‘애플페이’ 왜 이래...인증절차 허점 악용한 결제 피해 사례 속출

▲사진=블룸버그

미국 애플이 자사의 모바일 결제 시스템 ‘애플페이’ 인증절차의 허점을 악용한 피해 사례가 속출해 골머리를 앓고 있다.

월스트리트저널(WSJ)은 5일(현지시간) 관계자의 말을 인용, 지난해 대규모 해킹 피해를 입은 홈디포와 타깃에서 유출된 신용카드 정보로 애플페이에서 결제하는 부정 사례가 늘고 있다고 보도했다.

관계자들에 따르면 부정 사용의 약 80%가 애플 스토어에서 스마트폰을 사용해 구입한 고가의 상품이었다. 이러한 애플 제품은 애플페이의 다른 가맹점을 통해 판매되는 가격보다 재판매 가격이 높다.

작년 10월에 서비스를 시작한 애플페이는 미국에서 사용이 활발하다. 애플에 따르면 1월 현재 비자, 마스타카드, 아메리칸익스프레스 등의 비접촉 결제 이용 금액의 3분의 2가 애플페이를 통한 것이었다. 애플은 애플페이의 해외 진출도 서두르고 있다.

애플페이 자체는 해커의 피해를 받지 않는 대신 훔친 신용카드 정보를 스마트폰에 입력하면 플라스틱 카드 없이 제품을 구입할 수 있다. 애플 대변인은 “애플페이는 보안이 매우 높고, 이용자의 개인정보를 보호하도록 설계되어 있다”고 설명했다.

그러나 애플페이의 보안은 예상보다 허술한 것으로 나타났다. 앞서 애플과의 비밀유지 계약 때문에 익명을 요구한 금융업계 관계자는 WSJ와의 인터뷰에서 “신용카드 가입 시 인증 절차의 취약성 때문에 도용 사례가 증가하고 있어 금융기관이 인증절차 강화에 나서고 있다”고 말했다.

이같은 애플페이의 허점은 지난달 본격적으로 불거졌다. 모바일 결제전문가인 체리언 에이브러햄 씨는 자신의 블로그를 통해 “도용 사례가 잡초처럼 성장하고 있다”며 “금융기관은 적군과 아군 구별도 못할 정도”라고 지적했다.

그에 따르면 애플페이를 통한 부정행위 발생률은 약 6%에 이른다. 플라스틱 카드의 경우 약 0.1%인 점을 감안하면 상당히 높은 수치다. 또한 발생률은 카드 발행사에 따라 차이가 있다.

애플페이는 암호화된 결제 정보를 스마트폰 내에 가장 안전한 부분에 저장한다. 지문 인증 단말기 소유자에 의해 결제가 이뤄졌는지 확인하고 가맹점 측이 고객의 신용카드 정보를 보지 못하도록 일회성 패스워드를 발행하는 구조다.

하지만 에이브러햄 씨는 애플페이의 허점은 이 과정보다 앞선, 즉 신용카드 정보를 애플페이에 등록할 때 발생한다고 지적했다. 이용자가 카드 정보를 입력하면 전화기 종류와 전화번호의 마지막 4자리, 이용자의 대략적인 위치 정보 등을 카드 발급 금융기관에 전송한다. 애플의 정보와 차이가 인정되는 경우 금융기관은 본인 확인이 가능한 전화기를 통해 추가 질문을 할 수 있다.

에이브러햄 씨는 금융기관의 일부는 애플페이에 등록하기 쉽도록 고객의 인증절차를 간소화한 것이 문제라고 지적했다. 예를들어 사회보장번호의 마지막 4자리를 묻는 금융기관도 있는데, 이 때 본인의 신용 기록이나 개인정보를 알고있는 사람이라면 쉽게 알아낼 수 있다는 것.

애플은 애플페이를 통한 결제 금액의 0.15%를 금융기관으로부터 받고 있다. 이것은 애플페이의 보안이 전통적인 신용카드 사용보다 안전하다고 금융기관을 설득해 얻어낸 것이다. 그러나 애플페이의 인증절차에 구멍이 뚫리면서 대책 마련이 시급하게 됐다.