2026년 10월 14일 8:00 (JST)
【일본】
설명서 없이 누구나 사용할 수 있으며 대량 도입이 가능
이모티콘 위장 화면에 입력하는 것은 ‘매우 어렵다’
그렇다면 이모지 인증은 어떻게 방어할 수 있을까요? SMS나 이메일로 매번 바뀌는 이모지가 몇 개 전송되면, 선택지 중에서 ‘방금 온 것은 어느 것입니까?’라는 결과를 선택하기만 하면 인증이 완료됩니다.패스키를 전제로 하지 않고도 도입이 가능합니다. 중요한 점은 전용 앱 인증 방식의 추가 등록도 필요 없다는 것입니다. 어디에 등록할 필요도 없기 때문에 진입 장벽이 낮고, 의존성이 없습니다. 누구나 설명서 없이 사용할 수 있습니다. 이는 매우 중요합니다.
예를 들어 어느 날, 단숨에 수천만 명의 사용자에게 도입할 수 있는 기술이며, 이를 성공적으로 극복해낸 기술입니다. 이런 기술은 다른 데에는 없습니다. 1,000만 명 전 사용자 도입, 3,000만 명 전 사용자 도입 등, 이런 일을 해낼 수 있는 기술이 또 있습니까? 이 기술의 현재 총 발행 계정 수는 7,500만 명입니다.
사용 방법은, 먼저 ID와 비밀번호를 입력하면 선택지가 나타납니다. 일반적인 SMS나 이메일로 정답 이모티콘이 몇 개 전송됩니다. 모바일의 경우, ID와 비밀번호를 입력하면 선택지가 나타나고, SMS나 이메일로 정답이 팝업으로 표시됩니다. 이것도 별도의 설정이나 변경이 전혀 필요하지 않습니다.별다른 설정 변경 없이 순식간에 나타나서 바로 처리하기만 하면 됩니다. 그래서 고령자도 사용할 수 있습니다. 이것이 가장 중요한 특징입니다. 할 수 없거나 이해가 안 될 경우, 헬프데스크에 전화를 걸어 2시간 동안 상담원이 설명해 주고, 몇 시간 후에 “다시 한 번 해 주세요”라고 부탁하면 담당자가 바뀌어 있는 경우가 있습니다. 이런 번거로운 일을 겪지 않게 되는 것입니다.
이 점이 가장 중요한 포인트입니다. 이모티콘은 손으로 직접 입력하기 어려우므로, 위조 화면에서도 입력하기 어렵습니다. 예를 들어, 이런 이모티콘을 스마트폰으로 입력할 수 있습니까? 못 할 거라고 생각합니다.이모티콘은 읽는 법을 모르면 어떻게 입력해야 할지 알 수 없습니다. ‘얼굴’이라고 입력해도 200개 정도가 나옵니다. 이모티콘을 입력해 달라고 하는 것은 입력하기 어렵습니다. 게다가 그게 몇 개나 나오기 때문에 더욱 매우 어렵습니다. 실시간 피싱 화면에 입력하는 것은 매우 어렵기 때문에 안전합니다.
“(수동 입력은) 불가능하지 않아도 괜찮은 건가요?”라는 질문에는 “그 정도면 됩니다”라고 답합니다. 정보 보안에서는 ‘매우 어렵다’는 것이 중요한 키워드입니다. 게다가 여러 개가 나오기 때문에 ‘매우 어렵다’고 할 수 있습니다.
이모티콘은 3,000개 이상이며, 직접 입력이 어려워 위장 화면에서의 수동 입력을 막을 수 있다는 뜻입니다. 이것이 첫 번째 핵심입니다. 정상 작동 시에는 선택지를 표시하여 선택지를 위장하는 데 드는 비용을 높이고, 대규모 공격을 어렵게 만듭니다.
피싱 공격은 ‘경제적 공격’입니다.
비용 대비 효과가 나쁘면 공격을 포기합니다.
선택지를 위장한 화면을 만드는 비용도 중요합니다. 실시간 피싱 공격처럼 텍스트 입력창만 띄우고, 모든 사이트에 범용적으로 적용할 수 있는 저비용 공격이 아니라, 선택지를 위장하는 데 비용이 듭니다.선택지를 위장하는 비용을 높이는 것이 매우 중요합니다. 이용자의 수동 입력 비용과 해커가 위장 화면을 만드는 비용, 이 두 가지 비용입니다. 이를 통해 공격을 저지하는 효과가 생기는 것입니다. 피싱 공격은 경제적 공격이므로, 공격자는 비용 대비 효과가 나쁘면 공격을 중단합니다. 위장 사이트가 개설되더라도 공격자의 비용에 비해 효과가 없으면 곧바로 중단해 버립니다.
SMS뿐만 아니라 이메일도 이용할 수 있습니다. 이메일 버전에서는 이모티콘 대신 이미지를 보냅니다. 세부 사항이지만, 이모티콘은 복사 및 붙여넣기(복붙)가 가능합니다. “텍스트 입력창에서 실시간으로 화면에 복붙하면 되지 않나요?”라고 생각하시는 분도 계실지 모릅니다.정답은 ‘예’이지만, 이를 막을 수 있습니다. 비밀 기법이 있어 수천만 명의 사용자를 대상으로 완벽하게 방어하고 있습니다. 바로 SMS로 이모티콘을 보낼 때 “복사-붙여넣기를 하지 마십시오. 복사-붙여넣기를 유도하는 사이트는 위장 사이트입니다”라고 적어두면 됩니다. 그러면 이용자들은 절대 그렇게 하지 않게 되며, 이러한 운영상의 대처가 중요합니다.
