등록번호나 은행 계좌 번호를 빼가기도 하고 스마트폰 속에 담긴 사진을 몰래 훔쳐볼 수도 있어요. 가장 무서운 것은 모바일 결제 시스템에 침입해 값비싼 물건을 사거나 통장에 들어 있는 돈을 쏙 빼가는 것이에요.

모바일 결제는 아주 편리하지만 해커나 범죄자들이 가장 많이 노리는 서비스이기도 합니다. 보안을 위협하는 기술은 나날이 영리해지고 더 진화하고 있지만 이를 막는 방법도 꾸준히 발전하고 있습니다. 그래도 불안하다고요? 모바일 결제가 어떤 식으로 작동되는지 알면 해킹 공격에 맞서는 데에도 도움이 될 거예요.

◇16자리 카드 번호 지키는 전자 결제

모바일 결제는 스마트폰을 신용카드나 체크카드처럼 쓸 수 있는 결제를 말해요. 신용카드를 대신해 스마트폰으로 음식점, 마트에서 돈을 낼 수도 있고 교통카드로 이용하기도 합니다. 인터넷에서 물건을 구입할 때 이용하는 전자 결제 시스템을 스마트폰, 즉 모바일 환경으로 옮겨놓은 것이지요. 인터넷상에서 이뤄지는 전자 결제 원리를 알아야 모바일 결제 시스템을 이해할 수 있어요.

인터넷으로 물건을 살 때는 상대방에게 직접 돈을 건네줄 수가 없습니다. 그래서 보통 미리 약속된 은행 계좌에 송금해주기도 하고, 통장에 들어 있는 돈을 자동으로 넘겨주는 체크카드를 쓰기도 합니다. 요즘 가장 보편적으로 쓰이는 결제 방법은 돈을 나중에 낼 수 있도록 '약속'을 맺어주는 신용카드입니다. 신용카드를 발급한 금융회사가 중간에 서서 "이 신용카드 이용자는 이번 달 약속된 날짜에 약속한 금액을 보내줄 거야"라고 보증을 서는 것이지요.

우리가 오프라인에서 물건을 살 때는 신용카드 그 자체가 이런 약속의 증거가 되는데 인터넷에선 신용카드를 건네줄 수가 없습니다. 신용카드에 찍혀 있는 16자리 숫자로 신용카드의 역할을 대신하는 것이지요. 쇼핑몰이나 온라인 게임 회사가 이 신용카드 번호 16자리를 전달받으면 약속한 물건이나 아이템을 보내주는 게 바로 우리가 쓰는 인터넷 전자 결제의 기본 원리입니다.

이 과정은 그리 쉽지만은 않습니다. 이 신용카드 번호 16자리를 누군가 훔쳐갈 수 있기 때문이에요. 마트에서 신용카드를 냈을 때는 이 사람이 맞는지 신분증을 확인하기도 하고 적어도 신용카드를 갖고 있다면 본인이 맞는다고 판단할 수 있습니다. 하지만 얼굴을 볼 수 없는 인터넷에서는 이 숫자가 들어오면 그대로 믿을 수밖에 없습니다. 이 때문에 이 번호를 안전하게 보관하고, 또 전달해줄 수 있어야 하지요.

그래서 인터넷으로 물건을 살 때는 복잡한 프로그램이 잔뜩 깔리곤 합니다. 신용카드 번호를 아무나 풀어볼 수 없게 암호화해서 전송하기도 하고 그사이에 악성코드는 없는지 혹시 키보드 입력을 훔쳐가지는 않는지 두루 살피는 겁니다. 신용카드 번호의 주인이라는 증명을 하는 공인인증서도 빠질 수 없지요. 중요한 과정이지만 그 절차가 복잡하고 보안의 책임을 모두 이용자에게 떠넘기는 방법이라는 지적이 나오고 있어요.

요즘은 보안성이 있으면서도 절차를 간소화한 간편 결제 같은 기술을 쓰기도 합니다. 개인용 컴퓨터를 이용해 신용카드 번호를 직접 주고받는 대신 자주 사용하는 신용카드를 특정 서비스에 보관해 두었다가 비밀번호만 입력하면 인터넷상에서 안전하게 처리하는 식이지요. 네이버페이나 카카오페이가 대표적입니다.

◇신용카드 대체하고 있는 스마트폰

모바일 결제는 인터넷상 전자 결제보다 그 과정이 한결 단순한 편입니다. 인터넷에서 결제할 때처럼 '액티브X' 같은 복잡한 프로그램을 깔지 않아도 되지요. 모바일 결제의 핵심은 신용카드 정보를 기기의 가장 안전한 곳에 품고 있다는 데 있어요. '삼성페이'나 'LG페이''애플페이' 같은 스마트폰 기반의 모바일 결제 시장은 빠르게 성장하고 있습니다. 애플은 CPU(중앙처리장치) 속에 카드 정보를 넣어서 외부에서 들어오는 길목을 아예 막아버렸습니다.

스마트폰은 그 자체로 아주 개인적인 기기이기 때문에 갖고 있다는 것 자체가 신용카드처럼 본인 확인이 되기도 합니다. 또 인터넷에서 결제가 필요할 때 자동으로 카드 번호를 암호화해서 전송할 수 있는 기술도 점점 좋아지고 있어요.

또 스마트폰에 10㎝ 이내의 가까운 거리에서 데이터를 주고받는 NFC(근거리 무선 통신·near field communication)나 마그네틱 신호를 가상으로 만들어주는 기술이 더해지면서, 스마트폰은 물리적인 신용카드를 대신할 수 있는 수단이 되고 있어요.카드 결제기가 스마트폰을 진짜 신용카드인 것처럼 받아들이게 하는 기술들이지요. 이미 주변에 지갑 없이 스마트폰만 들고 외출하는 사람도 적지 않지요.

하지만 보안을 위협하는 해커들의 수법도 교묘해지고 있어 주의해야 하죠. 앞서 삼성페이를 사칭한 스미싱도 기기 안에 뜨는 결제 관련 정보를 훔쳐가기 위한 덫입니다. 특히 문자메시지로 인증 번호를 보내 신용카드 소유자를 확인하는 방법을 노린 것인데, 피해를 예방하려면 일단 수상한 메시지는 믿지 않아야 합니다. 삼성페이나 LG페이, 애플페이 등은 모두 결제 결과를 앱 내 알림으로 우선 보내줍니다. 간혹 금융사가 따로 문자메시지를 보내주기도 하지만 의심스러운 결제 메시지가 온다면 당황하지 말고 카드 결제 내역을 다시 확인해볼 필요가 있습니다. 무엇보다 메시지를 통해 오는 의심스러운 인터넷 링크는 누르기 전에 '혹시?'라고 꼭 한 번 더 생각해보세요.