<리걸인사이트> 간편결제서비스 보안대비 필요

▲서울시가 소상공인을 위한 간편결제서비스인 '제로페이'를 시범 실시하기로 하면서 기존 카카오페이 등을 포함한 간편결제 서비스에 관심이 커지고 있다.

제로페이는 고객이 상점에 비치된 QR(Quick Response) 코드를 스캔하고 결제금액을 입력하면, 고객과 판매자 사이에서 실시간으로 계좌이체가 이뤄지는 구조로 운영된다.

이 과정에서 카드사와 밴(VAN)사 등의 금융사를 통하지 않게 돼 수수료 절감 효과를 기대할 수 있다. 또 소비자는 공인인증서나 OTP 등 결제를 위한 복잡한 절차도 생략할 수 있게 된다.

그러나 계좌이체를 기반으로 하는 간편결제 서비스는 일반 신용카드 대비 보안에 취약하다는 우려도 존재한다.

간편결제 서비스는 판매자와 구매자가 직접 거래하는 방식이기 때문에, 결제 과정에서 발생하는 오류 및 사고에 대한 책임소재도 불분명하다.

예컨대, QR코드 내에 바이러스를 심거나 이를 해커의 계좌로 연동하게 되면 계좌정보 등 개인정보가 유출될 수 있다.

소위 큐싱(QR코드와 피싱의 합성어)으로 불리는 QR코드의 해킹은 스마트폰을 악성 코드에 감염시켜 보안카드나 전화번호, 메시지 등을 빼내는 수법이다.

이를 대비하기 위해 보안 장비와 프로그램을 설치하게 되면 부득이하게 비용이 추가되고, 사용 편의성 또한 떨어질 수밖에 없다.

결국 수수료 절감과 절차의 최소화라는 도입 취지가 유명무실해지는 셈이다.

이에 금융위원회는 최근 안전한 간편결제를 위한 QR 표준을 제정·공표했다.

이러한 QR 표준은 위·변조 방지를 위해 QR코드 내에 자체 보안 기능을 갖추고, 민감한 개인·신용정보의 포함을 금지하고 있다. 아울러 외부 URL 연결시 해당 사이트에 대한 보안점검 및 해킹방지 대책을 취하도록 규정하고 있다.

또 QR코드 훼손 후 허위의 정보를 담아 위·변조에 이용하는 행위를 예방하기 위해 오류 복원율을 15% 이하로 제한하고 있다. 더욱이 고정형 QR코드의 경우 위·변조 방지를 위한 특수필름을 부착하도록 명시하고 있다.

그러나 금융위원회의 QR 표준은 권고사항에 불과할 뿐 강제성이 없다는 점은 한계로 지목된다. 또 간편결제 서비스의 시장 규모를 고려하면 규정된 정보보안 표준은 매우 미비한 수준에 그친다는 점도 문제다.

초기에 정보보안과 관련한 문제점을 선제적으로 해결한 후 서비스를 적극 활성화했어야 한다는 지적이 나오는 이유인 셈이다.

정부는 간편결제 서비스 이용 시 발생하는 오류 및 사고와 관련한 대비책을 보다 명확히 할 필요가 있다.

해킹 등의 시스템 오류로 인해 잘못 결제된 금액을 취소·철회할 수 있는 규정을 정비하고, 결제 오류·문제 발생시 간편결제 사업자, 서비스 제공업체, 통신사 간의 책임소재에 대한 뚜렷한 기준을 수립해야 한다.

소비자는 서비스 제공업체의 소비자보호 약관에 대한 정확한 이해를 바탕으로 오류에 대한 대응방안을 사전에 파악해 혼란을 최소화해야 할 것이다.

서울시의 제로페이의 도입으로 당분간 간편결제 서비스 시장은 지속적으로 확대될 것으로 보인다. 따라서 위의 제도적 정비와 동시에 일일 결제한도를 일정액수 이하로 제한하는 조치도 필요하다. 이후 상황을 고려해 이를 점진적으로 완화하는 현실적인 방법도 고려할 필요가 있다. (법무법인 충정 김영우 변호사)

[e-mail]

(끝)