[경제]간편결제 놓고 복잡한 싸움

정태영 현대카드 사장과 이찬진 드림위즈 대표의 트위터 설전을 계기로 인터넷 신용카드 결제 인증방식을 둘러싼 해묵은 논쟁이 다시 불거졌다. 얽히고설킨 논란의 핵심은 무엇인가.

인터넷 서점 알라딘의 ‘신용카드 간편결제’(Non ActiveX)를 두고 현대카드 정태영 사장과 드림위즈 이찬진 대표이사가 트위터에서 설전을 벌였다. 인터넷 쇼핑몰에서 전자결제를 할 때 액티브엑스 플러그인 설치가 필요하냐 아니냐에 대한 논쟁이었다. 이찬진 대표는 액티브엑스 설치 없이 전자결제를 할 수 있도록 해야 한다는 입장이고, 정태영 사장은 고객정보 보호를 이유로 현대카드는 허용할 수 없다고 대응했다.

2011년 9월 정부중앙청사에서 열린 국회 행안위 행정안전부 국정감사에서 당시 한나라당 김태원 의원이 포털사이트와 행정안전부 공공 아이디와 비밀번호 등을 몰래 빼내는 ‘화면 해킹’을 시연해 보여주고 있다. 왼쪽 작은 화면이 일반 화면이고 오른쪽 화면이 해킹한 화면이다. | 연합뉴스

알라딘의 신용카드 간편결제는 결제대행업체(PG사)인 페이게이트가 만든 결제 방법이다. 페이게이트 측은 “현대카드의 주장은 잘못된 것”이라고 비판했다. 액티브엑스와 공인인증 방식을 둘러싼 해묵은 논란이 다시 이슈가 된 것이다.

알라딘 ‘액티브X’ 없는 결제방식
마이크로소프트의 웹브라우저 익스플로러를 사용하는 네티즌은 시도때도 없이 나타나는 ‘액티브엑스’로 만든 플러그인에 한숨을 쉴 때가 많다. 교통범칙금·과태료 납부시스템 이파인(efine) 등 공공기관 사이트를 통해 범칙금을 내거나 인터넷 쇼핑몰에서 결제를 하려고 하면 ‘프로그램을 설치해야 합니다’라는 문구를 봐야만 한다. YES를 클릭하면 키보드용 보안프로그램, ISP 안전결제 프로그램 등 플러그인 프로그램이 설치된다. 하지만 익스플로러 버전이 맞지 않으면 오류가 생기고 범칙금 납부나 결제를 포기해야 할 때도 많다.

익스플로러는 그나마 결제라도 시도할 수 있다. 구글이 만든 웹브라우저 크롬, 애플이 만든 웹브라우저 사파리 등을 사용하면 아예 범칙금이나 과태료를 납부할 수 없는 공공기관이 대부분이다. 국내 인터넷 쇼핑몰은 익스플로러 외 웹브라우저 이용객을 위해 자바용 플러그인을 설치해 결제가 가능하게 하고 있다. 하지만 보안전문가들은 “보안을 위해서 프로그램을 설치하는 것은 보안에 전혀 도움이 안 된다”고 지적한다. 스마트폰에 익숙하고 익스플로러 대신 크롬이나 사파리를 많이 사용하는 네티즌은 “제발 액티브엑스를 그만 사용하라”고 하소연할 정도다. 알라딘은 액티브엑스에 대한 반감과 액티브엑스 때문에 결제 단계에서 포기를 하는 고객을 위해서 ‘신용카드 간편결제’를 도입했다.

