전자금융거래의 보안 강화 방안 및

OTP(One Time Password) 이용현황

Ⅰ. 들어가며 71

Ⅱ. 전자금융 사고 73

1. 특징 73

2. 주요 사례 76

Ⅲ. 보안 강화 방안 78

1. 이중요소인증 강화 79

2. 기존 인증 수단의 보완 81

3. 이용자 정보 보호 강화 82

Ⅳ. OTP 이용현황 83

1. 개념 및 도입 배경 83

2. 특성 84

3. 생성 방식 85

4. 생성 매체 88

5. 도입 현황 94

Ⅴ. 시사점 95

1. OTP 통합인증 95

2. OTP 도입시 고려사항 97

3. 양방향 인증의 필요성 두 98

Ⅵ. 맺음말 99

참고문헌 100

전문연구역 백미연(judy91@kftc.or.kr)

지급결제와 정보기술70

전자금융거래의 보안 강화 방안 및 OTP 이용현황

2006. 4 71

Ⅰ. 들어가며

전화나 인터넷, 휴 폰 등 일상 생활에서 쉽게 접할 수 있는 전자 매체를 통해 누구나

편리하게 이용할 수 있는 전자금융서비스의 거래 비중이 창구거래보다 높다는 사실은 이

제 놀랄만한 일이 아니다. 그만큼 전자금융거래가 활성화되었다는 의미이다. 전자금융거

래의 활성화에는 은행의 인터넷뱅킹서비스 제공이 한 몫을 하 다. 인터넷뱅킹서비스는

1990년 후반 은행이 외환위기 극복 과정에서 금융서비스 제공 채널을 다양화하여 점포

의 운 비용을 절감하고 경 효율화를 제고하기 위한 전략의 하나로 제공되었다.

이용자가 CD/ATM이 설치되어 있는 장소에 직접 찾아가서 이용하는 ATM서비스나 콜

센터의 안내에 의존하여 거래가 이루어지는 텔레뱅킹서비스와 다르게 인터넷뱅킹서비스

는 인터넷 접속이 가능한 곳이면 어디서나 이용자가 직접 화면을 보면서 금융거래를 할

수 있기 때문에 다른 전자금융서비스에 비해 빠르게 이용이 증가하고 있다.

표1과 같이 ATM서비스와 텔레뱅킹서비스의 이용 비중이 점점 줄어들거나 변화가 없

는 점에 비해 인터넷뱅킹서비스의 이용 비중은 2001년 8.8%에서 2005년 31.6%로 5년

<표1> 전자금융서비스주) 이용현황

(단위 : %)

주) CD/ATM, 텔레뱅킹, 인터넷뱅킹 처리 비중

자료 : 한국은행

2001.12

텔레뱅킹(4.8)

2002.12 2003.12 2004.12 2005.12

구 분 2001.12 2002.12 2003.12 2004.12 2005.12

전자금융거래 57.7 60.0 65.9 69.9 69.9

창구거래 42.2 40.0 34.1 30.1 30.1

CD/ATM(37.1)

인터넷뱅킹(8.8)

인터넷뱅킹(31.6)

CD/ATM(26.3)

텔레뱅킹(12.0)

지급결제와 정보기술72

사이에 약 4배가 증가하 고 등록 고객도 2005년 말에 국내 인구의 50%가 넘는 2천 7백

만 명을 기록하여 인터넷뱅킹서비스가 전자금융거래의 활성화에 주도적인 역할을 하고

있음을 알 수 있다.

그러나 인터넷뱅킹서비스

의 긍정적인 역할에도 불구

하고 부분의 이용자는 인

터넷뱅킹서비스의 보안성에

의문을 제기하고 있다. 한국

소비자보호원이 최근 전자금

융서비스 이용자를 상으로

조사한 자료를 보면 이용자

의 부분이 이용이 편리하

고 처리가 신속하기 때문에

ATM서비스와 인터넷뱅킹

서비스를 이용하지만 안전하

기 때문에 전자금융서비스를

이용한다고 응답한 비율은

ATM서비스 이용자가 9%인데 비해 인터넷뱅킹서비스는 0%로 한 명도 없다(표2 참조).

그만큼 인터넷뱅킹서비스의 안전성에 한 이용자의 불안감이 다른 전자금융서비스보다

높다는 의미이다.

인터넷뱅킹서비스는 거래의 안전성보다 이용의 편리성을 더 중요하게 여겨왔다고 해도

과언이 아니다. 인터넷뱅킹서비스의 제공 동기 중의 하나가 창구 운 비용의 절감이었

기 때문에 창구거래 이용자를 인터넷뱅킹서비스로 유도하기 위해서는 이용의 편리성을

강조하는 것이 훨씬 유리하기 때문이다. 그러나 언제 어디서나 불특정 다수의 접근이 용

이한 개방형 네트워크를 통해 제공되는 인터넷뱅킹서비스는 보안 위협에 노출될 수 밖에

없기 때문에 그동안 크고 작은 전자금융 사고가 발생하 다. 표적인 예가 개인 정보 유

출로 인한 전자금융 사고이다. 인터넷뱅킹서비스 제공 초기에는 주로 이용자 본인의 부

주의로 인해 개인 정보가 유출되어 전자금융 사고로 이어졌지만 최근에는 해킹을 당하거

나 피싱(Phishing)과 같은 고도화된 부정(Fraud) 수법에 의한 개인 정보 유출에서 기인

하고 있다.

