스마트폰 모바일뱅킹 '보안 구멍'

공인인증서 저장방식 기준 마련 안돼

지난 13일 기업은행이 아이폰용 모바일뱅킹 애플리케이션을 출시하면서 본격적인 스마트폰 모바일뱅킹의 시대가 시작됐다. 하지만 모바일뱅킹에서 가장 중요하다고 할 수 있는 보안 문제에 대한 기준이 완벽하게 마련되지 않아 보안 위험에 관한 우려가 커지고 있다.

15일 금융계와 통신업계에 따르면 지금까지 출시된 아이폰용 애플리케이션의 공인인증서 저장 방식이 제각각이다. 기업은행의 경우 애플리케이션 자체가 공인인증서에 저장되는 방식이고, 하나은행은 기기 내 시스템 폴더에 저장하는 방식을 택했다.

기업은행 방식의 경우 공인인증서가 애플리케이션 안에 저장되기 때문에, 다른 은행의 모바일뱅킹을 쓰기 위해서는 공인인증서를 다시 설치해야 한다. 상황에 따라서는 같은 공인인증서를 여러 번 복사해야 할 수도 있다.

하나은행이 채택한 시스템 폴더 저장 방식은 상대적으로 호환성이 높다. 하지만 공인인증서가 이용자 ID와 패스워드 관련 정보가 담겨있는 공간에 함께 저장된다는 점이 문제점으로 지적되고 있다.

다른 은행들이 시스템 폴더 저장 방식을 택하더라도 공인인증서 중복 설치 문제가 쉽게 해결되지 않는다는 뜻이다. 특히 애플리케이션 개발자가 다를 경우에는 공인인증서를 통용하는 것이 사실상 불가능하다.

결국 현재 국내 아이폰용 모바일뱅킹은 어떤 방식을 취하든 여러 개의 공인인증서를 설치해야 하는 구조다. 그 원인은 금융당국이 사전에 관련 규준을 명확히 하지 않은 결과다.

은행권은 지난해부터 공인인증서 저장 방식과 관련해 명확한 기준을 마련해 달라고 했지만, 금융감독원은 뚜렷한 답을 내놓지 않았다. 지난 6일 '스마트폰 전자금융서비스 안전대책'을 뒤늦게 발표했지만, 여기에도 공인인증서 저장문제 등의 문제는 제외됐다.

한 은행에서 발급받은 공인인증서를 복사해 여러 번 쓸 수 있다 하더라도, 공인인증서가 여러 애플리케이션 안에 매번 복사돼 저장되는 것은 보안상 위험하다는 것이 통신업계의 지적이다.

업계 관계자는 "표준이 만들어지기도 전에 아이폰용 모바일뱅킹이 등장해 공인인증서를 제각각 설치해야 한다"며 "공인인증서가 지금처럼 무더기 발행되는 것은 바람직하지 않다"고 지적했다.

다른 관계자는 "공인인증서는 일종의 전자서명이기 때문에 설치가 최소화돼야 한다"며 "아이폰 외 다른 스마트폰용 모바일뱅킹이 상용화된 상태에서, 공인인증서가 남발되면 어떤 식으로든 금융사고가 발생할 수 있다"고 우려했다.

이와 관련 아직 스마트폰 모바일뱅킹 서비스를 시작하지 않은 은행들은 공동으로 애플리케이션을 출시하는 방안을 검토하고 있다. 한 은행 관계자는 "하나의 애플리케이션을 내놓고, 그 안에서 각 은행의 모바일뱅킹 서비스를 제공하는 시스템을 계획하고 있다"며 "이 경우 공인인증서 남발 문제를 최소화할 수 있다"고 말했다.

하나은행과 기업은행을 제외한 나머지 은행들은 오는 4월 스마트폰 모바일뱅킹 서비스를 시작할 계획이다.