카카오와 카뱅의 '본인인증' 차이, 아시나요?

지난해 카카오뱅크는 인터넷은행 중 최초로 본인확인기관으로 선정됐습니다. 여기서 그치지 않고 전자문서중계자, 전자서명인증사업자 등 정부 인증 라이선스 3종을 모두 획득했는데요. 모회사인 카카오와 형제 회사인 카카오페이가 하고 있던 사업에 뛰어든 것인데, 왜 직접 나서게 됐는지 궁금해졌습니다.

좀 더 자세한 내용을 살펴보니 헷갈리는 개념이 많았는데, 카카오가 하고 있는 본인인증과 카카오뱅크의 본인인증 사업은 뭔가 다르다는 것을 알게 됐습니다. 그래서 이번 글을 통해 우리나라의 복잡한 인증 사업 영역을 정리해 보았습니다. 꼭 금융 서비스가 아니더라도 IT 서비스를 기획하는 분들께 도움이 될 내용이라 생각합니다.

본인인증 사업에 뛰어든 기업들

공인인증서는 본래 종이 문서의 인감이나 지장, 사인 등과 같은 효력을 가지는 전자서명 시스템으로, 1999년 전자서명법이 개정되며 도입되었습니다. 은행 업무나 온라인 거래, 전자 민원 등에서 사용되었죠. 그리고 2020년 12월 10일부터 전자서명법 개정안이 시작되면서 20여 년을 버텨온 공인전자서명제도가 폐지되었습니다.

새로 나온 전자서명법은 공인인증서와 사설인증서 간 차이 없이 모두 동등한 효력이 있도록 했습니다. 당시 기사를 기억하시는 분들도 있을 겁니다. 그동안 공인인증서는 Active X 와 보안 프로그램 다수를 강제하며, PC를 느려지게 하는 주범으로 많은 사람들이 혐오하는 공공의 적이었습니다.

사실 공인인증서가 폐지되었다고 표현했지만, 이는 사용할 수 없게 되었다는 뜻은 아닙니다. 공인인증서의 의무 사용과 법적 특혜가 소멸했고, 공인인증서는 이름을 공동인증서로 바꾸어 운영되었습니다.

이후 이동통신 3사의 PASS, 네이버, 카카오 등이 인증 시장에 들어오며 경쟁이 심화되었습니다. 저는 온라인 사이트에서 네이버, 토스, 카카오 인증을 사용해서 로그인하고 있습니다. 아마 다들 비슷할 겁니다.

그래서 저는 이 사업자들이 본인인증 사업을 하고 있다고 생각했습니다. 그래서 카카오뱅크의 인증 획득이 의아했던 것이죠. 하지만 카카오뱅크가 취득한 인증은 민간 인증서의 영역과 좀 다른데요. 크게 구분하면 전자서명인증사업자와 본인확인기관으로 나눌 수 있습니다.

전자서명인증사업자란?

위 국세청 홈택스와 같이 로그인에 활용할 수 있는 인증서는 ‘전자서명인증사업자’가 할 수 있습니다. 이는 전자서명법 개정안에 따라 공인인증서를 대체하여 본인임을 인증할 수 있는 사업자를 말합니다.

전자서명법에 따르면 전자서명인증이란 ‘전자서명생성정보가 가입자에게 유일하게 속한다는 사실을 확인하고 이를 증명하는 행위’를 말합니다. 즉, 본인인증과 다릅니다. 본인인증은 ‘특정한 방식의 전자서명’을 이용하는 한 가지 사례에 불과하기 때문이죠.

위 표의 사업자들은 모두 전자서명인증사업자입니다. 카카오뱅크도 2022년에 이를 취득했습니다. 그렇다면 카카오뱅크가 취득한 다른 인증 라이선스인 본인확인기관 자격은 무엇인지 살펴보겠습니다.

본인확인기관이란?

