[이데일리 권하영 기자] 23일부터 휴대전화를 신규 개통하거나 번호를 이동할 때 신분증 사진과 실제 얼굴을 대조하는 ‘안면인증’ 절차가 시범 도입된다. 보이스피싱 범죄 핵심 수단인 대포폰 개통을 원천 차단하겠다는 정부의 강력한 조치다. 다만 민감한 생체 정보를 다루는 만큼 보안성 우려와 기술적 실효성을 둘러싼 논란은 여전하다. (사진=게티이미지) 22일 과학기술정보통신부와 관련 업계에 따르면 정부는 23일부터 알뜰폰 43개 바다이야기#릴게임 사의 비대면 채널과 이동통신 3사의 대면 채널을 대상으로 안면인증 제도를 시범 적용하고, 내년 3월 23일부터 정식 도입할 계획이다. 휴대폰을 개통할 이용자는 대리점에서 제시한 QR코드 링크에 접속해 실물 신분증을 촬영한 뒤, 통신사 ‘패스(PASS)’ 앱에서 안면인식을 진행해 신분증 사진과 실제 얼굴이 일치하는지 확인받는 방식이다. 온라인릴게임 휴대전화 개통시 안면인증 도입 과정(사진=과학기술정보통신부) 안면인증 불신 확산…“결과값만 서버 저장” 생체 정보 수집에 대한 거부감은 정치권을 중심으로 확산 바다이야기 중이다. 조용술 국민의힘 대변인은 “빈대 잡으려다 초가삼간 태우는 발상”이라며 국가와 민간의 보안 역량에 대한 국민적 신뢰가 충분하지 않다“고 비판했고, 나경원 의원 역시 “앱을 통해 촬영하고 전송되는 찰나의 과정조차 보안 취약점이 될 수 있다”고 경고했다. 정부는 ‘비저장 원칙’을 전면에 내세운다. 안면인증 과정에서 생성되는 신분증 사 바다이야기#릴게임 진과 얼굴 특징점(식별값)은 암호화된 상태로 서버에 전송되며, 대조가 끝나는 즉시 인증 여부 결과값(Y/N)만 남기고 삭제된다는 설명이다. 과기정통부 관계자는 “인증이 끝나면 처리값만 남고 데이터는 즉시 삭제돼 서버든 디바이스든 정보가 남지 않는다”고 강조했다. 통신사도 보관 기간을 최소화했다고 강조한다. 한 통신사 관계자는 “안면인증을 게임몰 위해 수집된 생체 정보는 동일인 여부 확인 목적 외에는 사용되지 않고 최소 1분에서 최대 10분 이내로만 활용된다”며 “대리점 태블릿PC에는 이름과 생년월일, 결과값만 열흘간 저장 후 삭제될 뿐, 그 외 정보는 일절 남지 않는다”고 설명했다. 보안 전문가 “얼굴 정보 유출·악용 가능성 낮아” 전문가들도 기본 구조상 유출 가능성은 낮다고 본다. 데이터가 서버에 전송되더라도 암호화된 상태로 처리되고, 설령 평문 노출이 발생하더라도 ‘얼굴 특징점 데이터’만으로 실제 얼굴 이미지를 복원하는 것은 사실상 불가능하다는 평가다. 통합보안·인증 전문기업 한컴위드의 김동조 최고기술책임자(CTO)는 “얼굴 정보는 전송 단계부터 별도의 암호화가 요구되고, 암호화되면 노출 자체가 불가능하다”며 “설령 암호화가 안 됐다 하더라도 얼굴에서 추출되는 특징점 데이터는 매번 다른 값이 생성되기 때문에 이를 역추적해 원본 이미지를 복원하는 것은 기술적으로 불가능에 가깝다”고 말했다. 그는 “기존 인증서나 휴대폰 본인확인 방식은 해킹이나 명의도용을 통한 우회 공격에 취약하지만, 실제 얼굴을 직접 대조하는 방식은 기술적으로 기존 인증수단보다 훨씬 강력한 보안 체계임이 분명하다”고 덧붙였다. 진짜 문제는 ‘위변조 차단’…국가 인증 체계 미비 다만 전문가들은 데이터 저장 여부보다 더 중요한 문제는 ‘눈앞의 사람이 실제 사람인지 얼마나 정확히 가려낼 수 있느냐’에 있다고 지적한다. 3D 마스크나 초고화질 사진 등을 이용한 ‘가짜 얼굴 공격’을 완벽히 차단하는 위변조 방지 기술은 아직 과제가 남아 있다는 것이다. 특히 패스 앱은 안면인식 단계에서 눈 깜빡임과 고개 회전 등을 요구하는 ‘라이브니스 기술’을 적용했음에도, 최근 신분증 인쇄본과 3D 실리콘 마스크만으로 안면인증이 뚫리는 보안 구멍이 드러나 논란이 된 바 있다. 솔루션 공급사가 지난해 말 해당 취약점을 발견해 보완 업데이트를 배포했지만, 통신 3사가 이를 1년간 방치하는 등 운영상 관리 부실이 문제를 키웠다는 지적이다. 통신 3사는 현재 해당 업데이트를 완료한 상태로 23일부터 안면인증을 재개할 방침이다. 국내 한 보안 전문가는 “우리나라의 얼굴 대조 기술 자체는 글로벌 수준이지만, 위변조 방지 영역은 여전히 완벽하지 않다”며 “글로벌 표준 인증 외에도 범용 얼굴 인증 솔루션의 위변조 대응 능력을 공식적으로 검증할 수 있는 국가 인증 체계가 없는 점도 한계”라고 지적했다. 권하영 (kwonhy@edaily.co.kr)