넥서스 금융 브리핑

누구에게

온라인으로 금융거래를 하는 모든 이용자

무엇을

본인확인 수단과 전자서명 수단의 자격 요건

언제부터

2020년 12월 10일 공인인증서 제도 폐지

어디서 확인

본인확인 지원포털 identity.kisa.or.kr

01 · 이 제도는 무엇을 정하는가

규칙의 내용

온라인 본인 확인은 세 갈래로 나뉜다. 첫째는 이 사람이 누구인지를 확인하는 본인확인이다. 둘째는 이 지시가 이 사람의 뜻임을 증명하는 전자서명이다. 셋째는 금융회사가 계좌를 열어 줄 때 하는 실명 확인이다. 근거 법률과 감독기관이 각각 다르다.

본인확인은 주민등록번호를 쓰지 않고 하도록 되어 있다. 정보통신망법 제23조의2가 주민등록번호의 사용을 제한한다. 이를 위해 본인확인기관이라는 제도가 있다. 같은 법 제23조의3이 주민등록번호를 대신할 확인 수단을 제공하는 사업자를 심사해 지정하도록 정한다. 지정 심사는 방송미디어통신위원회가 맡고, 실무는 한국인터넷진흥원이 지원한다. 널리 쓰이는 대체수단은 아이핀, 휴대전화, 신용카드, 인증서 네 가지다.

전자서명 쪽에서는 2020년 12월 10일에 큰 변화가 있었다. 전자서명법이 전부 개정되면서 공인전자서명 제도가 폐지됐다. 국가가 정한 하나의 인증서만 법적 효력을 인정받던 구조가 사라지고, 여러 전자서명이 같은 자격으로 경쟁하게 됐다. 대신 전자서명의 신뢰성과 안전성을 평가해 인정하는 제도가 새로 들어왔다.

금융거래를 시작할 때의 실명 확인은 또 다른 규칙이다. 원래는 창구에서 신분증을 보고 확인해야 했지만, 2015년 12월부터 사람을 만나지 않고 확인하는 방식이 허용됐다. 시스템을 갖추고 안정성과 보안성 시험을 거친 금융회사부터 적용됐다.

02 · 왜 만들어졌는가

이 규칙이 없던 시절

인터넷 금융이 시작되던 시기에 우리나라는 공인인증서라는 하나의 수단을 사실상 강제했다. 은행 거래도 관공서 업무도 같은 인증서를 썼다. 하나로 통일하면 안전할 것 같지만 문제가 있었다. 인증서 파일이 이용자의 컴퓨터에 저장돼 있었기 때문에 그 파일과 비밀번호를 함께 빼내면 남의 명의로 거래할 수 있었다.

이용 환경도 발목을 잡았다. 특정 운영체제와 특정 브라우저에서만 동작했고, 여러 보안 프로그램을 함께 설치해야 했다. 국가가 하나의 기술을 지정한 결과 다른 방식이 자라지 못했다. 2020년 12월 10일 시행된 전자서명법 전부개정은 이 구조를 바꿨다. 공인전자서명이라는 특별한 지위를 없애되, 기존 인증서를 쓰던 사람들이 곤란하지 않도록 유효기간까지는 계속 쓸 수 있게 했다.

본인확인기관 제도는 다른 사건에서 나왔다. 인터넷 회원가입 때마다 주민등록번호를 적던 시절에 대규모 유출이 이어졌다. 주민등록번호는 평생 바꾸지 못하는 번호이므로 한 번 새어 나가면 되돌릴 방법이 없다. 그래서 주민등록번호를 쓰지 않고 본인을 확인하는 수단을 제공하는 사업자를 따로 지정하는 방식이 도입됐다.

비대면 실명확인은 반대로 규제를 푸는 방향이었다. 금융실명제 아래에서는 계좌를 만들려면 창구에 가야 했다. 인터넷전문은행처럼 점포가 없는 형태는 성립할 수 없었다. 2015년 12월 2일 국내 첫 비대면 실명확인 통장이 발급되면서 이 벽이 걷혔다. 2020년 1월부터는 법인 대표자가 아닌 임직원 대리인도 비대면으로 법인 계좌를 열 수 있게 됐고, 외국인등록증도 쓸 수 있게 됐다.

03 · 실제로 어떻게 작동하는가

적용 요건과 예외

이용자가 실제로 마주치는 것은 세 종류의 인증 수단이다. 어디에 보관되는지, 누가 발급하는지, 어디까지 쓸 수 있는지가 서로 다르다.

공동인증서

예전의 공인인증서가 이름을 바꾼 것이다. 인증서 파일이 이용자의 컴퓨터나 휴대전화, 저장매체에 들어 있다. 그래서 기기를 옮기려면 복사해야 하고, 그 파일이 유출되면 위험해진다. 쓰이는 범위는 넓다.

금융인증서

금융결제원이 발급하며 인증서를 이용자 기기가 아니라 금융결제원의 클라우드에 보관한다. 기기를 바꿔도 옮길 필요가 없고 파일 분실 위험이 없다. 다만 이용할 수 있는 기관의 범위는 공동인증서와 다르다.