알라딘에서 책이나 음반을 사면 액티브엑스 플러그인 설치 없이 결제할 수 있다. 사고 싶은 책이나 음반을 고른 후 결제수단 선택 단계에서 ‘신용카드 간편결제’(Non Activex)를 선택하면 ‘서비스 이용 약관에 동의하느냐’는 질문이 나오고 이에 동의하면 결제가 진행된다. 신용카드 종류를 선택하고, 카드번호와 유효기간을 ‘가상 키보드’를 이용해 작성한다. 페이게이트가 개발한 ‘AA금액인증’ 방식을 소개하는 화면이 뜨고 고객은 휴대폰으로 2건의 가상결제 금액 문자를 받게 된다. 예를 들면 1345원 결제·2834원 결제 이런 식의 문자다. 가상결제 금액의 뒤 세 자리가 인증코드 역할을 한다. 인증코드 세 자리를 기입하면 정식으로 카드결제가 이뤄진다. 이 과정에서 액티브엑스용 플러그인은 어디에서도 찾아볼 수 없다. 익스플로러뿐만 아니라 크롬, 사파리 등의 모든 웹브라우저에서 결제를 할 수 있다. 마치 해외 쇼핑몰인 이베이에서 물건을 사고 결제하기 위해 이용하는 페이팔 서비스 방식과 유사하다.

현대카드 “보안에 허점 많다” 거부
현대카드는 페이게이트의 AA금액인증 방식이 개인정보 보호와 법적인 문제로 허용하기 어렵다는 입장이다. 현대카드 관계자는 “액티브엑스냐 Non액티브엑스냐의 문제가 아니다. 현대카드가 페이게이트의 방식을 받아들이지 못한 것은 두 가지 이유”라며 “하나는 보안문제다. 페이게이트에는 키보드 보안방식이 없는 등 허점이 있다. 그리고 표준약관에 의하면 PG사는 카드번호와 카드 유효기간을 함께 보관할 수 없게 되어 있는데, 페이게이트의 AA방식은 이를 지키지 않고 있다”고 지적했다.

이에 대해 페이게이트 측은 “표준약관 말고 협약서가 있다. 이에 따르면 사고에 대한 모든 책임을 우리가 지는 것으로 되어 있다. 사고가 나지 않도록 고객정보를 관리하는 것이 잘못됐다고 하는 것”이라고 항변했다.

본지가 입수한 현대카드와 페이게이트가 체결한 협약서를 보면 카드 회원의 식별정보와 거래정보 등을 보관하지 못하도록 되어 있다. 하지만 ‘불가피하게’ 이용자 정보를 보관하는 경우 ‘내·외부 접근 통제 시스템’ ‘전산D/B 접속 권한자 관리’ ‘고객의 신용정보에 대한 암호화 절차 및 기준’ ‘암호화 정보 해독 금지’를 지키도록 하고 있다.

페이게이트 이동산 기술이사는 “카드를 이용한 고객정보를 서버에 저장해둔다. 거래내역을 암호화해서 프로파일을 만들어 보관하기 때문에 보안문제는 없다”면서 “고객의 거래내역을 저장해놓아야 고객이 나중에 다시 알라딘을 이용할 때 비밀번호만 넣고 간편하게 결제를 할 수 있다. 아마존이나 이베이도 모두 이렇게 한다”고 설명했다. 페이게이트는 고객정보 보안에 대해 자신감을 드러내고 있다. 페이게이트가 ‘지불카드산업 데이터보안표준’(PCIDSS·Payment Card Industry Data Security Standard) 인증을 받았기 때문이다. PCIDSS는 비자, 마스터, 디스커버리, JCB 등 대형 다국적 카드사가 참여해 만든 보안 인증 프로그램이다. 6가지 카테고리에서 12가지 요구사항이 있다. 비자, 마스터 등의 카드를 이용하려는 PG사는 이 표준을 지켜야만 한다.

이동산 기술이사는 “난이도가 굉장히 높은 보안 인증 프로그램이다. 데이터 암호화 등을 포함해 인증항목이 250가지나 된다”면서 “해마다 인증을 갱신해야 하는데, 마치 회계감사를 받는 것처럼 까다롭다. 위원회에서 직접 회사로 찾아와 10일 동안 검사를 할 정도다. 페이게이트가 2012년 국내 최초로 인증을 따냈다”고 설명했다.

