알아봅시다 [알아봅시다] 카드보안의 진화 `토큰화기술`

최근 국내외적으로 간편결제 바람이 거세게 불고 있습니다. 하지만 소비자 입장에서는 '어떤 시스템을 통해 결제가 되느냐'보다는 '결제 시 내 돈과 신상 정보가 얼마나 안전한가'에 더 관심이 가는 게 사실입니다. 최근 카드보안과 관련해 화두가 되고 있는 토큰화기술(Tokenization)에 대해 알아보겠습니다.

◇신용카드 보안 핵심으로 떠오른 토큰화기술= 토큰화기술은 모바일 기기에서 카드 정보를 저장할 때, 실제 카드 번호가 아닌 특정 모바일 기기에서만 사용 가능한 가상의 번호를 기기에 부여해 사용하고, 실제 카드번호는 방화벽 내부에 저장하는 데이터 보안기술을 뜻합니다.

좀 더 쉽게 설명하면 교통카드가 생기기 전, 버스를 이용할 때 토큰을 내고 타던 시절이 있었습니다. 그때 사용했던 버스 토큰은 '돈'의 가치를 지니고 있었지만, 버스에서만 사용하던 '상징적'인 지불수단에 불과했죠. 즉, 버스 토큰은 버스를 이용할 때만 합의된 돈의 대용품이기 때문에 다른 상점에 가서 물건을 구매할 때 쓸 수는 없는 수단이었습니다. 토큰화기술도 마찬가지입니다. 카드보안에 있어 토큰은 실제 카드번호를 대신하는 '대리 카드번호'이며, 버스 토큰과 같은 원리로 특정한 모바일 기기에서만 사용이 가능한 것입니다.

지난 3월 마스터카드는 비자, 아멕스카드와 공동으로 토큰화기술 및 이와 관련한 서비스 표준을 발표했습니다. 이 표준에 따라 마스터카드는 모바일 기기에서 사용할 토큰을 생성, 보관, 처리하기 위한 시스템 및 규격을 준비하고 카드사를 대행해 서비스를 제공하고 있습니다.

◇카드 분실 시에도 가상 숫자 토큰만 노출= 이를 MDES(MasterCard Digital Enablement Service)라고 하며, MDES는 △디지털 이네이블먼트 서비스 △디지털 프로세싱 서비스 △ 라이프사이클 이벤트 등 3가지 종류의 서비스를 총칭하는 용어입니다.

디지털 이네이블먼트 서비스는 카드사 인증을 거쳐 카드 소유자 본인임을 확인 받고 토큰을 생성한 뒤, 이를 모바일 기기에 저장하는 이 모든 과정을 가능케 해줍니다.

또 디지털 프로세싱 서비스란 비접촉결제(NFC payment), 앱 상에서의 결제(in-app payment), 온라인 결제(Online payment) 등 여러 채널을 통해 모바일 기기에 저장된 토큰이 지불거래에 사용될 경우, 토큰이 올바른 단말기에서 올바른 채널을 통해 안전하게 거래되는지 확인하고 이를 저장된 카드번호로 카드사에 승인 요청하는 서비스를 뜻합니다.

마지막으로 라이프사이클 이벤트는 실제 카드번호와 토큰을 서로 매핑(Mapping)해서 보관하고, 만일 카드 분실 등으로 실제 카드번호의 변경이 확인되거나 모바일 기기 분실 등으로 토큰이 변경된 것이 감지될 경우, 이에 대한 확인 및 관리를 해주는 서비스입니다.

이런 MDES를 통해 애플 사와 같은 단말 제조사는 카드정보를 모바일 기기에 토큰화, 디지털화함으로써 단말기에 안전하게 보관하는 것입니다.

MDES의 핵심은 모든 지불 거래에 사용되는 기기들(카드 리더기, 모바일 등)을 디지털을 통해 연결시켜 정보 교환을 가능케 한다는 점입니다. 이 기술을 활용하면 플라스틱 카드가 없어도 모바일 또는 앱을 통해서 고객의 카드정보가 디지털로 연결, 공유돼 언제 어디서든 결제가 가능하게 되는 것입니다.

즉, MDES를 활용하면 누군가 고객 정보를 빼내려 해도 실제 정보가 아닌 16자리의 가상 숫자인 '토큰'이 노출될 뿐이고, 또 위험에 노출된 가상 카드번호를 삭제해 버리기만 하면 되기 때문에 해킹의 위협에서 안전한 것이 가장 큰 장점입니다.

마스터카드 관계자는 "가상의 번호를 이용한 해외 온라인 안전결제 기술도 토큰화기술을 응용한 서비스로, 앞으로 토큰화기술은 그 쓰임이 더욱 확장되고 중요도 또한 높아질 것으로 예상된다"며 "새로운 기술이 계속 개발돼 소비자들이 더 편하고 안전하게 결제하는 시대가 올 것"이라고 말했습니다.

신동규기자 dkshin@dt.co.kr
자료=마스터카드