카카오뱅크가 취득한 본인확인기관 자격은 카카오나 카카오페이에는 없습니다. 이는 ‘주민등록번호를 대신해 본인확인을 할 수 있는 대체수단을 개발하고 이를 고객에 서비스’하는 기관으로, 카카오뱅크 인증서를 활용해서 본인확인이 필요한 공공기관 온라인 서비스나 금융서비스를 이용할 수 있습니다. 사이트 로그인을 할 때, 공인인증서 대신 카카오뱅크 앱에서 PIN 입력이나 생체정보 확인을 통해 본인확인이 되는 것이죠.

현재 카카오뱅크 앱에 접속하면, ‘카카오뱅크 인증서’ 메뉴가 활성화되어 있는 것을 볼 수 있습니다. 카카오뱅크는 지난 3월 30일 인증서 서비스를 공식 출시했는데요. 9월 본인확인기관 라이선스 확보, 이후 12월에는 전자서명인증사업자 라이선스를 확보한 후, 이를 활용하여 서비스를 출시했습니다.

하지만 카카오뱅크 인증서를 발급받아보면, 기존의 인증서와 어떤 점에서 다른지 크게 와닿지는 않습니다. 기존의 네이버나 카카오 인증서와 비슷해 보입니다. 그래서 카카오뱅크는 특이하게 인증서 Plus라는 명칭으로 자체 인증서를 녹여 넣었습니다.

우선 민간 인증서를 발급시킨 후, 자체 인증서로 업그레이드하는 개념을 도입한 것인데요. 인증서를 업그레이드한다는 점이 신선한 시도로 보입니다.

인증 사업 확대와 시사점

이번 글에서 인증 사업에 대해 설명하다 보니, 법률 용어도 많이 등장했는데요. 다시 처음으로 돌아가 문제의 본질을 살펴보겠습니다. 저는 왜 본인인증 개념이 혼란스럽다고 느꼈을까요? 전자서명, 신원확인, 인증은 각각 다른 목적을 가지고 있어, 쓰는 기술도 다릅니다. 사실 헷갈릴 필요가 없는데, 문제는 공인인증서 때문입니다.

기존에는 공인인증서가 만능이라 실질적으로 신원확인, 전자서명 기능을 모두 포함하고 있었습니다. 공인인증서 하나만으로도 커머스, 공공업무를 모두 할 수 있어, 각 기능이 분리되지 않았던 것입니다. 그래서 저는 공인인증서로 로그인하면 본인확인까지 한 것으로 생각했습니다.

그러나 현재 우리가 사용하는 네이버 인증, 카카오 인증은 모두 민간 인증서 사업자입니다. 그래서 처음 보는 사이트에 로그인을 할 때는 휴대폰 본인인증을 한 번 더 거쳐야 합니다. 이것은 ‘제출한 인증서가 진본인 것은 민간사업자가 증명했지만, 본인에 대한 인증은 휴대폰을 통해 증명하세요.’라는 의미입니다. 아래 이미지는 정부24 사이트 로그인 화면인데요. 간편 인증 시에는 휴대폰 본인인증을 해야 한다고 안내하고 있는 것이 바로 이런 이유 때문입니다.

카카오뱅크는 앞서 언급한 두 라이선스 외에도 공인전자문서중계자 라이선스를 취득해 ‘내 문서함’ 서비스도 출시했습니다. 행정안전부 국민비서 문서 등을 전자 문서로 확인할 수 있는 서비스인데요. 인증 사업은 당장 돈이 되지 않더라도, MAU 확대를 위해 필요한 사업이라고 판단한 것입니다. 또한 카카오뱅크뿐만 아니라 생활금융 플랫폼을 지향하는 여러 기업에서 비슷한 움직임을 보이고 있습니다. 앞으로 복잡한 인증 시장과 법규는 이러한 흐름에 맞춰, 어떻게 변해갈지 좀 더 지켜봐야겠습니다. 긴 글 읽어주셔서 감사합니다.

요즘IT의 모든 콘텐츠는 저작권법의 보호를 받는 바, 무단 전재와 복사, 배포 등을 금합니다.