korea, 금융 정보 Navi, カードセキュリティPCI DSS, 메인 페이지 주요 뉴스, 카드 보안 최신 정보, PR

링크: EMV 3-D Secure 도입 이후의 결제 인증 방안 — “UniPasskey” 패스키 인증 플랫폼을 활용한 발급사의 사기 방지 및 가맹점의 승인률 향상 (1부)

2026년 11월 4일 오전 8:00 (JST)

[일본] 가맹점들 사이에서 EMV 3-D Secure 도입이 진행됨에 따라 새로운 과제가 대두되고 있습니다. 발행사에게는 인증된 거래에서 발생한 사기 피해에 대한 재정적 손실을 부담해야 하는 ‘책임 전가’의 부담이, 전자상거래 가맹점에게는 추가적인 신원 확인 절차로 인해 발생하는 ‘장바구니 포기 및 결제 중단’ 문제가 있습니다.링크(Link)는 Passkey(FIDO2)를 활용한 인증 플랫폼인 ‘UniPasskey’를 개발하여 이러한 과제에 대한 해결책으로 제안하고 있으며, 신용카드사 및 콜센터 등으로부터 문의를 받고 있습니다. (2026년 9월 25일 개최된 ‘Payment Security Forum 2026 Fall’ 발표 자료 발췌)

Link Co., Ltd. 보안 플랫폼 사업부 총괄 이사 타키무라 타카시 씨

The
카드 보안 컨설팅 분야에서 가장 주목받는 기업, 링크가 ‘UniPasskey’를 출시하며 패스키 시장에 진출

과거 링크의 세션에 참석해 주신 분들 중에는 PCI DSS 준수에 대해 자주 논의해 왔기 때문에, 오늘의 주제도 그와 같을 것이라고 예상하신 분들이 많으실 것입니다. 하지만 올해 링크는 패스키 서비스인 ‘유니패스키(UniPasskey)’를 출시했으며, 반응이 매우 긍정적이었기에 오늘 이에 대해 더 자세히 말씀드리고자 합니다.

저는 링크에서 임원직을 맡고 있습니다.

2011년에 링크에 입사했으므로, 올해로 입사 15년 차가 되었습니다. 2013년부터는 보안 플랫폼 사업부를 이끌며 고객들에게 신용카드 보안 관련 서비스를 제공해 왔습니다.또한 JCDSC(일본 카드 정보 보안 협의회)의 클라우드 서비스 소위원회 위원장을 맡고 있습니다. 이 소위원회에는 현재 100개 이상의 회원사가 참여하고 있으며, 다음 달에 세미나를 개최할 예정입니다. 세미나에서는 회원사들이 번갈아 가며 발표하는 참여형 형식을 채택하고 있으니, 기회가 된다면 꼭 참석해 주시기를 바랍니다.

링크는 1987년에 설립되어 약 10년간 광고 제작 사업을 영위했습니다. 1996년에는 매니지드 호스팅 서비스인 ‘at+link’를 출시한 이래로 꾸준히 IT 서비스를 제공해 오고 있습니다.

이는 인프라 서비스인 만큼, 그 위에 애플리케이션을 개발하여 SaaS를 제공하고, 이를 PaaS 형태로 제공하기 위한 시스템도 구축했습니다. 대표적인 예로 SaaS 기반 전화 서비스인 “BIZTEL”이 있는데, 이는 클라우드 기반 IP-PBX 서비스라고 설명할 수 있습니다. 약 4,000개 기업에서 이 서비스를 이용하고 있으며, 일본 내 동종 서비스 중 최대 규모로 성장했습니다. 당사는 사업 부문과 마찬가지로 신용카드 보안과 관련된 다양한 클라우드 서비스를 출시하고, 이를 체계화하여 판매하는 기업입니다.

당사의 사업부는 2013년에 설립되었습니다. 당사는 고객이 클라우드 서비스를 통해 PCI DSS 준수를 달성할 수 있도록 지원하는 ‘PCI DSS Ready Cloud’ 서비스를 출시했습니다.이 서비스가 여전히 당사의 핵심 상품이지만, 당사는 “보안”과 “신용카드”라는 키워드를 중심으로 “Smart TG”(국내 규정을 준수하는 서비스), 결제 토큰 서비스인 ‘Cloud Token for Payment Cards’, 그리고 오늘 소개해 드릴 패스키 서비스 ‘UniPasskey’ 등 ‘보안’과 ‘신용카드’를 키워드로 한 다양한 클라우드 서비스를 개발 및 출시해 왔습니다.

