미국서 논의되는 '연방 결제사기 통합등록제', MFA 없이는 반쪽짜리인 이유

미국에서 결제사기(payment fraud) 정보를 연방 차원에서 한데 모으는 이른바 '통합등록제' 성격의 제도를 도입하자는 논의가 이어지고 있다. 개별 은행·카드사·핀테크 업체가 각자 관리하던 사기 계좌와 이상거래 정보를 공통의 등록·조회 체계로 묶자는 취지다. 아직 확정된 법안이 통과됐다기보다는, 규제 당국과 업계·소비자 단체 사이에서 방향성을 두고 논의가 오가는 단계로 알려져 있다. 다만 한 가지 흐름은 분명하다. 데이터를 모으는 것만으로는 사기를 막을 수 없고, 결국 '본인 확인'을 강화하는 다중인증(MFA)이 함께 가야 한다는 문제의식이 커지고 있다는 점이다.

왜 지금 이런 논의가 나오는지 배경부터 짚어보자. 지난 몇 년간 실시간 송금 서비스가 보편화되면서 자금 이동 속도가 빨라졌다. 문제는 사기 자금도 같은 속도로 빠져나간다는 데 있다. 계좌이체형 사기(APP fraud), 즉 피해자가 속아서 스스로 송금 버튼을 누르게 만드는 유형이 특히 늘어난 것으로 전해진다. 이 경우 시스템 입장에서는 '정상 이용자의 정상 송금'처럼 보이기 때문에 기존의 이상거래탐지만으로는 걸러내기 어렵다. 각 기관이 파편적으로 가진 사기 계좌 정보를 공유하지 못하는 사이, 같은 사기범이 A은행에서 막히면 B핀테크로 옮겨가는 일이 반복된다는 지적이 나온다. 통합등록제 논의의 출발점이 여기에 있다.

하지만 정보 공유만으로는 절반의 해법이라는 것이 이번 논의의 핵심이다. 등록제가 잘 작동하려면 '누가 이 거래를 승인했는가'를 신뢰할 수 있게 증명하는 절차가 전제돼야 한다. 계정 자체가 탈취된 상태라면, 아무리 촘촘한 사기 계좌 데이터베이스가 있어도 정상 계정으로 위장한 접근을 막지 못한다. 그래서 비밀번호 하나에 의존하는 단일 인증에서 벗어나, 문자·앱 승인·생체정보 같은 추가 요소를 결합하는 MFA를 결제 단계 전반에 의무화하자는 주장이 함께 거론되는 것이다. 법적으로 보면 이는 책임 소재 문제와도 직결된다. MFA를 제대로 갖추지 않은 사업자에게 사기 피해 배상 책임을 더 무겁게 물릴 수 있는 근거가 되기 때문이다.

이해관계는 단순하지 않다. 은행과 대형 카드사는 표준화된 등록제와 MFA 의무화가 장기적으로 사기 손실을 줄인다는 점에서 원칙적으로 우호적인 편으로 알려져 있다. 반면 초기 구축 비용과 데이터 관리 책임을 우려하는 목소리도 있다. 소규모 핀테크·간편결제 업체 입장에서는 인증 절차가 늘어나면 이용자 이탈(마찰)이 커질 수 있어 조심스럽다. 소비자 단체는 사기 근절과 배상 강화에는 찬성하면서도, 통합된 사기 정보 데이터베이스가 개인정보 오·남용이나 부당한 계좌 차단으로 이어질 수 있다는 점을 경계하는 것으로 전해진다. 즉 보안 강화와 편의·프라이버시 사이의 균형점을 어디에 둘 것인가가 논의의 실제 쟁점이다.

한국 독자 입장에서 이 흐름을 남의 일로 보기는 어렵다. 우리 역시 오픈뱅킹과 간편송금이 일상화됐고, 보이스피싱·계좌이체 사기 피해가 끊이지 않는 구조는 미국과 크게 다르지 않다. 국내에서도 지연이체·이상거래 정보 공유·본인 확인 강화 논의가 이어져 온 만큼, 미국이 연방 차원의 등록제와 MFA 의무화를 어떤 방식으로 설계하는지는 우리 규제 방향에도 참고점이 될 가능성이 있다. 개인 차원에서 당장 할 수 있는 일도 분명하다. 문자보다는 인증앱이나 생체인증 기반의 다중인증을 켜두고, 비밀번호 재사용을 피하는 것만으로도 계정 탈취형 사기의 상당 부분을 줄일 수 있다.

다만 과장은 경계해야 한다. 현재로서는 구체적 법안 형태나 시행 시기가 확정된 것은 아니며, 논의 단계에서 방향이 바뀔 여지도 있다. 통합등록제가 실제로 도입되더라도 세부 설계에 따라 효과와 부작용은 크게 달라질 전망이다. 결국 관전 포인트는 두 가지다. 첫째, 사기 정보 공유가 개인정보 보호와 어떻게 조화를 이루는가. 둘째, MFA 의무화가 소비자 편의를 크게 해치지 않는 선에서 안착하는가. 이 두 축이 이후 이 사안을 판단하는 기준이 될 것이다.