2026년 10월 29일 9:00 (JST)
【일본】급성장하고 있는 BNPL(후불) 결제는 그 편의성 이면에서 부정 이용 수법이 더욱 고도화·다양화되고 있습니다.결제 정보가 도용되는 신용카드 부정 사용과는 달리, BNPL 부정 사용은 신원 정보나 계정 자체가 표적이 되기 때문에, 계정 등록부터 결제·이용 변경에 이르는 ‘고객 라이프사이클 전체’를 대상으로 한 방어책이 요구됩니다. 일본 후불 결제 서비스 협회에서는 BNPL 특유의 부정 사용 및 사기와, AI를 활용한 방어책 등에 대해 해설합니다.(2026년 9월 25일 개최된 ‘페이먼트·시큐리티 포럼 2026 Fall’ 강연 중에서)
일본 후불 결제 서비스 협회 사와타리 히데카 씨 (Paidy 합동회사 VP of Operations)
일본과 해외에서 다른 BNPL의 기원 역사
편의점 후불 결제나 착불 결제가 편리한 형태로
후불 결제 회사 Paidy의 운영 부사장(VP of Operations)을 맡고 있는 사와타리입니다. 저는 고객 지원, 가맹점 심사, 사기(부정) 조사, 채권 회수 등 8개 팀의 운영을 횡단적으로 총괄하고 있습니다.오늘은 보안의 기술적인 이야기라기보다는, BNPL 운영의 관점에서 어떤 부분이 부정행위의 표적이 되기 쉬운지, 그리고 어떤 대책이 필요한지를 중심으로 소개해 드리고자 합니다.
이번에는 ‘일본 후불 결제 서비스 협회’라는 업계 단체를 통해 발표하게 되었습니다. BNPL 협회의 주요 회원사로는 넷프로텍션, GMO 페이먼트 서비스, 야마토 운수, Paidy 등이 있습니다.BNPL은 간편한 결제 수단인 만큼 법적 규제가 미치지 않는 분야도 있어, 협회 차원에서 가맹점 심사 규칙 마련이나 악질 가맹점 정보 공유 시스템 도입 등에 힘쓰고 있습니다. 또한 경제산업성, 소비자청 등과 함께 의견을 교환하며 업계의 건전한 발전을 목표로 활동하고 있습니다.
BNPL 현장에서 볼 수 있는 부정 이용과 그 대책의 최전선에 대해 전해 드리고자 합니다. 먼저 BNPL이라는 용어에 대해 말씀드리자면, 일본에서는 특히 지난 5~6년, 코로나19 사태 이후에 등장하여 일반적으로 사용되게 되었습니다.Buy Now Pay Later의 약자로, 일본어로 직역하면 ‘지금 사고 나중에 지불한다’는 뜻이므로 신용카드 등도 이에 해당되지만, 일반적인 용어로는 신용카드를 사용하지 않는 간편한 결제 수단으로서의 후불 결제를 BNPL이라고 부릅니다.
해외에서 유래한 용어이지만, 일본에서는 등장 배경이 다릅니다. 일본에 원래 있던 편의점 후불 결제나 ‘대금 수취’라고 불리는 착불 결제 등이 더욱 편리한 형태로 제공되게 된 것이 바로 BNPL입니다. 협회에 야마토 운수가 가입해 있는 것도 바로 이러한 흐름 때문입니다.
신용카드 발급 없이도 사용할 수 있고, 구매 시·이용 시 간편하게 이용할 수 있는 것이 특징이며, 사전에 신용카드를 발급받을 필요가 없어 시간이나 절차가 필요 없이 간편하게 이용할 수 있는 서비스가 많습니다. 상품 확인 후 결제가 가능하다는 점은 일반적인 후불 결제와 동일합니다.
서비스에 따라 할부 결제도 지원하며, 해외에서도 BNPL로 불리는 업체인 Paidy도 3회, 6회 등의 할부 결제 서비스를 제공하고 있습니다. 후불 결제 수수료나 할부 수수료가 무료로 제공된다는 점도 특징입니다.
