PSD2를 준수하는 강력한 고객 인증을 위한 F5 Distributed Cloud 보안 솔루션

Distributed Cloud Services는 원활한 강력한 고객 인증과 보안을 제공하여 제3자 결제 서비스 제공업체의 위험을 완화하고, 고객 경험을 개선하며, EU 은행 PSD2 지침을 준수할 수 있도록 지원합니다.

금융 서비스의 디지털 전환으로 소비자 보호의 중요성이 더욱 부각되고 있습니다

모든 산업에서 매출을 늘리고 운영 비용과 손실을 줄여야 한다는 압박이 커지고 있습니다. 금융 서비스 업계에서는 오픈 뱅킹의 부상과 애그리게이터가 소비자에게 제공하는 혜택이 디지털 혁신을 주도하고 있습니다. 이러한 혁신은 고객 경험을 개선했지만, 동시에 사기범이 노릴 수 있는 공격 표면을 확대하기도 합니다. 이에 대응하기 위해 유럽은행감독청(EBA)은 은행, 애그리게이터 및 기타 금융 서비스 제공업체 전반에 강력한 고객 인증(SCA)을 적용하여 소비자를 보호하는 지급결제서비스지침 2(PSD2)를 제정했습니다. 구체적으로 이 지침의 제4조 제30항에서는 “강력한 고객 인증”의 필요성을 언급하며, 이를 다음과 같이 정의합니다:

지식(사용자만 알고 있는 정보, 예: 비밀번호, PIN, 암호 문구, 기억해 둔 스와이프 패턴, 본인 확인 질문에 대한 답변), 소유(사용자만 소유하고 있는 것, 예: 하드웨어 또는 소프트웨어 토큰 생성기, SMS 문자 메시지, OTP), 고유 특성(사용자 자체의 특성, 예: 생체 정보, 정맥 인식, 음성 인식, 키 입력 분석, 심박수)으로 분류되는 두 가지 이상의 요소를 사용하는 인증 방식입니다. 이러한 요소는 서로 독립적이므로 하나가 침해되더라도 나머지 요소의 신뢰성이 훼손되지 않으며, 인증 데이터의 기밀성을 보호하도록 설계됩니다.

사이버 범죄자들이 변화에 적응하며 규제보다 앞서 나가려 하는 상황에서, 소비자가 애플리케이션과 API에 접근하고 사용하는 데 불편을 초래하지 않으면서도 안전하게 보호하는 것이 중요합니다.

다중 인증에 대한 PSD2의 오해: MFA/2FA만으로 충분할까요?

PSD2에서 분명히 알 수 있는 점은 EBA가 강력한 고객 인증을 요구한다는 것입니다. 또한 애그리게이터와 제3자 결제 서비스 제공업체(TPP)가 고객 계정에 접근할 수 있도록 허용해야 합니다. EBA는 규정 준수를 위해 필요한 사항, 즉 지식, 소유, 생체적 특성으로 분류되는 요소 중 두 가지 이상을 사용하는 인증을 명시하고 있습니다. PSD2가 다중 인증이나 2FA를 명시적으로 언급하지는 않지만, 이러한 방식은 기업에서 가장 널리 사용하는 두 가지 인증 수단인 일회용 비밀번호(OTP) 및 단문 메시지 서비스(SMS)와 사실상 동의어가 되었습니다. 결제 서비스 제공업체는 인증의 모든 단계에서 결제 서비스 사용자가 사용하는 개인화된 보안 자격 증명과 인증 코드의 기밀성 및 무결성을 반드시 보장해야 합니다. 그러나 평문으로 전송되는 SMS 메시지에는 알려진 고유 취약점(예: 사용자 기기에서 문자 메시지를 탈취하도록 설계된 모바일 멀웨어)이 있습니다. 또한 Kr3pto와 같은 정교한 피싱 키트를 사용하면 숙련된 위협 행위자가 일회용 비밀번호를 실시간으로 가로챌 수 있습니다. 이러한 사실을 고려할 때 OTP와 SMS에만 의존하는 기업은 사실상 보안 위험을 초래하고 고객 계정을 잠재적인 위협에 노출하는 셈입니다. Distributed Cloud Services는 AI, 머신 러닝 및 기타 기술을 활용한 실시간 애플리케이션 보호 기능으로 SCA 요구 사항을 보완합니다.