오픈넷 후원금 결제방식으로 불똥

6월 24일 오전 정태영 현대카드 사장이 서울 여의도 본사에서 열린 기자회견에서 취재진의 질문에 답하고 있다. | 연합뉴스

알라딘 사태는 인터넷 규제 철페를 외치는 사단법인 오픈넷으로 불똥이 튀었다. 오픈넷이 후원금 등의 카드결제를 하는 데 페이게이트 솔루션을 사용한 탓이다. BC카드, KB국민카드, 현대카드가 페이게이트의 시스템을 이용한 카드결제를 거부했다. 오픈넷은 비씨카드를 상대로 ‘카드결제 거부행위’ 중단 가처분신청을 제기할 계획이다. 오픈넷 한창민 사무국장은 “BC카드는 거래에서 사고가 나면 페이게이트로 모든 책임을 묻는다. 그런데도 자회사인 브이피가 만든 ISP 인증만 사용하도록 강제하고 있다. 만일 페이게이트가 AA금액인증 대신 ISP 인증을 사용했는데, 사고가 나도 페이게이트가 모든 책임을 져야 한다”고 지적했다.

현재 카드사가 이용하고 있는 30만원 미만의 인증방식은 ISP와 안심클릭서비스다. ISP는 BC카드와 KB국민카드가 이용하는데, ISP는 BC카드의 자회사인 브이피가 개발했다. 안심클릭서비스에 참여하고 있는 카드사는 LG, 삼성, 신한, 현대, 롯데, 하나, 한미카드 등이다.

오픈넷은 현대카드 정태영 사장에게 Non액티브방식의 결제방법 수용에 대한 공개질의서를 냈지만, 아직까지 별다른 답변을 얻지 못한 상황이다. 한 사무국장은 “아마존의 원클릭이나 이베이의 페이팔은 Non액티브엑스 방식으로 결제를 하고 있지만, 큰 사고는 나지 않았다. 편의성과 보완성의 균형을 맞춘 것”이라며 “카드사가 액티브엑스라는 낡은 기술만 고집할 게 아니다. 선진적인 기술을 받아들여 고객의 편의성을 높이고, 고객정보의 보안성도 높여야 할 때”라고 덧붙였다.

공인인증서 없이 안전한 거래 하고 싶다면

오픈넷은 공인인증서의 대안은 ‘상식적인 행동’이라고 강조한다. 인터넷을 사용하면서 접하게 되는 여러 가지 일들에 대해 다음과 같은 선택을 하면 공인인증서 없이도 안전한 거래를 할 수 있다고 조언했다.

- 자신이 사용한 운영체제(OS) 업데이트를 즉각즉각 한다.

- 최신 버전 웹브라우저를 사용한다.

- 보안경고창(‘이 프로그램을 설치하시겠습니까?’)이 뜨면 원칙적으로 NO를 선택한다.

- ‘이 사이트는 신뢰할 수 없는 사이트인데 계속 진행하시겠습니까?’라는 경고가 표시되면 접속을 중단한다.

- 비밀번호/카드번호 등을 입력하기 전에는 반드시 웹사이트 주소창을 살펴보고, 주소가 https://로 시작하는지를확인한다. http://로 시작하는 페이지에서
는 비밀번호/카드번호 등을 입력하지 않는다.

- 이메일 첨부파일을 열었을 경우, ‘이 프로그램을 설치하시겠습니까?’라는 보안경고창이 뜨면 NO를 선택한다.

- 보안카드는 그냥 그대로 지갑에 넣어서 보관한다. 절대로 스캔하거나 사진
찍지 말고, 보안카드 ‘보관 앱’이라는 황당한 프로그램을 사용하지 않는다.

- 안드로이드 폰을 사용할 경우 ‘알 수 없는 소스’를 허용하지 않는다.

<최영진 기자 cyj@kyunghyang.com>