최근에는 BNPL과 유사한 특징을 가진 신용카드 서비스나, 신용카드와 유사한 BNPL 서비스도 등장하여 경계가 모호해지고 있습니다. 이에 전형적인 BNPL과 신용카드의 차이점을 정리해 보았습니다. 공통점으로는 둘 다 기본적으로 후불 방식이므로, 구매 후 다음 달에 결제하거나 다음 달 이후에 결제하는 서비스라는 점입니다.
이용 시작 단계부터가 약간 달라지는 점이라고 생각합니다. 신용카드의 경우, 카드 발급과 계약이 별도로 필요합니다. 반면 BNPL은 휴대전화나 이메일 주소를 사용하여 스마트폰만으로 모든 절차를 완료할 수 있어 즉시 이용할 수 있다는 것이 특징입니다.
다음 점이 가장 큰 차이점인데, 바로 결제가 완료될 때 사용되는 결제 인증 정보입니다. 신용카드는 신용카드 정보가 핵심 결제 인증 정보가 되지만, BNPL 서비스는 신용카드 번호를 전제로 하지 않기 때문에 계정 정보가 기본적으로 인증 정보가 됩니다.
신용 한도 부여에 관해서도 전형적인 BNPL의 경우 신용카드와는 다릅니다. 신용카드는 계좌 개설 시 심사를 거쳐, 예를 들어 30만 엔의 한도가 부여되고 그 범위 내에서 이용할 수 있는 경우가 많지만, BNPL은 기본적으로 거래할 때마다 심사가 이루어지며, 다음 달에 일괄 결제할 수 있는 방식이 대부분입니다.
결제와 관련해서는 리볼빙 결제가 신용카드 특유의 방식이라고 생각합니다. 결제 방법에서도 약간의 차이가 있는데, 신용카드는 계좌 이체가 일반적입니다. BNPL의 경우 편의점 결제, 은행 송금에도 유연하게 대응하는 곳이 많으며, 계좌 이체도 이용할 수 있지만, 결제 방법을 유연하게 선택할 수 있다는 것이 특징입니다.
Paidy와 관련해서도 몇 가지 서비스가 있습니다. 전형적인 BNPL인 다음 달 일회성 결제 서비스의 경우, 결제 수단으로 ‘Paidy’라는 후불 방식을 선택하시면 됩니다.저희는 계정 발급이라는 개념이 없기 때문에, 계정이 없더라도 이메일 주소와 전화번호를 입력하면 인증 단계로 넘어갑니다. 전화번호로 일회용 비밀번호가 전송되며, 이를 통해 결제가 완료됩니다. ‘다음 달에 한꺼번에 결제’는 전형적인 BNPL 서비스인 저희 서비스의 특징으로, 결제 시마다 심사를 거쳐 다음 달에 한꺼번에 결제하는 방식입니다.
신용카드 번호 도용 93%
BNPL은 전체 프로세스가 표적이 됩니다
BNPL은 프로세스나 관련성 면에서 다른 점이 있지만, 신용카드와는 같은 결제 수단으로서 겹치는 부분이 많습니다. 하지만 공격의 표적이 되는 곳에는 차이가 있다고 생각합니다.
공통된 공격 방식으로는 피싱 공격, 계정 탈취, SMS 인증 등이 있습니다.공격 대상이 되는 부분에 대해서는, 신용카드의 경우 신용카드 번호를 어떻게 훔칠지, 탈취할지에 공격의 중점이 맞춰져 있습니다. 이에 반해 BNPL은 신용카드 번호 자체가 없기 때문에, 계정 생성부터 구매에 이르는 전체 흐름과 계정 자체를 대상으로 공격이 이루어지는 경향이 있습니다.
