"이젠 비밀번호 쓰면 안된다"…금융 거래시 생체 인증 의무화 시작됐다

증권업계가 본인 인증 방식을 크게 바꾸고 있다.

이웃 나라인 일본 금융청과 일본증권업협회는 증권 계좌 탈취를 통한 부정 주식 거래가 잇따르자, 지문과 얼굴 인식 등을 활용하는 생체 인증 기반 패스키와 PKI, 즉 공개키 기반구조 같은 보안성이 높은 인증 방식을 온라인 거래를 제공하는 증권사에 의무화하는 방침을 적용했다.

그동안 안전하다고 여겨졌던 비밀번호와 SMS 인증만으로는 왜 더 이상 자산을 지키기 어려워졌을까. 또 이번 변화는 금융업계와 보안 산업에 어떤 영향을 줄까. 규제 내용과 그 뒤에서 주목받는 기업들을 정리했다.

비밀번호 인증이 한계에 부딪힌 이유

일본 금융청에 따르면 2025년 한 해 동안 온라인 증권 계좌에 대한 부정 접속은 약 1만 8,000건에 달했다.

피해는 2025년 4월을 정점으로 줄어들었지만, 2026년 5월에도 한 달간 194건이 확인돼 아직 완전히 진정되지 않은 상황이다.

주요 수법은 실시간 피싱이다. 일본증권업협회의 주의 안내에 따르면 범죄자들은 증권사를 사칭한 가짜 이메일이나 SMS를 보내 이용자를 가짜 사이트로 유도한다.

이후 이용자가 ID와 비밀번호를 입력하면 곧바로 가짜 일회용 비밀번호 입력 화면으로 넘긴 뒤, 입력된 인증 코드를 즉시 악용해 계좌를 탈취하는 방식이다.

이 수법은 기존에 안전하다고 여겨졌던 SMS 기반 일회용 비밀번호 인증의 약점을 파고든다. 2단계 인증을 거치더라도 이용자가 입력하는 순간 인증 코드가 가로채이면 보안 효과가 사라질 수 있기 때문이다.

이러한 구조적 약점을 보완할 대안으로 주목받는 것이 FIDO2 규격을 기반으로 한 패스키 인증이다.

패스키는 스마트폰 같은 개인 기기 안에서 지문이나 얼굴을 확인하고, 서버에는 비밀키를 바탕으로 만든 서명 정보만 보내는 방식이다. 로그인할 때 비밀번호 자체를 입력하지 않아도 된다는 점이 핵심이다.

비밀번호 문자열이 유출되더라도 다시 사용할 수 없는 구조이기 때문에 피싱을 통한 부정 로그인을 원천적으로 막는 데 효과적이라는 평가를 받는다.

보안 강화와 이용자 불편 사이의 고민

일본 금융청과 일본증권업협회는 2025년 10월 증권사에 적용하는 감독 방침과 가이드라인을 각각 개정했다. 로그인과 출금 과정에서 생체 인증을 포함한 강력한 다중 인증을 반드시 적용하도록 명시한 것이다.

운영은 2025년 10월부터 시작됐으며, 증권사들은 2026년 6월 말까지 패스키 도입을 추진하도록 요구받고 있다.

일본증권업협회에 따르면 온라인 거래를 제공하는 회원 증권사 가운데 80%가 넘는 79곳이 의무화에 대응하겠다는 뜻을 밝혔다.

대면 영업 중심의 대형 증권사 5곳과 SBI증권, 라쿠텐증권 등은 2026년 7월 초까지 모든 거래 수단에서 대응을 완료한 것으로 전해졌다.

다만 규제 강화는 증권사에 적지 않은 비용 부담을 안긴다. 대형 증권사의 IT 담당 임원은 범죄 수법이 계속 고도화되는 만큼 공격과 방어의 싸움은 앞으로도 이어질 수밖에 없다고 봤다. 생체 인증 시스템 구축에는 수억 엔 규모의 비용이 들고, 운영에도 매년 억 엔 단위의 비용이 필요하다는 전망도 있다.

실제로 한 중견 증권사 임원은 자체적으로 대응하기 어렵다는 고민을 털어놨다. 온라인 거래 시장에 새로 뛰어들 유인이 줄었다고 말하는 중견 증권사도 있는 것으로 알려졌다.

이용자 이해도 또 다른 과제다. 라쿠텐증권의 구스노키 유지 사장은 패스키를 의무화할 수 있다면 하고 싶다고 밝히면서도, 설정 작업을 제대로 하지 못하는 고객이 일정 수 남아 있다는 현실적인 어려움을 언급했다.

라쿠텐증권은 2025년 12월 말 기준 NISA 계좌가 699만 개에 달한다. 수백만 명의 고객을 한꺼번에 새 인증 방식으로 옮기는 일이 쉽지 않다는 점을 보여준다.

생체 정보는 비밀번호와 달리 유출된 뒤 바꿀 수 없다. 따라서 생체 정보가 기기 밖으로 전송되지 않는 구조인지, 이용자가 정확히 이해할 수 있도록 증권사들이 쉽게 설명하는 것이 앞으로 보급의 핵심이 될 전망이다.

생체 인증 수요, 누가 수혜를 볼까

규제 대응은 외부 인증 기술 업체와의 협력을 통해 진행되고 있다. SMBC닛코증권은 2026년 1월 후지쯔가 제공하는 FIDO2 기반 패스키 인증 서비스를 도입하고, 개인 고객용 온라인 거래에 적용하기 시작했다.

약 5개월이라는 짧은 기간 안에 도입한 사례로, 기존 SDK, 즉 소프트웨어 개발 키트를 활용한 외부 기술 연계가 실제로 효과를 낼 수 있음을 보여준다.

노무라증권은 한 걸음 더 나아갔다. 2026년 3월부터 패스키를 새로 등록하거나 다시 등록할 때 마이넘버카드를 활용한 공적 본인 확인을 결합하는 방식을 도입했다. 패스키 등록 과정 자체가 탈취되는 위험을 막기 위해 보안 단계를 더 쌓은 것이다.

이러한 흐름은 증권업계에만 그치지 않을 가능성이 크다. 시장조사에 따르면 세계 생체 인증 시스템 시장은 2026년 365억 7,000만 달러 규모로 추산되며, 2034년에는 1,132억 2,000만 달러까지 커질 것으로 전망된다. 연평균 성장률은 11.48%로 예상된다.

결제에 특화된 생체 인증 시장도 2026년 134억 8,000만 달러에서 2034년 446억 9,000만 달러로 확대될 것으로 전망된다. 금융 분야의 수요 확대가 시장 성장을 뒷받침하는 구조다.

자체 시스템 구축이 어려운 중소 금융기관에서는 외부 업체에 도입을 맡기거나 인증 솔루션 라이선스를 이용하려는 수요가 더 늘어날 수 있다.

또 패스키 재등록 시 본인 확인을 맡는 eKYC 업체, 로그인 이후 평소와 다른 거래 움직임을 AI로 감지하는 이상거래 탐지 시스템 수요도 함께 커질 것으로 보인다.