이메일 버전은 이미지이기 때문에 애초에 복사-붙여넣기가 불가능합니다. 몇 번이나 말씀드렸지만, 기존 OTP와 동등한 운영 편의성을 갖추고 있습니다. 고령자를 포함해 설명서 없이도 모든 사람이 사용할 수 있을까요? 지금 당장 1,000만, 3,000만 명의 사용자에게 단번에 도입할 수 있을까요? 전면 도입이 가능할까요? 슈퍼 OTP는 바로 이를 실현하고 있다는 뜻입니다.
예를 들어, 사용법 설명서도 필요 없습니다.누구나 사용할 수 있고, 기존 사이트에도 쉽게 통합할 수 있습니다. OTP를 사용하던 곳은 모두 이 기술로 대응할 수 있습니다. 회원 로그인, 3-D Secure, 패스키의 초기 등록 및 변경 등. 새로운 하드웨어에서도 초기 등록 없이 어느 날 단번에 강제적으로 진행할 수 있으므로 매우 강력합니다. 요컨대 일제 도입이 가능하다는 것입니다.
정말 고령자도 사용할 수 있을까요? 70대 분들을 대상으로 조사를 진행했습니다. 100명을 대상으로 조사한 결과, 80% 이상이 ‘쉽다’ 또는 ‘매우 쉽다’고 답했습니다. 아무런 설명도 없이 갑자기 ‘사용해 보세요’라고 말하고 시도해 보게 한 뒤, ‘쉬웠나요?’라고 물었습니다.저희 부모님도 70세이신데, LINE 메시지를 보내오시곤 합니다. ChatGPT를 사용하는 건 아직 무리인 것 같지만요. 슈퍼 OTP는 지금의 고령자분들도 쉽게 사용할 수 있습니다.
안전성에 관해서는 이모티콘을 사용하지 않는다면, 정당성은 초기 등록에 달려 있습니다. 매번 인증하는 것보다는 초기 등록이 중요합니다. 그 부분이 안전하지 않으면 안 되므로, 이모티콘을 사용해 주세요.경제성이라는 측면에서는 매번 로그인할 때 드는 비용이 아니라, 이용자가 보안 기술을 사용하도록 하는 데 드는 비용입니다. 설명회를 여는 등의 번거로움 없이 어느 날 갑자기 도입할 수 있습니다. 사용할 수 없는 사용자를 위해 다른 수단을 따로 마련해 둘 필요도 없는 셈입니다.
편의성 측면에서는, 확실히 이모티콘을 입력하는 번거로움이 있습니다. (인터넷에서 서비스를 이용할 때) 매번 해야 하는 것과 그렇지 않은 것이 있습니다. 예를 들어 여러분이 Gmail을 확인할 때, 매번 OTP를 입력하느냐 하면 그렇지 않습니다. 그런 의미에서 보면, 2년에 한 번만 로그인하는 경우에도 바로 사용할 수 있다는 점이 더 중요합니다.
시스템에 관해서는, 고객사의 서버에 슈퍼 OTP SDK를 통합해 주시면, 이용자가 스마트폰으로 ID와 비밀번호를 입력할 때 웹 서버에서 SDK 측으로 휴대폰 번호를 전송하고, 이모티콘 10개가 적힌 메시지를 보내옵니다.정답이 되는 이모티콘이 몇 개 적혀 있거나 숫자를 조합하는 패턴도 있지만, 그 후에는 웹 서버가 이를 SMS 전송 업체나 메일 서버로 전송하여 스마트폰에 표시하면, 이용자가 이를 선택합니다. 매우 실용적이고 견고하게 만들어졌습니다.
개인정보 데이터베이스조차 없으며, ‘심플 이즈 베스트’를 지향합니다. 휴대전화 번호를 일단 트리거로 사용하지만, 단순히 선택지를 반환할 뿐입니다. 회원 로그인·결제 시 인증·패스키 복구에서의 사용 방법은 단독 도입과 병용이 있습니다.
단독 도입의 경우, 회원 로그인, ID·비밀번호를 통한 추가 인증, 3-D Secure를 통한 추가 인증 등을 수행하는 것만으로도 피싱 공격은 상당히 줄어들 것이라고 생각합니다.연락처 변경, 중요 작업 시 추가 인증, 추가 SMS, 이모티콘 선택 변경 등이 있습니다. 병용의 경우, 패스키 관련 인증에서는 일반 로그인 시 패스키를 사용하고, 초기 등록·단말기 추가 및 변경, 분실 시 복구, 미이용자 대응 등에 적용합니다. 패스키 유무와 관계없이 필요한 본인 확인 단계에 도입합니다.
경청해 주셔서 감사합니다.
■문의처
뱅크가드 주식회사
URL: www.bkguard.com