일본 신용카드 협회의 데이터를 바탕으로 보면, 신용카드 부정 사용의 93%가 신용카드 번호 도용으로 인해 발생하고 있습니다.구체적으로 말하면, 2025년 통계상 피해액 510억 엔 중 93%, 즉 475억 엔이 번호 도용으로 인한 것입니다. 신용카드 번호 부정 사용이라고 하면, 범인 측의 공격은 신용카드 번호를 어떻게 탈취할지에 집중될 것이라고 생각합니다.
지금까지의 신용카드 결제 부정 사용과의 싸움 역사를 살펴보면, 기본적으로는 자기 스트라이프 방식이었기 때문에 스키밍이나 카드 정보 탈취와 같은 공격이 이루어졌습니다. 그 결과 IC 칩으로 전환되었고, 전자상거래(EC)의 보급과 함께 물리적 카드가 필요 없는 결제가 확대되면서 본인 인증이 필요해졌고, 3-D 시큐어가 도입되는 흐름으로 진화해 왔습니다.신용카드의 경우, 결제 시점에 어떻게 방어 장벽을 세울 것인가에 초점을 맞춰 지금까지 방어 체계가 진화해 왔습니다.
반면, BNPL에서는 무엇이 표적이 되는지에 대한 문제입니다. 신용카드는 카드 번호, 유효기간, 보안 코드라는 인증 정보를 어떻게 탈취하느냐에 따라, 피해자의 계정, 카드의 신뢰도, 신용을 어떻게 훔쳐내느냐는 사고방식입니다.BNPL의 경우, 애초에 계정 생성 단계에서 사칭하거나 허위 정보를 입력해 시스템을 속여 계정을 만든 뒤 이를 부정하게 이용하는 것이 공격의 핵심입니다.
누구로 등록하느냐는 신원 도용 단계에서 본인을 사칭하거나, 본인 등록 후 해당 계정을 탈취해 다른 사람이 조작하거나, 해당 거래가 정말 당사자에 의한 것인지 여부를 악용하여 부정행위가 이루어지고 있습니다.
표적이 되는 계정 여정 전체
신원 확인과 본인 확인은 비슷하지만 다릅니다
신용카드는 결제 순간에 카드 번호를 차단하는 데 중점을 둡니다. 반대로 말하면 그 부분이 가장 중요한 포인트가 되며, 그곳에 장벽을 세우면 상당한 부정행위를 막을 수 있습니다.
BNPL의 경우, 간편한 결제 수단이라는 특징과 맞물려 ‘계정 여정’이라는 흐름, 즉 사용자가 상품을 찾고, 가맹점에서 장바구니에 담으며, 결제 방법을 선택해 구매하고, 상품이 도착해 결제가 완료될 때까지의 전 과정이 사기의 대상이 될 수 있습니다.전체 과정을 어떻게 보호해 나갈 것인지, 어디에 리스크가 있으며 어디에 방어선을 구축할 것인지가 중요해집니다.
신원 확인 단계와 본인 확인 단계는 비슷해 보이지만 약간 다르며, 둘 다 중요하다고 생각합니다. 신원 확인은 이른바 KYC라고 불리는, 마이넘버 카드나 운전면허증을 이용한 성명, 생년월일, 주소 등 ‘당신은 누구입니까’라는 부분의 속성 정보입니다.
이 부분도 해외에서 일본의 위조 운전면허증이 제작되기도 하고, 이에 대한 공격도 일정 부분 존재합니다. 이에 반해 당사자 확인은 범죄수익이전방지법에 따라 eKYC라고 하는 온라인을 통해 모든 관련 본인 확인을 수행하는 방식이 주류를 이루고 있습니다.지금까지 주류였던 ‘호 방식’이라 불리는 사진을 찍어, 그 사진과 함께 사람이 최종적으로 판단하는 방식은 위조가 너무 많다는 이유로 내년부터 금지되며, IC 칩 판독 방식만 남게 됩니다. 본인 확인을 엄격히 하는 것도 중요하지만, 그것만으로는 부족하기 때문에 다음 단계인 ‘당사자 확인’이 필요합니다.
