2026년 10월 18일 8:30 (JST)
【일본】마스터카드가 추진하는 MDES(엠데스: Mastercard Digital Enablement Service), Click to Pay(클릭 결제), Passkey(패스키)를 중심으로 편의성과 보안을 모두 갖춘 차세대 결제 방향성에 대해 소개합니다.(2026년 9월 25일 개최된 ‘페이먼트·보안 포럼 2026 Fall’ 강연에서 발췌)
마스터카드 제품 및 솔루션 디지털 결제 디렉터
다나카 쇼이치 씨
전자상거래 시장 확대
온라인 결제는 부정 사용 문제에 직면
마스터카드의 다나카 쇼이치입니다. 오늘은 ‘카드 번호를 지키는 시대에서 없애는 시대로’라는 주제로 말씀드리겠습니다. 온라인 결제 시 카드 번호를 그대로 사용하거나 보관하지 않고, 기본적으로 토큰화, 패스키, 생체 인증을 추진해 나가자는 내용입니다.
토큰화는 10년 이상 전부터 존재해 온 기술이기 때문에, 이제 와서야 언급하는 것이냐는 생각이 드시는 분도 계실지 모릅니다. 하지만 그 중요성은 변함없으며, 오히려 점점 더 중요해지고 있습니다. 오늘은 왜 중요한지 설명해 드리겠습니다.
우선 전제로, 일본은 물론 전 세계적으로도 전자상거래 시장 규모가 계속 확대되고 있습니다.일본 경제산업성의 데이터에 따르면, B2C 전자상거래 시장은 2014년 12.7조 엔, 2024년 26조 엔으로, 지난 10년간 2배 이상 성장했습니다. 온라인 결제의 안전성과 편의성은 지금도, 그리고 그 어느 때보다 중요해지고 있습니다.
이러한 가운데, 온라인 결제는 대면 결제보다 부정 이용이 약 7배나 더 많은 문제를 안고 있어, 카드 소지자들은 보안상의 우려로 인해 카드 번호를 등록하는 데 불안감을 느낍니다. 정보가 유출될 수도 있고, 애초에 부정 가맹점일지도 모른다고 생각하는 분들이 절반 이상입니다.그렇다면 보안을 철통같이 강화하면 될까요? 그렇지도 않습니다. 이번에는 결제 과정이 복잡해져 시간이 오래 걸리고, 3-DS(3-D Secure)의 일회용 비밀번호로 인해 장바구니 포기 현상이 발생할 우려가 있습니다.
이에 대해 마스터카드는 비접촉식 결제, 터치 결제를 제공함으로써 대면 결제에서 안전성과 편의성을 보장하고 있습니다. 일상적인 인프라가 된 온라인 결제에 대해서도 안전성과 편의성을 겸비한 솔루션이 요구되고 있습니다.
온라인 결제에는 여전히 과제가 남아 있습니다. 카드 정보 입력, 비밀번호, 부정 사용에 대한 불안감 등이 원활한 결제를 방해하고 있습니다. 마스터카드와 결제 업계는 온라인 결제가 대면 터치 결제처럼 빠르고, 간단하며, 안전할 수 있도록 실현하기 위해 노력하고 있습니다.
네트워크 토큰(Secure Card on File)화, 생체 인증, 원활한 게스트 체크아웃 등을 결합하여 현대 소비자에게 맞는 새로운 표준을 만들어가고 있습니다.
