글로벌 결제 보안 규제가 강화되는 흐름, 플랫폼 부담은 얼마나 커지나

결론부터 말하면, 글로벌 결제 보안 규제 강화는 플랫폼 입장에서 '선택'이 아니라 '비용 항목'으로 자리 잡고 있다. 유럽연합(EU)이 기존 PSD2(2차 결제서비스지침)를 한층 강화한 PSD3 및 결제서비스규정(PSR) 논의를 이어가고, 미국과 아시아 주요국이 데이터 보안과 사기 책임 분담 규정을 손보면서, 결제 기능을 끼고 있는 플랫폼들은 인증·모니터링·책임 구조를 다시 설계해야 하는 상황에 놓였다. 핵심은 규제가 단순히 '보안을 강화하라'는 권고가 아니라, 위반 시 과징금과 책임 부담으로 직결된다는 점이다.

배경을 짚어보면, 이 흐름의 출발점은 2019년 무렵부터 본격 적용된 유럽의 강력고객인증(SCA, 결제 시 두 가지 이상의 요소로 본인 확인) 의무화다. 당시에는 결제 이탈률(결제 도중 이용자가 포기하는 비율)이 늘어난다는 가맹점들의 불만이 컸다. 그러나 사기 거래가 줄었다는 평가가 누적되면서, 규제 당국은 인증을 완화하기보다 적용 범위를 넓히는 방향으로 가닥을 잡은 것으로 알려졌다. 여기에 생성형 AI를 활용한 피싱·사기 수법이 정교해지면서, 규제 당국이 사기 책임을 플랫폼과 결제대행사 쪽으로 더 넓게 묻는 흐름이 2026년 현재 두드러지고 있다.

흥미로운 지점은 국가별 온도 차다. 유럽은 이용자 보호와 책임 분담을 법으로 촘촘히 규정하는 쪽이다. 반면 미국은 연방 차원의 단일 규제보다 카드 네트워크의 자율 보안표준(PCI DSS)과 주별 데이터 보호법이 뒤섞여 있어, 플랫폼이 지역마다 다른 기준을 맞춰야 하는 복잡성이 크다. 싱가포르나 영국 같은 핀테크 친화 지역은 보안 강화와 혁신 속도 사이에서 균형을 강조하는 메시지를 내고 있다. 업계 반응도 갈린다. 대형 플랫폼은 컴플라이언스(규제 준수) 조직을 키워 대응할 여력이 있지만, 결제 기능을 막 붙이기 시작한 중소 플랫폼은 인증 솔루션 도입과 사기 모니터링 비용이 고정비처럼 쌓이는 부담을 토로하는 것으로 전해진다.

비용 구조 관점에서 보면 부담은 세 갈래다. 첫째는 인증 시스템 구축과 외부 솔루션 사용료, 둘째는 사기 거래 발생 시 책임을 누가 질지에 따른 손실 분담, 셋째는 감사·보고 의무에 따른 인력 비용이다. 특히 결제 이탈률과 보안 강도는 일정 부분 상충하기 때문에, 플랫폼은 '보안을 높이면서도 결제 전환율을 지키는' 최적점을 찾아야 한다. 개인적으로 핀테크 서비스 몇 곳을 직접 써본 경험으로는, 인증 단계가 하나 늘 때마다 체감 이탈이 분명히 생긴다. 이 미묘한 균형이 곧 플랫폼의 수익성 변수로 연결된다.

한국 독자 입장에서 이 흐름은 남의 일이 아니다. 국내는 이미 전자금융거래법과 관련 보안 기준을 운영 중이고, 해외 진출 플랫폼이나 글로벌 결제망을 쓰는 커머스·콘텐츠 서비스는 유럽·미국 기준을 동시에 맞춰야 하는 상황에 직면할 가능성이 높다. 즉 해외 규제 강화는 국내 플랫폼의 글로벌 사업 비용을 끌어올리는 요인이 될 수 있다. 다만 아직 불확실한 부분이 많다. PSD3·PSR의 최종 적용 시점과 세부 조항은 입법 절차에 따라 달라질 수 있고, 각국이 책임 분담을 어디까지 강제할지도 확정되지 않았다[최신 정보 확인 권장]. 투자자라면 결제 의존도가 높은 플랫폼 기업의 컴플라이언스 비용 추이를, 이용자라면 인증 절차 변화와 사기 보상 정책을 함께 지켜볼 필요가 있다.

결국 이번 흐름은 보안 강화가 '비용이자 신뢰 자산'이라는 양면성을 드러낸다. 규제 부담은 늘지만, 사기 손실을 줄이고 이용자 신뢰를 확보하면 장기적으로 플랫폼 경쟁력이 될 수도 있다. 여러분이 자주 쓰는 결제·커머스 서비스는 보안 강화와 편의성 사이에서 어느 쪽에 무게를 두고 있다고 느끼는가.