OTP 시대의 종말? 인도 중앙은행의 새 결제인증 전환이 던지는 질문

인도 중앙은행(Reserve Bank of India, RBI)이 온라인 결제 인증에서 문자 메시지 기반 일회용 비밀번호(OTP)에 대한 절대적 의존에서 벗어나겠다는 방향을 공식화했다. 그동안 인도의 디지털 결제 인증은 사실상 SMS OTP 하나로 굴러가는 구조였다. RBI가 제시한 골자는 '추가 인증 요소(Additional Factor of Authentication)'의 방식을 특정 기술에 묶지 말고, 은행과 결제사업자가 다양한 인증 수단을 도입할 수 있도록 원칙 중심(technology-neutral)의 틀로 바꾸겠다는 것이다. 즉 OTP를 금지하는 것이 아니라, OTP만으로 버티던 관행을 끝내고 생체인증·토큰·디바이스 바인딩 같은 대안을 동등하게 열어두겠다는 취지로 알려졌다.

이 변화가 왜 중요한지는 인도 결제 시장의 규모를 보면 분명해진다. 인도의 통합결제인터페이스(UPI)는 이미 일상 결제의 중심축이 됐고, 매달 처리되는 거래 건수는 세계 어느 나라와 견줘도 손색이 없는 수준으로 성장한 것으로 평가된다. 문제는 이 거대한 트래픽이 오랫동안 SMS OTP라는 단일 관문에 의존해 왔다는 점이다. 법적·보안적 관점에서 단일 인증 요소는 구조적으로 취약하다. 문자 가로채기, SIM 스와핑(가입자 정보 탈취), 사회공학적 피싱이 결합되면 OTP 한 줄로 계좌가 뚫린다. 게다가 인도처럼 통신 환경이 지역별로 편차가 큰 나라에서는 OTP 문자가 제때 도착하지 않아 정상 거래가 실패하는 사례도 적지 않았다. 보안과 편의성 양쪽 모두에서 한계에 부딪힌 셈이다.

해외의 시선은 크게 두 갈래다. 유럽은 이미 개정 결제서비스지침(PSD2)을 통해 '강력한 고객 인증(SCA)'을 의무화하면서, 지식·소유·생체 중 최소 두 가지를 조합하는 다중요소인증을 사실상 표준으로 만들어 왔다. 이 관점에서 보면 인도의 이번 전환은 뒤늦은 정상화에 가깝다는 평가가 나온다. 반면 미국은 연방 차원의 단일 결제인증 의무 규정이 없고 카드 네트워크와 민간 사업자의 자율에 맡기는 경향이 강하다. 그래서 인도가 규제 당국 주도로 인증 프레임 자체를 재설계한다는 점에 대해, 국가 개입의 강도가 다른 시장이라는 반응도 있다. 핀테크 업계 일각에서는 규제가 열어준 자유도만큼 사업자 간 인증 수준 격차가 벌어질 수 있다는 우려도 제기된 것으로 전해진다.

한국 독자 입장에서 이 소식은 남의 나라 이야기로만 보기 어렵다. 한국 역시 오랫동안 SMS 인증과 공동인증서, 간편결제 앱의 조합에 익숙해져 있고, 최근 몇 년 사이 생체인증과 기기 기반 인증으로 무게중심이 옮겨가는 흐름을 겪고 있다. 인도의 사례는 '단일 인증 방식에 시장 전체를 태우면 어떤 리스크가 쌓이는가'를 보여주는 실험대에 가깝다. 다만 아직 확정적으로 말하기 이른 부분도 많다. 구체적인 시행 시점, 사업자에게 부과될 기술 요건, 소비자 부담 여부 등은 세부 지침이 나와야 윤곽이 잡힐 전망이다. 인증 방식이 다양해질수록 이용자가 자신의 계정 보안을 어떻게 관리하느냐가 더 중요해진다는 점만큼은, 어느 나라에서든 공통으로 유효한 교훈일 것이다. 관련 규제의 최종 형태는 최신 공식 발표를 확인하는 편이 안전하다.