저희가 목표로 하는 것은 카드 발급 시점부터 모든 카드를 토큰화하여 부정 사용으로부터 보호하는 것입니다. 또한, 갱신 및 재발급 시에도 저장된 정보를 자동으로 갱신하여 항상 안전을 유지합니다.비밀번호 입력의 번거로움을 없애고, Mastercard Payment Passkey Service를 통한 원클릭 생체 인증을 실현합니다. 또한, 모든 카드를 자동으로 Click to Pay에 등록합니다. 그리고 가맹점의 결제 과정에 Click to Pay를 통합하여 전 세계 이용자에게 더욱 빠른 결제 경험을 제공합니다. 이것이 바로 새로운 업계 표준입니다.디지털 결제 시 이용자를 인식하고, 원하는 결제 방법을 표시하며, 생체 인증을 통해 본인 확인을 수행합니다. 카드 정보 입력도, 비밀번호도 필요 없습니다. 필요한 것은 언제 어디서나 원하는 방식으로 간편하고 안전한 온라인 결제 경험을 실현하는 것입니다.
100% 토큰화 및 100% 본인 인증
토큰화를 통한 부정거래 감소
마스터카드는 이와 관련해 ‘Vision 2030’을 내걸고, 2030년까지 100% 토큰화, 100% 본인 인증 수동 입력 없는 온라인 거래를 실현하는 것을 목표로 하고 있습니다. 이를 위해 필요한 것이 바로 토큰화와 패스키(Passkey)입니다. 이를 뒷받침하는 세 가지 핵심 기술이 필요합니다.첫 번째는 거래 시 카드 번호를 사용하거나 보유하지 않는 네트워크 토큰화입니다. 두 번째는 원활한 결제 과정인 ‘Click to Pay’입니다. 세 번째는 생체 인증으로, 일회용 비밀번호를 직접 입력하지 않아도 되도록 하는 것입니다.
이 세 가지를 추진함으로써, 훌륭한 결제 환경을 만들어 나가고자 합니다.
먼저 첫 번째인 네트워크 토큰화입니다. 일본의 신용카드 부정 사용 피해 발생 추이를 보면, 특히 2020년 이후 두드러지게 나타나며, 대부분의 부정 사용은 번호 도용을 통한 온라인 거래로, 무려 90% 이상을 차지합니다.부정 이용 피해액도 꾸준히 증가하는 추세였으며, 3-DS 의무화로 인해 다소 감소하기는 했지만 여전히 큰 금액입니다. 한편, 2000년경 위조 카드 피해 비율은 증가세를 보였으나, 카드의 IC화 덕분에 위조 카드 피해 비율도 단숨에 감소했습니다. 그 후 터치 결제가 도입되면서 편의성이 높아졌습니다.생체 인증으로 안전성도 향상되어 1만 5,000엔 이상의 구매도 터치 한 번으로 결제할 수 있게 되어 편의성도 높아졌습니다.
반면 증가하고 있는 것은 온라인 거래 및 카드 번호 도용 피해입니다. 온라인 거래에서 16자리 카드 번호를 입력하고, 이를 통해 승인 요청을 보내 사용하는 방식은 대면 거래로 치면 마그네틱 스트라이프 시대와 같으므로, 번호를 숨겨야 합니다.
결제 토큰화는 플라스틱 카드의 16자리 번호, 이른바 PAN을 고유한 대체 16자리 카드 번호, 이른바 토큰이라고 불리는 것으로 대체해 나가는 과정입니다.단순히 대체하는 것뿐만 아니라, 회원 정보, 가맹점 및 기기 거래에 고유하게 연동되어 생성됩니다. 해당 정보를 승인 거래에 전송할 때는 암호화하여 전송됩니다. 예를 들어, 번호도 변경되기 때문에 가맹점 A에서 훔친 토큰을 가맹점 B에서 사용하려고 해도 작동하지 않습니다.또한 타임스탬프가 포함되어 전송되므로, 토큰을 생성할 때 오늘 생성된 토큰을 2개월 후에 사용할 수 없습니다. 크레마스 공격으로 번호를 탈취해 공격하는 행위가 애초에 무의미해지며, 부정 사용이 줄어듭니다.
MDES 토큰이란?
