얼굴 아닌 사진으로 인증... 계좌 열려
사진 도용 땐 금융 사기 등 악용 가능성
서비스 중단... “테스트 후 재개할 것”

신한은행이 지난 4일 출시한 ‘얼굴 인증 기반 ATM(현금자동입출금기) 출금 서비스’에서 심각한 보안상 취약점이 6일 드러났다. 이 서비스는 사전에 정보를 등록한 고객의 얼굴을 ATM이 인식해 입출금 및 송금을 할 수 있게 한 것인데, 실제 얼굴이 아닌 사진으로도 인증이 가능한 것으로 확인됐다. 사진 도용으로 인한 사기 인출이나 계좌 정보 유출 등 피해가 우려된다. 서울신문 취재가 시작되자 신한은행은 얼굴 인증 ATM 서비스를 중단했다.

이 서비스는 신한은행 앱(애플리케이션) 또는 영업점에서 얼굴을 등록해 사용할 수 있다. 기자는 신한은행 앱에서 얼굴을 등록했다. 이후 직원과의 영상통화를 통한 본인 확인 절차가 끝나자 얼굴이 등록됐다. 기자는 얼굴 인증 ATM이 문제없이 작동하는지 확인하러 이날 오후 서울 중구 A지점을 찾았다. 먼저 실제 얼굴로 인증을 해봤다. 얼굴 인증을 누르자 ATM 왼쪽에 카메라가 기자의 얼굴을 인식했고 약 2초 만에 계좌를 열었다.

문제는 다음부터다. 과거 휴대전화로 찍어둔 기자의 얼굴을 ATM 카메라에 내밀자 마찬가지로 계좌가 열렸다. 실물과 사진을 전혀 구분하지 못했다. 이 같은 오류는 인근 B지점의 얼굴 인증 ATM도 마찬가지였다. 사진으로 계좌가 열렸다. 다만 출금이나 송금하려면 비밀번호를 입력해야 한다. 신한은행에 따르면 얼굴 인증 기반 ATM은 이날 현재 전국에 300개가 설치돼 있다.

이와 관련해 한 시중은행 관계자는 “당장 출금이나 송금이 안 된다고 해도 계좌를 열어볼 수 있다는 것 자체로 큰 문제”라면서 “범죄에 악용될 가능성도 적지 않다”고 말했다. 또 다른 은행 관계자는 “시행 초기라 비밀번호 입력이라는 보안 단계를 한 번 더 거치게 한 것 같은데 사진으로 인증이 뚫린다는 것은 허술해도 너무 허술하다”고 말했다.

문제가 불거지자 신한은행은 이날 얼굴 인식 ATM 서비스를 잠정 중단했다. 다시 테스트를 한 뒤 재개한다는 입장인데 재개 시점은 불투명하다. 신한은행은 “개발 과정에서 사진을 통한 인증이 안 되게 여러 차례 테스트를 거쳤다”면서 “다만 서비스 시작 이후 얼굴 인식률이 너무 떨어진다는 고객 불만이 많아 시스템을 손봤다. 이 과정에서 문제가 생긴 것으로 추측된다”고 밝혔다.

이와 관련해 황석진 동국대 국제정보보호대학원 교수는 “안면 인식 기술은 아직 오류가 많다. 정교한 인증 체계를 만들어 안정성을 보장할 필요가 있다”고 말했다.