실명 확인에서는 ‘지금 조작하고 있는 사람이 실명 확인을 마친 바로 그 사람인가?’를 확인하는 것입니다. SMS 일회용 비밀번호, 단말기 인증, 생체 인증 등이 필요합니다. 이러한 실명 확인을 계정 활동에 따라 수행하는 것이 중요합니다.
오랫동안 사용되지 않던 계정에서 갑자기 결제가 발생하는 시점이나, 지금까지와 다른 구매 행동, 거액이 한꺼번에 입금되는 등 계정의 움직임을 실시간으로 감지하여, 그 시점에 추가 인증을 요구하는 등 리스크 및 부정 방지 접근 방식을 취하는 것이 BNPL 업체에게는 중요합니다.
신원 확인은 현재 법적 규제가 강화되고 있는 분야이지만, 이것만으로는 부정을 막을 수 없으며, 본인 인증 계정의 탈취, 가맹점 측 계정의 탈취 등 프로세스 전체의 리스크를 종합적으로 고려해야 합니다.
특히 본인 인증의 경우, 인증 코드를 둘러싼 공방에서 최근의 공격 기법으로 피싱은 항상 일정 정도 발생합니다. 또한, 실시간 방식으로 사용자가 가짜 사이트에 일회용 비밀번호를 입력하는 순간, 뒤에서 그대로 복사되어 로그인되는 수법도 있습니다.
속은 사람이 지시받은 대로 행동하는
경우 소셜 엔지니어링의 위협
최근 증가하고 있는 것이 소셜 엔지니어링으로, 단순히 사람을 속이는 수법입니다. 본인을 완전히 속이고 있기 때문에, 본인이 속아 그대로 행동을 해버리기 때문에 시스템 측에서는 감지하기 어려운 수법이 됩니다. 아르바이트를 통해 만난 사람에게 속아 본인 확인을 해버린 경우.매칭 앱 등에서 만난 사람, 별로 친분이 없는 사람, 조금 아는 사람의 부탁을 받아 계정을 만들어 주거나, 계정을 넘겨주거나, 인증 정보를 알려준 사례도 자주 들립니다. 단말기 탈취나 시스템 관련 공격도 일정 수 있지만, 발생 빈도로 보면 최근 소셜 엔지니어링 피해가 두드러지고 있습니다.
범죄자 측의 관점도 중요하다고 생각하며, 본인 확인을 하지 않는 ‘바로 다음 달 일회성 결제 서비스’와 본인 확인을 거쳐 고액 구매도 가능한 서비스를 제공하고 있지만, 범죄자 측에게 가치가 높은 것은 본인 확인을 마치고 일정 금액까지 사용할 수 있으며 신뢰 점수가 높은 계정의 가치이며, 이에 대한 공격이 주를 이루고 있습니다.구체적으로 말하자면, 본인 확인이 완료되고 eKYC를 통과했으며, 이용 실적이 있고, 이용 가능 한도가 일정 수준인 계정이 해당됩니다.
다시 말씀드리지만, BNPL에서 중요한 것은 사용자가 이용하기 쉬운 환경을 조성하는 한편, 필요한 곳에 필요한 방어 조치를 취하는 것입니다.지속적인 리스크 평가와 일련의 흐름을 대상으로, 어딘가에 하나의 거대한 장벽을 세우는 것이 아니라, 결제 시점뿐만 아니라 계정 생성부터 결제, 그리고 그 지불에 이르기까지 전체 과정을 지속적으로 리스크 평가하면서, 필요한 방어책을 필요한 곳에 적용하는 사고방식이 필요합니다.
부정 조사에서 중점을 두는 부분은 본인 확인 시, 가맹점 측에 입력된 정보와 당사의 정보가 일치하는지 여부입니다.
