얼굴 스캔하는데, 개인정보 유출되면 어쩌나

얼굴 인식 결제가 확산하고 있지만 악용될 수 있다는 우려는 여전하다. 허술한 보안망 탓에 고객 얼굴 정보가 유출되고 기술 문제로 마스크 같은 위조 수단 앞에 무력하다는 점이 드러난 사례가 적지 않아서다.

17일 핀테크업계에 따르면 네이버와 토스는 얼굴 결제에 비식별화 기술을 적용해 운영 중이다. 얼굴을 스마트폰 카메라로 3차원(3D)으로 찍으면 눈과 미간, 코 높이, 뺨의 움푹 팬 정도 등 얼굴 곡면과 선들을 이은 정보가 암호화한 형태로 저장된다. 촬영된 원본 영상 및 사진은 파기한다. 이렇게 생성된 정보는 원본 얼굴과 1 대 1로 대응되지 않아 이 정보만으로는 원본 얼굴 복원이 불가능하다.

결제 단말기는 3D 정보를 대조하기 때문에 2차원(2D)으로 된 영상 및 사진을 이용한다고 해도 결제되지 않는다. 화장을 짙게 하거나 안경을 써도 얼굴 곡면이 바뀌는 것은 아니기 때문에 결제된다. 다만 성형수술, 부상 등으로 안면 윤곽 자체가 바뀐다면 인식이 불가능해진다. 3D 정보를 이용한 얼굴 인식은 위·변조가 어렵다는 장점이 있다. 하지만 얼굴 인식 정보는 한 번 유출되면 일반 비밀번호와 달리 교체가 거의 불가능하다는 단점이 존재한다.

중국에서는 2020년 8월 해커가 온라인 사이트에서 얼굴 정보 수천 건을 탈취하는 사고가 발생했다. 이 정보가 다크웹 등에서 건당 10위안(약 2000원) 수준에 판매됐다. 해킹된 사이트는 원본 사진을 삭제하지 않고 그대로 저장한 것으로 드러났다. 유출된 정보를 바탕으로 3D 마스크를 만들어 결제에 성공했다는 연구 결과도 나왔다.

이 사고 이후 2021년 중국 당국은 얼굴 인식 규제를 대대적으로 강화했다. 별도의 ‘얼굴인식기술 응용 안전관리 규정’을 신설해 안면 정보의 인터넷 전송 제한 및 정보 익명화 등을 의무화했다. 공공장소에서 얼굴 인식 기술을 사용할 때 위험성에 따른 등급 분류도 세분화했다. 규정을 어기면 형사 처벌 대상이 된다는 점 역시 명시했다.

국내에선 아직 중국만큼 얼굴 인식 기술과 보안에 대한 고도화된 법규는 없다. 개인정보보호법에서 얼굴 인식 정보를 민감정보로 규정해 수집과 이용 등에서 정보 주체의 동의를 받도록 규정한 정도다. 핀테크업계 관계자는 “중국이 내수시장을 기반으로 다양한 기술을 선보이며 글로벌 얼굴 인식 시장을 주도하고 있다”며 “한국도 얼굴 결제 규정을 정비해 관련 기술을 발전시키고 시장을 키울 수 있는 체계를 마련할 필요가 있다”고 말했다.

배태웅 기자 btu104@hankyung.com