700만명 모은 토스 ‘페이스페이’…"보안 난이도 강화…금융권 수준"

[인터뷰] 신종주 페이스모델링팀 리더 "오결제 시 보상" 자신감

최근 편의점이나 카페 등에서 얼굴 인식으로 결제하는 모습을 종종 볼 수 있다. 결제 단말기에서 얼굴 인증에 성공하면 등록된 카드로 자동 결제가 이뤄진다. 지갑이나 스마트폰이 없어도 토스에 결제 수단과 얼굴 인증을 등록하면 누구나 ‘페이스페이’를 이용할 수 있다.

토스는 지난해 3월 서울 일부 지역에서 페이스페이를 시범 출시한 뒤 같은 해 9월 전국으로 확대하며 정식 출시했다. 이후 약 5개월 만에 가입자 200만명을 돌파했고 최근 누적 가입자는 700만명을 넘어섰다.

토스의 얼굴인식 모델은 자체 기술을 기반으로 한다. 서비스 초기에는 외부 솔루션을 도입했지만 기술 내재화를 위해 독자 솔루션 개발에 나섰다. 현재까지 400만명의 사용자 얼굴 이미지를 모델 학습에 활용했으며, 나머지 300만명 이미지도 학습할 계획이다.

신종주 토스 페이스모델링팀 리더

페이스페이 출시 1주년을 맞은 토스는 빠르게 늘어나는 이용자 수요에 맞춰 보안 강화 등 기술 고도화에 나서고 있다. 지디넷코리아는 지난달 26일 서울 서초구 토스 신논현 오피스에서 페이스페이 기술을 이끄는 신종주 토스 페이스모델링팀 리더를 만나 인터뷰를 진행했다.

페이스페이, 700만명 중 한 명 찾는 기술

신 리더는 페이스페이 인식 기술을 사용자의 얼굴을 찾고 식별하는 기술이라고 설명했다. 먼저 이용자의 얼굴 유무를 판단한 뒤 해당 이미지를 서버로 보내 기존 데이터베이스(DB)와 비교한다. “인증을 시도한 사용자가 기존에 등록된 700만 명 중 누구인지 찾아내는 일”이라는 것이 신 리더의 설명이다.

사용자를 식별하는 것만큼 등록되지 않은 사용자를 구별하는 것도 중요하다. 그는 “미등록 사용자가 결제를 시도했을 때 내부 DB에 없는 사람이라는 것도 알아내야 한다”며 “미등록자가 700만명 중 한 명으로 인식되면 결제 사고로 이어지기 때문”이라고 강조했다.

페이스페이는 은행 뱅킹 앱이나 증권사 모바일트레이딩시스템(MTS) 등 전통 금융권에서 제공하는 얼굴인증 서비스와 차이가 있다. 대부분 금융사의 얼굴인증 서비스는 스마트폰 제조사가 제공하는 단말기 기능을 활용한다.

페이스페이는 크게 네 가지 모델로 구성된다. ▲사용자의 얼굴을 찾아내는 페이스 디텍션 모델 ▲마스크 착용 여부 등을 판별하는 페이스 퀄리티 어세스먼트 모델 ▲사진 등 가짜 얼굴을 찾아내는 라이브니스 디텍션 모델 ▲해당 얼굴이 누구인지 구분하는 페이스 레코그네이션 모델이다. 결제 순간에는 위변조를 탐지하는 라이브니스 기술과 이상거래탐지시스템(FDS)이 동시에 작동한다.

토스 결제 단말기에서 페이스페이 서비스가 이뤄지는 모습 (사진=토스 홈페이지)

닮은꼴·쌍둥이는 ‘추가 인증’으로 안전장치

토스 페이스페이는 사용자에게 생긴 미묘한 외모 변화도 포착한다. 안경이나 화장법을 바꾸거나 모자를 쓰는 수준의 변화는 모델 트레이닝을 통해 인식할 수 있도록 했다.

다만 성형수술 등으로 인상이 크게 달라진 경우에는 인식되지 않을 수 있어 얼굴을 재등록해야 한다.

반대로 형제, 자매, 쌍둥이처럼 사용자와 닮은 사람이 페이스페이 인증을 시도하면 어떻게 될까.

토스는 지금까지 문제가 발생한 적은 없지만 만일의 가능성에 대비해 안전장치를 마련했다. 사용자가 별도로 설정하지 않아도 닮은 얼굴이 있는 경우 얼굴인식 이후 휴대폰 뒷자리 입력 등 2차 인증을 거치도록 했다.

신 리더는 “형제, 자매의 경우 지금까지 (얼굴인식 서비스에서) 큰 문제는 없었다”며 “다만 쌍둥이의 경우 육안으로 보기에도 구별하기 어려울 정도로 닮은 분들이 있는데 사람이 구분하지 못하는 것은 기계도 어렵다”며 사실상 전 세계가 공통으로 겪는 기술적 한계라고 설명했다.

꼭 쌍둥이가 아니더라도 닮은 이용자가 있는 경우 동일하게 적용한다. 그럼에도 오결제가 발생하면 안심보상제를 통해 전액 보상한다는 것이 토스 측 설명이다.

사용자 늘자 보안도 강화…얼굴 정보 암호화

최근 페이스페이 사용자가 빠르게 늘면서 토스는 금융권 수준의 보안 적용에 나섰다.

토스는 이용자 얼굴 이미지별 숫자 고유값인 벡터를 암호화해 서버에 저장하고 있다. 페이스페이 결제 과정에서 이용자 얼굴과 기존 데이터를 비교할 때도 벡터를 암호화한 상태로 처리한다.

신 리더는 “중요한 것은 암호화된 값을 복원할 수 없어야 하는 것”이라며 “그러니까 해커가 벡터를 탈취하더라도 복호화 키는 토스가 가지고 있어 탈취 데이터는 무의미해진다”고 비유했다.

이와 함께 토스 소속 화이트해커와 블랙해커가 페이스페이 서버의 취약점을 파악하고 대응하고 있다.

신 리더는 “사용자가 늘어날수록 보안 난이도가 점점 높아져서 바쁘게 움직이고 있다”고 말했다.

한편 토스는 IT 기술을 활용해 간편송금 등 다양한 서비스를 한 플랫폼에서 공급하는 기업이다.