APAC 지역에서 급속히 보급
PSP(결제 서비스 제공업체)의 토큰화와 마스터카드의 토큰은 무엇이 다른가? PSP의 토큰은 기본적으로 가맹점과 PSP 사이에서만 토큰화되며, 그 이후부터는 일반 카드 번호(PAN)로 거래가 이루어집니다.반면, 마스터카드의 MDES의 경우, 결제 흐름 전반에 걸쳐 카드 정보를 보호합니다.가맹점 측부터 아쿠아이어러에 이르기까지 한 번 토큰화하면, PAN은 한 번도 노출되지 않고 토큰만으로 처리됩니다. 마스터카드가 PAN으로 변환하여 발행사에 고유한 정보를 검증한 후 전달하기 때문에, 결제 흐름 전반에 걸쳐 카드 정보가 보호되고, 부정 사용도 줄일 수 있으며, 승인률도 향상되는 것이 토큰의 효과입니다.
아시아 태평양 지역의 온라인 거래 승인률은 89.6%이며, 일본은 이보다 약간 높지만 토큰화를 통해 무려 96.1%로 약 6% 정도 상승합니다. 또한 본인 인증까지 진행하면 97.6%까지 높아집니다.PAN 거래에서 본인 인증을 3-DS로 하는 것보다, 본인 인증을 하지 않더라도 토큰 거래 쪽이 승인률 상승 폭이 더 큽니다. 발급사도 안심하고 승인할 수 있고, 공격자도 공격하기 어렵기 때문에 부정 거래가 애초에 적은 것이 주된 원인이라고 생각합니다.
승인율이 상승한 원인 중 하나로, 토큰의 라이프사이클 관리가 우수하다는 점도 있습니다. 라이프사이클 관리란, 요컨대 일본어로 말하는 ‘카드 번호 갱신’을 의미합니다. 유효기간이 만료되었을 때, 정기 결제 시 오류가 발생하지 않도록 카드 번호 정보를 업데이트합니다.
일본의 전통적인 라이프사이클 관리는 아쿠아이어와 발행사가 개별 계약을 체결하여, 개별적으로 PAN 정보를 정기적으로 갱신하고 있습니다. 개별 계약의 경우, 해외 발행사의 카드는 갱신할 수 없거나, 새로운 발행사의 경우 갱신 속도가 따라가지 못하는 경우도 있어 커버율이 완벽하지 않습니다.
토큰화를 하면, 아쿠아이어러가 토큰을 전송하고, 마스터카드가 이를 PAN으로 변환하여 발행사에 전달합니다. 이때 카드 회원의 PAN이 변경되었다고 가정해 봅시다. 현재 전 세계 마스터카드 규정에 따라, 발행사는 이 변경 사항 자체를 마스터카드의 관리 체계인 ABU(Automatic Billing Updater: 자동 청구 업데이트 기능)를 통해 업데이트해야 합니다.ABU는 마스터카드의 매핑 테이블을 실시간으로 수정합니다. 그러면 아퀴어러는 별도의 조치를 취하지 않고, 완전히 동일한 토큰을 계속 사용하기만 해도 발행사에 전달되는 PAN 정보는 오류 없이 변경됩니다.
또한 전 세계적으로 운영되고 있으므로, 국내 발급사와 해외 발급사 모두의 카드 정보가 자동으로 동기화되며, 인수사의 조치는 필요하지 않습니다. 강조하고 싶은 점은, PAN 정보는 변경되었지만 인수사는 PAN이 변경된 사실조차 인지할 필요가 없다는 것입니다. 카드 회원 또한 PAN과 관련하여 어떠한 조치도 필요하지 않습니다.
이처럼 토큰화를 실시하면 부정 사용을 방지하고 승인률을 높일 수 있을 뿐만 아니라, 라이프사이클 전반에 걸쳐 적용 가능하므로 매출 손실을 줄이면서 업무 부담도 경감할 수 있습니다.