F5 Distributed Cloud 플랫폼이 마찰 없이 PSD2를 준수하는 고객 인증을 제공하는 방법

F5 Distributed Cloud 플랫폼은 보안, 사기 방지 및 ID 관리 기능 전반에 걸쳐 엄격한 교차 기능 분석을 제공합니다. 지식, 소유, 생체 특성이라는 세 가지 보안 인증 요소를 모두 활용하여 정확도와 유연성을 높일 수 있습니다. 유럽은행감독청은 ‘생체 특성 요소’를 인증 분야에서 가장 주목할 만하고 발전 가능성이 높은 영역으로 인정하고 있습니다. Distributed Cloud Services는 간편하게 운영할 수 있는 포괄적인 웹, 모바일 및 API 보호 기능을 제공하여 금융 서비스 조직이 PSD2 요구 사항을 충족하도록 지원합니다. Distributed Cloud Platform은 모든 상호 작용을 관찰하고 학습하여 진화하는 공격을 자동으로 완화합니다. 아래의 예시 시나리오를 살펴보겠습니다.

F5의 심층 고객 인증 실제 적용(3요소 검증)

• 1단계: 사용자가 온라인 자산 또는 애플리케이션에 접근합니다.
  
• 2단계: 사용자 이름을 입력하거나 미리 채워진 값을 사용합니다(사용자 이름 자체는 지식 요소가 아님에 유의).
  
• 3단계: 사용자가 비밀번호 또는 PIN(규정을 준수하는 지식 요소)을 입력합니다.
  
• 4단계: Distributed Cloud Bot Defense는 런타임에 소유 요소를 검증하기 위해 디바이스 ID 원격 분석 데이터 수집과 같은 수동형 생체 인식 기술을 사용합니다.
  
• 5단계: Distributed Cloud Bot Defense는 런타임에 본인 고유 요소를 행동 생체 인식을 통해 검증합니다.
  
• 6단계: 사용자 인증이 완료되고 추가 인증 절차로 인한 불편 없이 송금을 완료합니다.

분산 클라우드 서비스는 실시간 행동 및 교차 기능 분석을 통해 OTP와 SMS 2단계 인증을 보완합니다. 이러한 기능을 종합적으로 활용해 PSD2의 강력한 고객 인증을 구성하는 세 가지 요소를 모두 준수하면서 사용자를 인증함으로써 규제 준수를 달성하고 보안을 강화하며 사용자 불편을 해소합니다.

보안 팀이 제3자 제공업체 및 애그리게이터에 대해 알아야 할 사항

PSD2는 금융 기관이 제3자 제공업체(TPP)에 고객 데이터에 대한 접근 권한을 부여하도록 요구함으로써 혁신과 오픈 뱅킹을 촉진합니다. TPP 애플리케이션은 API를 통해 금융 기관에 연결되어 데이터를 통합하고 단일 화면에서 정보를 확인할 수 있도록 합니다. 예를 들어 고객의 여러 계좌에 걸친 은행 잔액, 거래 내역 및 프로필을 통합할 수 있습니다. 고객의 기대를 충족하는 동시에 사용자 정보에 대한 위험을 완화하고 사기를 방지하려면 앱 및 API 보안이 매우 중요합니다. 다음은 애그리게이터로 인해 발생할 수 있는 위협과 위험의 몇 가지 예입니다:

애그리게이터 사칭 공격
데이터 제공처와 협력 관계를 맺고 있는 애그리게이터는 해당 기관의 서비스에 대한 접근 권한을 부여받는 경우가 많습니다. 공격자는 이러한 관계를 악용하여 기관을 직접 공격하는 대신 애그리게이터를 대상으로 크리덴셜 스터핑을 수행해 계정의 유효성을 확인합니다.