간편인증

민간 사업자가 발급하는 사설 인증서다. 공인전자서명 제도가 폐지되면서 이들도 같은 자격으로 쓰인다. 발급과 사용이 쉬운 대신, 어느 기관에서 받아 주는지가 사업자마다 다르다.

본인확인기관

주민등록번호를 쓰지 않고 본인을 확인하는 수단을 제공하는 사업자다. 정보통신망법 제23조의3에 따라 안전성 확보 조치계획과 기술적·재정적 능력을 심사받아 지정된다. 지정된 기관이 본인확인업무를 쉬려면 30일 전에, 그만두려면 60일 전에 이용자에게 알려야 한다. 아이핀, 휴대전화, 신용카드, 인증서가 대표적인 대체수단이다.

비대면 실명확인

창구에 가지 않고 계좌를 여는 절차다. 신분증 사본 제출, 영상통화, 접근매체를 전달할 때의 확인, 이미 실명 확인을 마친 다른 계좌를 이용한 확인 같은 방법을 조합해 쓴다. 여러 방법을 겹쳐서 확인하는 것이 원칙이다.

인증이 뚫렸을 때

책임 분담은 전자금융거래법 규칙을 따른다. 접근매체의 위조·변조나 전송·처리 과정의 사고는 금융회사가 배상하되, 이용자가 인증 수단을 남에게 빌려주거나 노출·방치했다면 중대한 과실로 취급된다.

적용되지 않는 것

인증 수단은 본인 여부만 확인한다. 본인이 스스로 속아 이체한 거래는 인증이 정상적으로 이뤄진 거래이므로 인증 제도로는 걸러지지 않는다. 이런 피해는 별도의 피해구제 절차로 다뤄진다.

04 · 나에게 어떻게 적용되는가

상황별로 본다

01
공인인증서가 없어졌다는데 뭘 써야 하는지 모르겠다
공인전자서명이라는 특별한 지위가 없어진 것이지 인증서가 사라진 것은 아니다. 이름이 공동인증서로 바뀌었고, 금융인증서와 민간 간편인증도 같은 자격으로 쓸 수 있다. 거래하려는 기관이 어떤 수단을 받는지 확인해 고르면 된다.
02
휴대전화를 바꿀 때마다 인증서 옮기기가 번거롭다
공동인증서는 파일이 기기에 저장돼 있어 옮겨야 한다. 금융인증서는 금융결제원 클라우드에 보관되므로 기기를 바꿔도 옮기지 않는다. 다만 이용할 수 있는 기관의 범위가 다르므로 자주 쓰는 곳에서 받는지 확인해야 한다.
03
온라인 가입 때 주민등록번호를 적으라고 한다
주민등록번호를 쓰지 않고 본인을 확인하는 것이 원칙이다. 본인확인기관이 제공하는 대체수단, 곧 휴대전화나 아이핀, 신용카드, 인증서를 통한 확인을 요구하는 것이 정상적인 절차다. 주민등록번호를 요구하는 이유를 확인해야 한다.
04
점포에 가지 않고 계좌를 만들려 한다
비대면 실명확인 절차를 거치면 된다. 신분증 사본 제출과 영상통화, 기존 계좌를 통한 확인 같은 방법을 여러 개 겹쳐서 진행한다. 절차가 번거롭게 느껴져도 이는 명의도용을 걸러 내기 위한 것이다.
05
내 명의로 모르는 계좌가 만들어졌다
비대면 실명확인 절차가 도용된 경우다. 즉시 해당 금융회사에 알려 계좌를 막고 수사기관에 신고한다. 금융감독원 파인의 개인정보 노출자 사고예방 등록을 신청하면 추가 계좌 개설과 카드 발급을 제한할 수 있다.

05 · 아직 해결되지 않은 것

이 규칙이 막지 못하는 것

제도의 빈틈

규칙이 있다고 해서 다 막히는 것은 아니다.

01
인증 수단이 여러 갈래로 나뉘면서 이용자가 어느 기관에서 어떤 수단을 받아 주는지 매번 확인해야 한다. 선택권이 늘어난 만큼 관리해야 할 수단도 늘었다.
02
본인확인은 사람이 맞는지만 확인한다. 확인 절차를 정상적으로 통과한 뒤에 벌어지는 거래가 본인의 진짜 뜻인지까지는 걸러 내지 못한다.
03
비대면 실명확인은 신분증 사본과 영상에 의존하는 부분이 있다. 사본이 위조되거나 다른 사람이 대신 나타나는 방식의 도용을 완전히 막지 못한다.
04
간편인증은 사업자마다 보안 수준과 사고 처리 방식이 다르다. 이용자가 그 차이를 비교할 수 있는 정보는 충분히 제공되지 않는다.
05
인증 사고의 책임 분담은 결국 이용자가 인증 수단을 어떻게 관리했는지를 따지는 문제로 돌아온다. 어디까지 관리해야 중대한 과실을 면하는지는 사안이 생긴 뒤에야 판단된다.

이 제도가 적용되는 상품