아시아 태평양 지역의 온라인 거래에서 마스터카드 거래가 차지하는 토큰화 비율은 약 절반 정도입니다. 일부 국가에서는 70%, 80%에 달하기도 합니다.일본에서도 20%에서 30% 정도는 배후에서 토큰으로 전환되고 있습니다. 이 추세가 계속된다면, 배후에서 거의 대부분 토큰화되어 정기 결제에서 결제가 이루어지지 않는 사례도 줄어들 것으로 예상합니다.
Click to Pay, Payment Passkey
추진 편의성과 보안의 양립
두 번째와 세 번째는 카드 번호나 비밀번호 입력을 불필요하게 만드는 것으로, 솔루션 명칭으로는 ‘Click to Pay’와 ‘Payment Passkey’가 있습니다.
수동 입력을 없애면 편의성과 보안성을 모두 향상시킬 수 있습니다. 편의성에 관해서는 설명이 필요 없을 정도로 명확합니다. 16자리 카드 번호 입력은 장바구니 포기(cart abandonment)의 원인이 되며, 일회용 비밀번호가 도착한 것을 알아채지 못해 구매를 완료하지 못하는 경우도 있으므로, 생체 인증 등을 자동으로 선택할 수 있다면 매우 편리합니다.
보안 측면에서는 최근 교묘해진 공격 수단을 고려할 때, 카드 번호나 비밀번호를 직접 입력하는 것 자체가 위험 요소가 됩니다. 예를 들어, 실시간 피싱은 기존의 3-DS 일회용 비밀번호로는 막을 수 없습니다. 실시간 피싱은 카드 회원을 마치 진짜인 것처럼 보이는 가짜 사이트로 유도하는 것에서 시작됩니다.카드 회원이 카드 번호를 입력하면 가짜 사이트의 공격자는 그 내용을 그대로 진짜 사이트에 입력합니다. 진짜 사이트에서 일회용 비밀번호를 받은 카드 회원은 가짜 사이트에 일회용 비밀번호를 입력합니다. 공격자는 일회용 비밀번호를 진짜 사이트에 입력하여 부정 거래가 발생합니다.
최근 AI 기술이 발전함에 따라 모든 카드 회원이 속지 않도록 하는 것은 어려워지고 있습니다. 그렇게 되면, 본인이 알고 있는 정보를 확인에 사용하는 것 자체가 과연 안전한가? 하는 문제가 제기됩니다. 설령 본인이 속아 넘어갔더라도, 물리적으로 공격자에게 제공할 수 없는 정보인 생체 인증 등을 사용하여 인증하는 것이 필요하지 않을까 생각합니다.
Click to Pay와 Passkey를 갖춘 사용자와 가맹점의 경우, 결제를 할 때 기존에는 16자리 번호를 입력해야만 쇼핑을 할 수 있었습니다. Click to Pay의 경우, 생체 인증으로 본인 확인을 하면 카드 번호를 확인하고, 안전을 위해 Face ID 등으로 본인 인증을 거친 후 쇼핑을 할 수 있습니다.
실시간 피싱의 관점에서 보면, 카드 번호도 비밀번호도 입력하지 않기 때문에 도청할 틈이 없어 안전합니다. 사용자의 입장에서도 얼굴 인증 후 버튼을 한 번만 누르면 되므로 간편하며, 장바구니 포기 현상이 발생하지 않습니다. Click to Pay와 Passkey를 사용하면 간편하고, 안전하며, 빠른 결제를 실현할 수 있습니다.
일회성 이용 가맹점의 경우, 카드 정보 입력은 장바구니 포기 현상의 원인이 되기도 하고, 불안감을 느끼는 사용자도 많기 때문에 매우 효과적인 솔루션이 될 수 있습니다.
