지난달 5일 서울 홍대의 한 고깃집. 젠슨 황 엔비디아 최고경영자(CEO) 등과의 만찬 자리에서 이해진 네이버 이사회 의장이 ‘페이스사인(Face Sign)’ 단말기를 응시했다. 1초 만에 “결제 완료” 알림이 울렸다. 황 CEO는 “오”하고 짧은 탄성을 내뱉었다. 국내 얼굴결제 시장의 급격한 확산을 보여주는 광경으로 평가됐다.
이날 이후 일주일 만에 국내의 신규 얼굴결제 등록자가 193%나 폭증했다. 네이버의 경쟁업체인 토스는 ‘페이스 페이’ 가입자가 600만 명을 넘어섰다. 양사는 전국에 50만 대 이상의 전용 단말기를 보급하며 오프라인 결제 시장의 판세를 뒤흔들고 있다.
31일 관련업계에 따르면, 지갑도, 스마트폰도 꺼낼 필요 없이, 단말기에 얼굴을 비추면 결제가 되는 얼굴결제가 전국 편의점·프랜차이즈·야구장으로 최근 급속히 확산하고 있다. 얼굴결제를 통해 네이버는, 검색-예약-지도-결제-리뷰를 하나의 생태계로 연결하려 하고 있다. 토스는 금융 슈퍼앱과 결합해, 얼굴 결제의 소비 데이터를 금융상품 추천과 AI 서비스까지 연결하려 한다.
얼굴결제의 확산과 동시에, 이 위변조에 대한 우려도 커지고 있다. 전문가들은 “편리함만큼 위험이 커지고 있다”고 말한다. 마스크·3차원 프린팅 등을 악용한 얼굴결제의 취약성이 지적된다. 이 때문에 서비스 가입을 꺼리는 이들이 적지 않다. 업계는 편의성과 보안 사이에서 줄타기를 하고 있다.
특히 생성형 인공지능(AI)과 딥페이크 기술 발달은 위변조 가능성을 갈수록 높이고 있다. 토스와 네이버는 생체정보 유출 우려를 줄이기 위해 모두 비식별화 기술을 적용하고 있다. 두 회사는 얼굴의 원본 사진은 저장하지 않는다. 대신, 3차원의 얼굴 특징값만 추출해 암호화하고 이를 저장한 뒤, 결제 시 특징값만 비교하는 방식을 사용한다. 일반 사진만으로는 인증되지 않도록, 실제 사람 여부를 확인하는 ‘라이브니스(Liveness)’ 기술도 양사는 함께 적용하고 있다.
여기에 토스는 AI 이상거래탐지시스템(FDS)과 피해보상제도도 운영하고 있다. 네이버 역시, 원본 영상을 저장하지 않는 구조를 채택했다. 그러나 “안전하다”는 양사의 말만 믿기는 어렵다는 인식도 확산되고 있다. 비식별화 기술이 만능은 아니기 때문이다.
국내외 보안 전문가들은 얼굴결제의 가장 큰 약점으로 생체정보의 비가역성(irreversibility) 을 꼽는다. 비밀번호는 유출되면 변경하면 되지만, 얼굴은 평생 바꿀 수 없다. 암호화된 특징값이 외부에 유출되거나 다른 정보와 결합될 경우, 장기간 악용될 가능성을 배제하기 어렵다는 것이다. 개인정보보호 전문가들은 “생체정보는 가장 민감한 개인정보”라며 “유출 사고가 발생하면 그 피해가 최악의 경우 수십 년 동안 지속될 수도 있다”고 우려한다.
생성형 AI 기술 발달도 새로운 변수다. 최근 얼굴을 실시간으로 합성하는 딥페이크 기술이 빠르게 발전하면서, △고해상도 3D 마스크 △실리콘 마스크 △초정밀 영상 합성 등을 활용한 인증 우회 공격 가능성이 꾸준히 제기되고 있다.
물론, 현재 토스와 네이버는 △눈 깜빡임 △얼굴 움직임 △입체 깊이 △적외선 정보 등을 동시에 분석하는 라이브니스 기술을 적용하고 있다. 하지만 보안 전문가들은 “보안은 공격 기술보다 항상 한 발 앞설 수는 없다”며 “AI 기반 위변조 기술도 함께 발전하기 때문에 지속적인 기술 고도화가 필수”라고 말한다.
중국은 알리페이의 ‘스마일 투 페이(Smile to Pay)’가 수천만 명 규모로 사용되고 있으며, 미국과 유럽연합(EU)에서도 얼굴결제가 확대되고 있다. 얼굴결제와 개인정보 규제는 이들 국가에서 더 엄격해지고 있다. EU는 생체정보를 최고 수준의 민감정보로 분류해 엄격한 보호 기준을 적용하고 있다.
각국 금융당국도 △최소 정보 저장 △이용 목적 제한 △삭제권 보장 등을 요구하는 추세다. 국내 역시 개인정보보호위원회와 금융당국이 생체정보 활용 기준을 지속적으로 강화하고 있다.
전문가들은 얼굴결제의 성공 여부는, 기술보다 소비자의 신뢰 확보에 달려 있다고 지적한다. ‘얼마나 편리한가’보다 ‘얼마나 안전한가’가 결정할 것이라는 진단이다. 인프라 확대 이상으로, 사고 발생 시 책임 구조, 데이터 보관·파기 정책에 대한 투명한 설명이 뒤따라야 한다는 지적이 나온다.
한 핀테크 전문가는 “얼굴결제는 앞으로 AI 비서, 스마트 매장, 무인매장까지 연결되는 핵심 인프라가 될 수 있다”며 “하지만 생체정보 보호에 대한 사회적 신뢰를 얻지 못하면, 성장에 한계가 있을 것”이라고 말했다.
과거에도 대중화에 결국 실패한 다양한 생체인증 기술이 있었다. 롯데카드는 2017년 7월 세계 최초로 손바닥 정맥으로 결제하는 간편결제 서비스를 선보였지만, 최근 서비스를 종료했다. 이용 가맹점이 많지 않아 접근성이 떨어지고, 핸드페이를 등록하기 위해 전용 셀프 등록기를 직접 방문해야 했던 불편함이 실패 요인으로 꼽혔다.
지난 2020년 얼굴결제를 도입한 신한카드 역시 지난 3월 관련 서비스를 종료했다. 신한카드 본사 내 카페와 편의점 등을 제외하면 외부 가맹점이 거의 없어 상용화에 어려움을 겪었기 때문이다.
얼굴결제의 한계를 보완하기 위해 네이버와 토스는 지문·손바닥 정맥·홍채 등을 결합한 ‘멀티모달 인증’을 다음 단계로 추진하고 있다. 밝은 곳에서는 얼굴, 어두운 곳에서는 홍채로 전환하는 방식 등으로 단일 기술의 실패 확률을 낮추는 방향이다.
권선무 기자
[ⓒ데이터저널리즘의 중심 데이터뉴스 - 무단전재 & 재배포 금지]
많이 본 뉴스
Copyright © Datanews Corp. All Rights Reserved.