모바일뱅킹앱, 공인인증서 안 쓰는데도 안전?

씨티은행 "ID/비번-지문만 이체…기기인증 활용"

공인인증서를 쓰지 않고도 편리하고 안전하게 금융 거래를 할 수 있는 모바일뱅킹앱이 나왔다.

한국씨티은행은 ID와 비밀번호 혹은 지문인증만으로 이체는 물론 신규 계좌개설, 각종 금융상품 가입까지 지원해주는 모바일뱅킹 앱을 선보였다. 새로운 앱은 기존 뱅킹앱과 신용카드앱을 하나로 통합한 것이다.

특히 이 앱은 이체위험도에 따라 거래를 구분, 자주 쓰는 계좌는 인증 과정을 한번만 거치면 다음부터는 보안카드, 일회용비밀번호(OTP), 문자메시지나 ARS 인증을 할 필요가 없다고 씨티은행 측이 강조했다.

공인인증서 필요 없는 모바일뱅킹앱은 국내 시중은행들이 여러 차례 출시했다. 하지만 최소 한 차례 이상 인증서가 필요하거나 이체금액 30만원 이하로 제한되는 등 한계가 적지 않았다. 뱅킹 외에 인증용 앱을 따로 설치해야하는가 하면 공인인증서 대신 사설인증서를 쓰기도 해 번거롭고 불편한 경우도 많았다.

공인인증서를 안 쓰는 모바일뱅킹 서비스를 제대로 만들고 싶어도 보안 걱정 때문에 뾰족한 대안을 찾지 못했던 탓도 크다.

한국씨티은행이 새로 출시한 'NEW씨티모바일'은 ID와 비밀번호로 로그인하거나 지문인증을 거치는 것만으로 바로 이체가 된다는 점 때문에 많은 관심을 모으고 있다.

■"공인인증서 없이도 편리하고 안전하다"

한국씨티은행은 지난 1일 새로 문을 연 한국씨티은행 청담센터에서 기자간담회를 열고 자사 앱을 소개하는 자리를 가졌다. 이날 박진회 한국씨티은행장은 "이제는 모든 고객들이 주머니 안에 은행을 담고 나닌다"며 "새로운 앱은 계좌 신규개설, 해지, 대출, 외환, 투자 등 모든 업무를 가능케 했다"고 설명했다.

한국씨티은행 e-비즈니스팀 김민권 팀장에 따르면 새로운 씨티모바일은 ID/비밀번호와 지문만으로 모든 금융거래를 할 수 있도록 했다. 여전히 공인인증서를 선호하는 사용자들을 위한 옵션을 지원하기는 하지만 핵심은 보다 편리한 모바일뱅킹서비스를 구현하겠다는 것이다.

그는 "지난해 4월16일 금융위원회가 공인인증서 의무사용규정을 폐지했지만 여전히 인증서 없는 금융서비스는 답보상태"라며 "사용자들은 스마트폰을 교체할 때마다 인증서를 새로 내려받고, 매년 재발급 받아야하는 스트레스가 있는 여전한 실정"이라고 말했다.

공인인증서는 공개키기반구조(PKI)라는 국제 표준 암호화 기술을 활용하지만 안전하게 관리돼야할 인증서와 개인키를 사용자 PC나 스마트폰 등에 저장하는 방식으로 허술하게 관리해 온 탓에 여러 보안사고에 노출됐었다. 인증서를 발급받고 갱신하고, 서로 다른 은행에서 쓰기 위해서는 타행 인증서를 등록하는 등 여러 단계 절차를 거쳐야 한다는 점도 그동안 불편함이 제기됐었다.

박진회 한국씨티은행장(오른쪽)은 이제는 모든 고객들이 주머니 안에 은행을 담고 다닌다며 새로운 앱은 계좌 신규개설, 해지, 대출, 외환, 투자 등 모든 업무를 가능케 했다고 설명했다.

■기기인증-글로벌 FDS로 보안성 높여

새로운 씨티모바일앱은 공인인증서를 안 쓰는 대신 ID/비번 혹은 지문인식을 활용할 수 있다. 일각에서는 이미 웹사이트에서 수차례 털렸던 ID/비번 방식이나 복제우려가 있는 지문인식만 믿고 어떻게 내 돈을 이체할 수 있을까 하는 의문을 제기하기도 한다.

한국씨티은행은 이 같은 우려를 없애기 위해 기기인증과 씨티은행 글로벌 리스크 관리조직이 구축, 운영 중인 사기예방 모니터링 시스템(FDS)에 축적된 데이터를 활용한다.

기기 인증은 스마트폰 하나에서만 모바일뱅킹앱을 쓸 수 있게 하는 방법이다. 이를 위해 처음 이 앱을 설치한 뒤에 문자메시지나 ARS 인증 등으로 사용자 기기를 확인한 뒤 등록하는 절차를 거친다. 다른 기기에서는 앱을 이용할 수 없게 해 사기를 막겠다는 취지다.

이상거래나 부정거래로 의심되는 사용자에 대해서는 추가인증을 요구하거나 거래를 원천차단하는 등 조치를 취한다. 국내서는 EY로부터 해당 앱에 대한 침투 테스트를 마쳐 보안취약점 점검을 완료했다. 금융보안원의 보안성 검토도 마쳤다.

김 팀장은 "NEW씨티모바일은 한국이 20번째 출시되는 나라"라며 "씨티은행은 일종의 '프랜차이즈 리스크'가 있기 때문에 한국, 아시아, 글로벌 담당 부서에서 모두 검토를 받아야지만 출시할 수 있다"고 밝혔다. 그만큼 여러 단계를 거쳐 큰 문제가 없는 수준으로 리스크를 줄여놨다는 설명이다.

■스냅샷-반복이체 임직원들 사이에도 인기 높아

한국씨티은행은 공인인증서 없이 쓸 수 있는 새로운 씨티모바일의 강점으로 '스냅샷'과 '반복이체'를 꼽았다.

스냅샷은 사용자가 해당 앱에 로그인하지 않고 실행하는 것만으로 로그인을 하지 않고도 자신의 계좌잔액, 신용카드 거래내역, 펀드수익률 등을 조회해 볼 수 있도록 했다. 거래내역의 경우에는 최근 15건까지만 표시된다.

반복이체는 이전에 이체를 했던 상대방에게 같은 금액을 이체할 경우 추가적인 입력절차 없이 재이체가 실행될 수 있게 한 기능이다. 김 팀장에 따르면 특히 반복이체는 한국씨티은행 임직원들을 대상으로 한 내부 테스트에서 큰 호응을 받았다. 예를들어 월별 관리금을 이체해야하거나 정기적으로 용돈을 줘야하는 등의 경우에 손쉽게 쓸 수 있기 때문이다.

이 앱은 1일부터 구글 플레이 스토어에서는 새로운 씨티모바일앱을 다운로드받아 사용할 수 있으며, iOS용은 다음주 초에 애플 앱스토어를 통해 이용할 수 있게 될 전망이다.