Mastercard Credential Directory에 카드 정보 등록
온라인 쇼핑 경험의 기반을 마련하다
마스터카드는 이용자의 결제 인증 정보(신용카드 정보 및 디지털 프로필)를 일원화하여 관리·호스팅하는 디렉터리 시스템인 마스터카드 크레덴셜 디렉터리(Credential Directory)에 카드 회원 정보를 미리 등록해 두고, 토큰도 생성해 둡니다.따라서 Click to Pay 가맹점에서는 가맹점과 인수사 모두 이 토큰을 사용하여 처리가 가능합니다.
핵심은 ‘이 크레덴셜 디렉토리에 얼마나 많은 사용자 정보가 등록되어 있는가?’ 하는 점입니다. 마스터카드는 모든 발급사의 카드가 카드 발급 시점에 이 서버에 등록되도록 하는 것을 목표로 하고 있습니다. 아시아 태평양 지역에서도 일부 국가에서는 카드 발급 시 크레덴셜 디렉토리에 회원 정보를 등록하는 것이 의무화되어 있으며, 그 수가 늘어나고 있습니다.뉴질랜드와 호주에서는 이미 활발히 진행되고 있어, 카드의 80%, 거의 100%에 가까운 카드 수가 이 자격 증명 디렉터리에 등록되어 있습니다. 이 정도 수준에 이르면 Click to Pay 솔루션으로서도, 생태계 차원에서도 매우 편리한 시스템이 됩니다.
전자상거래 사이트나 앱에 신용카드 정보를 미리 등록·저장하는 ‘카드 온 파일(CoF: Card on File)’을 이용하는 가맹점에서는 회원 계정을 생성하여 카드를 등록하거나, 정기 결제 고객을 위한 기능을 확대하고 있습니다.이러한 가맹점에서도 디렉토리에는 토큰 번호뿐만 아니라 주소 정보를 등록할 수 있으므로, 토큰을 통해 카드 번호를 조회함과 동시에 가맹점 측에서 고객에게 주소 정보를 다시 입력하도록 요청할 필요가 없습니다. 이러한 원활한 정보 연동을 크레덴셜 디렉토리를 통해 실현할 수 있습니다.
크레덴셜 디렉토리, Click to Pay 및 CoF의 카드 추가 기능을 활용하면, 온라인 결제 시 처음 이용하는 가맹점은 물론, 등록 후 이용하는 가맹점에서도 최초 등록 시 카드 번호를 입력할 필요가 없습니다.두 번째 이용부터는 당연히 토큰을 사용하며, 등록 시의 안전성은 생체 인증으로 확보합니다. 이를 통해 안전성과 편의성을 보장해 나갑니다.
최근 에이전틱 커머스가 화제가 되고 있는데, 에이전트가 이용자를 대신해 쇼핑을 하게 되면 카드 결제 정보가 필요합니다. AI에 16자리 카드 번호를 제공하는 것이 불안한 분들도 계시겠지만, 크레덴셜 디렉토리에서 토큰을 통해 결제함으로써 카드 번호 유출을 방지합니다.
마찬가지로, 미래에는 다양한 사용 사례가 등장할 것으로 예상되지만, 기본적으로는 공격자가 탈취할 수 있는 곳에 16자리 카드 번호를 노출하거나 보관하지 않음으로써 온라인 쇼핑 경험의 기반을 다져나갈 것입니다.
정리하자면, 마스터카드는 온라인 결제를 더욱 안전하고 간편하게 만들어 나갈 것입니다. 모든 거래를 토큰화하고, 카드 번호는 거래에 사용하지 않으며 보관하지도 않습니다. 카드 번호와 비밀번호를 직접 입력할 필요도 없어집니다. 이를 통해 더 이상 정보가 도청당하는 일도 없을 것입니다. 이를 통해 보안을 강화하고 사용자 경험도 향상시켜 나갈 것입니다.마스터카드는 이러한 방식으로 안전성과 편의성을 양립시키며, 원활한 디지털 결제 경험을 실현해 나갈 것입니다.
경청해 주셔서 감사합니다.