계정 탈취
금융 정보 통합 서비스 업체는 고객의 은행 로그인 정보(사용자 이름 및 비밀번호)와 최대 90일간의 계좌 데이터를 저장하므로 공격자에게 매력적인 표적이 됩니다. 공격자는 사용자가 연동한 핀테크 애플리케이션을 악용하여 계좌 잔액을 탈취하고 다른 온라인 결제 시스템에도 접근할 수 있습니다.

예측 불가능한 트래픽 부하 급증
애그리게이터는 금융기관 계좌 조회에서 상당한 비중을 차지하며, 최신 소비자 계좌 정보를 얻기 위해 하루에도 최대 수만 번 금융기관에 데이터를 요청합니다. 여기에 수천 명의 고객을 곱하면, 금융기관은 애그리게이터 트래픽을 처리하기 위해 용량을 추가해야 하는 상황에 놓이게 됩니다.

스크린 스크래핑
소비자는 자발적으로 핀테크 데이터 통합업체에 자신의 인증 정보를 제공하며, 이들 업체는 자동화 도구를 사용해 금융기관의 애플리케이션을 탐색하고 소비자 데이터를 스크래핑합니다. 이러한 데이터 통합은 소비자에게 당장 체감할 수 있는 몇 가지 이점을 제공할 수 있지만, 일부 통합업체의 데이터 접근 방식은 데이터 규정 준수 요건을 위반할 수 있으며 궁극적으로 소비자 데이터를 사기 위험에 노출시킬 수 있습니다.

F5 Distributed Cloud 서비스가 금융 기관의 애그리게이터 관리를 지원하는 방법

F5는 금융 기관이 데이터 통합 서비스를 관리하고 공격을 방어할 수 있도록 가시성과 제어 기능을 제공합니다. 고객은 원하는 앱을 통해 언제 어디서나 자신의 데이터에 자유롭게 액세스하는 동시에 크리덴셜 스터핑 및 계정 탈취(ATO) 위험으로부터 보호받을 수 있습니다.

인증 가시성
Distributed Cloud Bot Defense는 모든 로그인 시도를 확인하고 트래픽을 사람, 자동화 또는 애그리게이터로 분류합니다. F5는 금융 기관의 웹 및 모바일 자산에서 공격을 차단하며, 공격자가 계정 유효성 검증을 위해 애그리게이터를 통해 크리덴셜 스터핑을 시도하는 경우도 탐지할 수 있습니다.

온보딩 지원
Distributed Cloud Aggregator Management는 애그리게이터가 사용자의 금융 자격 증명을 저장하는 방식에서 벗어나, 데이터를 제공받는 금융 기관이 지원하는 API로 전환하도록 장려합니다. F5는 이러한 전환을 위해 금융 기관 및 애그리게이터와 협력합니다.

최소 권한 액세스
API를 사용하는 경우 Distributed Cloud Services는 애그리게이터에 필요한 권한만 적용하여 위협 표면을 줄일 수 있습니다. 예를 들어 거래 데이터에 읽기 전용 액세스만 허용하거나 요약 정보만 제공하도록 제한할 수 있습니다.

이상 징후 탐지
Distributed Cloud Services는 금융 기관과 애그리게이터 모두의 이상 징후 탐지를 지원합니다. F5는 헤드리스 브라우저와 수동 공격 사기를 비롯한 모든 공격자 프레임워크를 핑거프린팅하며, 공격을 차단하거나 애그리게이터와 금융 기관 모두에 경고를 보낼 수 있습니다.

F5로 지능형 사이버 보안 위협에 대응
F5 Distributed Cloud Services는 하나의 통합 플랫폼에서 업계 최고 수준의 애플리케이션 보안 및 사기 방지 솔루션을 제공합니다. F5는 AI 기반의 정밀한 분석을 활용하여 공격 트래픽을 실시간으로 정확하게 탐지하고 사기를 탐지·차단합니다.