저희 사업부의 비전은 분명합니다. “신용카드 보안과 관련된 질문이나 과제가 있을 때 사람들이 가장 먼저 찾는 기업이 되는 것”입니다. 구체적인 활동으로는, 누구나 웹사이트를 통해 문의를 제출할 수 있을 뿐만 아니라, 질문이나 우려 사항이 있는 분들을 돕기 위해 전담 상담 데스크도 운영하고 있습니다. 저를 비롯한 팀원들이 직접 이러한 문의 사항을 처리하고 있습니다. 소비자들의 문의도 접수하고 있습니다.

또한, 카코 주식회사와 공동으로 분기마다 한 번씩 “무현금 보안 보고서”를 발간하고 있습니다. 이 보고서는 신용카드 사기 동향을 요약한 것으로, 누구나 무료로 열람할 수 있습니다.

https://pcireadycloud.com/blog/category/cashless_security_report/

일회용 비밀번호(OTP)의 과제
입력 오류 및 대기 시간 문제

본론으로 넘어가기 전에, 2025년 일본 국내 신용카드 사기 총액은 약 510억 엔으로, 2024년에 비해 약 8% 감소했습니다. 그러나 발생률은 증가하고 있으며, 카드 번호 도난이 전체 손실의 90% 이상을 차지하고 있습니다. 3-D Secure 도입이 진행되고 사기 총액이 감소하고 있지만, 자세히 살펴보면 카드 번호 도난에 기인하는 비중이 증가하고 있음을 알 수 있습니다.

EMV 3-D Secure 시스템의 특징과 과제를 요약해 보았습니다. 오해를 방지하기 위해, EMV 3-D Secure는 패스키(passkey)나 생체 인증과 같은 다양한 인증 방식을 지원한다는 점을 언급해 두겠습니다. 하지만 현재 일회용 비밀번호가 가장 널리 사용되는 방식이므로, 이 방식과 관련된 과제에 대해 논의하고자 합니다.

EMV 3-D Secure를 통해 일회용 비밀번호를 발급하는 시스템에서는 사기를 완전히 근절하는 것이 불가능합니다. 피싱 사이트가 배후에서 정식 사이트와 실시간으로 통신하기 때문에, 사용자는 결국 가짜 사이트에 일회용 비밀번호를 입력하게 됩니다. 일회용 비밀번호를 입수한 범죄자들은 이를 이용해 무단 구매를 하거나 카드로 사기를 저지르며, 이로 인해 피싱을 통한 일회용 비밀번호 도난 사건이 발생합니다.

다음은 계정 탈취에 대한 우려입니다. 사용자는 대개 카드사 회원 사이트의 ‘마이 페이지’에 로그인해 있을 텐데, 경우에 따라 이는 사용자 이름과 비밀번호만으로 이루어지기도 합니다. 결제 시 인증 절차는 점점 더 강화되고 있지만, 인증 설정을 변경할 수 있는 ‘마이페이지’가 사용자 이름과 비밀번호만으로 보호되고 있다는 점은 위험 요소가 됩니다.

예를 들어, 제3자가 사용자의 계정에 무단으로 접근하여 등록된 정보를 변경해 일회용 비밀번호가 전송되는 주소를 바꾸거나, 심지어 피해자의 카드를 자신의 스마트폰 지갑에 등록할 수도 있습니다.

반면, EMV 3-D Secure를 도입하면 승인률이 하락할 수 있습니다. 당사의 ‘무현금 보안 보고서’에 따르면, 승인률은 이전에는 95% 선을 유지했으나 3-D Secure 도입 이후 약 85%로 떨어졌으며, 이로 인해 그에 상응하는 매출 기회를 잃을 위험이 있습니다.