기기 정보의 경우, 하나의 계정에 여러 기기에서 로그인된 이력이 있는지, 실제 이용 방법 및 이용 패턴 파악, 재판매 가능성이 높은 상품만 표적으로 삼고 있는지 등이 핵심입니다. 피싱에 관해서도 피싱당한 계정의 활동 패턴을 분석하여 조기에 탐지하고 예방하는 조치를 취하고 있습니다.
부정 방지 대책을 철저히 하면 번거로운 절차가 늘어납니다
간편 결제 수단 BNPL이 직면한 줄다리기
사기 방지는 사전 대책과, 발생 후의 조기 발견 및 고객 보호라는 관점이 중요합니다. 그중에서도 시스템만으로는, 규칙만으로는 절대 부족하다고 생각합니다. 운영 측면에서 어떻게 사람의 손을 더하면서 이를 지속적으로 발전시켜 나갈지가 중요합니다. 기본적으로는 규칙 기반 방식으로, 이미 존재하는 패턴의 거래를 처음부터 차단하는 것입니다.
이는 지속적으로 업데이트해야 하지만, 부정 비율이 높은 구매 행동을 특정하여 이를 로직화하고 결제가 통과되지 않도록 하는 접근 방식입니다. 동시에 머신러닝을 통해 방대한 데이터에서 일정한 패턴을 AI를 이용해 읽어내는 방법도 중요합니다.
그것만으로는 아무래도 막을 수 없는 것들이 있습니다. 사람의 조사는 아무리 발전해도 어느 정도는 필요하다고 생각합니다. 운영에 관해서는, 실제로 그 규칙 모델 프로세스에 반영된 내용을 실제로 순환시키는 것이 각각 필요하며, 이러한 조합을 통해서야 비로소 부정 방지 대책이 가능하다고 생각합니다.
반면, 부정 방지 대책을 극대화하려고 하면 사용자에게는 번거로운 단계가 늘어나게 되는데, 우리 업계는 바로 신용카드가 필요 없는 간편한 결제 수단으로 진화해 온 분야이기도 하므로, 항상 이러한 줄다리기가 존재합니다.
다만, 여기서 중요한 것은 조금 다른 구매 행동이 발생했을 때 등에, 필요한 곳에 필요한 보안 방어책을 도입하는 것입니다. 규칙은 끊임없이 발전시켜 나가야 합니다.항상 그 규칙만으로는 막을 수 없는 경우도 있고, 그 규칙으로도 실제로 탐지되지 않는 사례도 있습니다. 차단 규칙 등을 지속적으로 갱신하거나, 필요한 사용자에게만 필요한 인증 단계를 추가하는 접근 방식을 통해 안전성과 사용 편의성을 양립시킬 수 있다고 생각합니다.
한 기업만으로는 도저히 부정행위를 막을 수 없는 경우가 있습니다. 부정행위를 우선 예방하는 것과, 그럼에도 불구하고 발생하는 부정행위에 대해 조기에 대응하는 측면에서 보면, 우리가 조기에 이를 발견하여 가맹점과 협력함으로써 가맹점의 배송을 중단하거나, 가맹점,EC 플랫폼과의 연계, 배송 사업자와의 협력 등이 필요합니다. 요즘은 편의점 수령이나 사물함 수령 등으로 진화하고 있지만, 배송 중계 과정에서 다시 부정행위가 발생할 수도 있으므로, 이러한 주체들과의 연계 및 금융 기관이 보유한 정보와의 연계 등이 필요합니다.
정리해 드리겠습니다. 저희로서는 업계 전반에 걸친 정보 공유가 그야말로 필요해지고 있다고 느끼고 있습니다. 개인정보 보호와의 관계도 있지만, 부정 패턴이라는 측면에서 이러한 자리에서 범인 측의 새로운 부정 패턴을 파악함으로써 대책 수립에 활용할 수 있을 것이라 생각합니다.
오늘 바쁘신 와중에도 시간을 내주셔서 감사합니다. 이상입니다.