덧붙여, 카드 소지자의 65% 이상이 인증 오류를 경험한 적이 있으며, 일부는 그 시점에서 거래를 포기하기도 합니다. 가맹점의 약 80%가 장바구니 포기 건수가 증가했다고 보고하고 있습니다.

그 이유는 스마트폰으로 일회용 비밀번호가 전송되지만, 많은 사용자가 이를 입력하는 과정에서 막히기 때문입니다. 이전에는 쇼핑객들이 전자상거래 사이트에 카드에 인쇄된 번호와 이름을 입력하기만 하면 구매를 완료할 수 있었지만, 수신해야 하는 비밀번호가 도착하는 데 종종 오랜 시간이 걸립니다. 보통 약 5초 후에 도착하지만, 사용자가 기대하는 만큼 빨리 오지 않기 때문에 일부는 인내심을 잃고 그 시점에서 거래를 포기합니다.

결제 승인 과정에서 발생하는 이탈은 매출 기회 손실로 이어집니다. 이러한 유형의 이탈은 특히 전자상거래에 익숙하지 않은 사용자들 사이에서 발생하기 쉽습니다. 어떤 사람들은 이 과정이 혼란스럽고 불안감을 느껴 애초에 전자상거래 사이트 이용 자체를 포기하기도 합니다. 이러한 요인들을 고려할 때, EMV 3-D Secure의 도입은 일정 비율의 장바구니 포기 및 애초에 성사되지 않는 구매로 이어졌습니다.

단점 극복
: 일회용 비밀번호의 한계 얼굴 또는 지문 인증을 통해 비밀번호를 기억하거나 입력할 필요가 없어집니다

이제 PassKey가 이러한 상황을 어떻게 개선할 수 있는지 살펴보겠습니다. PassKey는 기기 내에 안전하게 저장된 개인 키를 사용하여 인증을 수행합니다. 이른바 “챌린지 기반 인증” 방식에서, 3-D Secure 인증 과정 중 서버에서 챌린지가 전송되면 사용자는 얼굴 또는 지문 인식을 통해 기기의 잠금을 해제합니다. 그런 다음 기기는 내부에 저장된 개인 키를 사용하여 챌린지에 서명하고, 그 서명을 서버로 반환하여 인증을 완료합니다. 개인 키 자체는 기기 밖으로 절대 유출되지 않습니다.

PassKey의 핵심 기능은 비밀번호 유출 위험을 제거한다는 점입니다. 서버에는 공개 키만 저장되므로, 설령 공개 키가 유출되더라도 공개 키만을 이용한 악용 위험은 상대적으로 낮습니다. 피싱 방지 측면에서, 이 시스템은 가짜 웹사이트 도메인에서 인증이 성공하지 못하도록 설계되었습니다. 또한, “소지”와 “생체 인식”을 결합한 2단계 인증 모델을 채택하고 있습니다. 이 시스템은 사용자의 기기와 얼굴이나 지문과 같은 생체 인증을 모두 요구하므로, 타인에 의한 무단 사용을 방지하여 관련 위험을 줄여줍니다.

기억하거나 입력해야 할 사항이 없으므로 더 이상 비밀번호를 외울 필요가 없습니다. 또한, 이는 운영 체제의 표준 기능이므로 별도의 앱이 필요하지 않습니다. Apple, Google, Microsoft 플랫폼에서 표준 기능으로 사용할 수 있습니다. 이는 표준 사양이며 FIDO2 및 WebAuthn을 준수합니다.

일회용 비밀번호나 기존의 ID-비밀번호 시스템과 비교할 때, 보안 측면에서 단연 최고 점수를 받으며 더 높은 수준의 보호를 제공한다는 것은 두말할 나위가 없습니다. 사용 편의성 측면에서는 일회용 비밀번호가 전송될 때까지 기다렸다가 입력해야 하는 번거로움을 없애줍니다.스마트폰을 얼굴 쪽으로 향하기만 하면 인증이 완료되므로 사용이 매우 간편합니다. 앞으로 이러한 생체 인증 방식이 다양한 분야에서 등장할 것으로 보입니다. 기기 분실 시 복구 절차와 같은 운영상의 고려 사항이 필요하긴 하지만, 패스키 시스템은 보안과 사용 편의성 사이에서 훌륭한 균형을 이루고 있습니다.