<표2> 전자금융서비스 이용 이유

편리성

신속성

시간/공간제약성

안안전전성성

비용 저렴

기타

67.661.2

17.315.5

2.514.3

9.1

1.66.1

1.92.9

� ATM서비스

� 인터넷뱅킹서비스

(단위 : %)

자료 : 한국소비자보호원

전자금융거래의 보안 강화 방안 및 OTP 이용현황

2006. 4 73

2005년 국내에서 처음 발생한 인터넷뱅킹서비스 해킹 사고1)는 최근 전자금융 사고의

특징을 한 번에 파악할 수 있는 표적인 사례가 되었고, 이 사고를 계기로 금융감독원은

전자금융거래의 보안을 강화할 수 있는 종합 책을 발표하 다. 발표된 내용에는 전자

금융서비스 이용자의 컴퓨터용 보안프로그램 제공 의무화를 비롯하여 인터넷을 이용한

빠른 조회서비스 폐지, 보안카드 이용 방법 개선 등과 같은 방안이 포함되어 있다. 그러

나 여러가지 방안 중에서 개인 정보 유출로 인한 전자금융 사고의 피해를 최소화하고 전

자금융서비스 이용자의 안전한 금융거래를 위하여 은행에 사용자 인증 수단의 하나인

OTP(One Time Password)를 도입하도록 한 것과 OTP를 은행 개별로 운 하는데 따른

문제 등을 해결하기 위하여 OTP 통합인증센터를 설립하는 내용이 은행의 높은 관심을

받고 있다.

따라서 본 고에서는 최근 발생하고 있는 전자금융 사고의 특징과 주요 사례를 통해 그

응책으로 제시된 보안 강화 방안을 알아보고, 그 중에서 은행의 관심이 집중되고 있는

OTP의 이용현황과 시사점을 살펴보고자 한다.

Ⅱ. 전자금융 사고

1. 특징

일반적으로 창구거래는 서면거래에 의한 자필 증거가 있고 면거래이기 때문에 은행

이 이용자를 확인하기가 상 적으로 쉬운 반면, 전자금융거래는 비서면, 비 면거래이기

때문에 은행은 전자금융서비스 이용자가 정당한 본인인지 아닌지를 인증하기가 쉽지 않다.

따라서 전자금융거래의 취약한 사용자 인증을 악용한 전자금융 사고가 늘어나고 있다.

해커가 인터넷상에서 해킹이나 피싱 등으로 획득한 피해자의 개인 정보를 이용하여 해커

자신이 마치 정당한 사용자인 것처럼 인터넷뱅킹서비스에 정상적으로 접속한 후 피해자

의 예금을 불법 인출하는 사고가 표적이다. 최근 인터넷뱅킹이나 텔레뱅킹 등 전자금

융서비스에서 발생하고 있는 전자금융 사고의 특징을 살펴보면 다음과 같다2).

1) 해커는 불특정 다수가 접속하는 인터넷 카페에 넷데블(NetDevil)이라는 해킹 프로그램을 게시하여 이를 접속하

는 사람의 컴퓨터에 해킹 프로그램이 자동 설치되도록 하 다. ○○은행 인터넷뱅킹서비스 이용자가 해당 카페에

접속하게 되었고 본인도 모르게 해킹 프로그램이 컴퓨터에 설치된 상태에서 인터넷뱅킹서비스를 이용함으로써

보안카드 번호, 계좌 비 번호 등 개인 정보가 해커에게 노출되었다. 해커는 피해자의 개인 정보를 이용하여 피

해자의 공인인증서를 재발급 받아 인터넷뱅킹서비스로 5천만원을 인출하 다.

2) 본 고에서는 업무 운 중에 발생하는 전산 장애나 은행 내부 직원의 전산 조작 등에 의한 금융 사고는 논외로

한다.

지급결제와 정보기술74

첫째, 최근 전자금융 사고는 해킹등에 의해 비 번호, 계좌번호 같은 개인 정보의 유출

로 발생하고 있다. 불특정 다수의 개인 정보를 획득하기 위하여 주로 이용되는 해킹 프로

그램으로 피싱과 키로깅(Keylogging)3)이 있다.

피싱에 의한 개인 정보 유출 과정은 간단하다. 해커는 우선 인터넷에 특정 은행의 홈페

이지와 유사한 사이트를 불법으로 개설해 놓는다. 그리고 블특정 다수에게 마치 은행이

직접 이메일을 전송한 것처럼 위장하여 계좌 정리 등에 필요하다는 명목으로 불법 사이

트에 접속하게 한 후 이용자가 입력한 개인 정보나 금융 정보를 빼내는 것이다.

키로깅에 의한 개인 정보 유출은 이용자 자신도 모르게 설치된 키로깅 해킹 프로그램에

의하여 이용자가 키보드로 입력하는 모든 내용을 해커가 훔쳐봄으로써 발생된다. 앞서

설명한 국내 최초 인터넷뱅킹서비스 해킹 사고도 피해자의 개인 정보가 키로깅에 의해

유출된 후 발생하 다.

피싱과 키로깅은 개인 정보 유출 피해를 당할 수 있다는 점은 똑같지만 피싱은 이용자

가 어느 정도 세심하게 주의를 기울이면 피해를 막을 수 있는데 비하여 키로깅은 이용자

자신이 해킹을 당하 는지 조차 알아차릴 수 없다는 점에서 더 심각한 피해가 우려되는

해킹 수법이라고 할 수 있다(표3 참조).

<표3> 피싱과 키로킹에 의한 개인 정보 유출 및 전자금융 사고

구 분 피 싱 키로깅

- 특정 은행의 가짜 사이트를 만들어 놓고

불특정 다수에게 이메일을 보내 사이트에

접속하도록 유도

해커(피셔)

- 인터넷을 통해 불특정 다수의 컴퓨터에

키로깅 해킹 프로그램 설치

- 가짜 사이트에 접속하여 아이디, 비 번호,

공인인증서 등 입력피해자

- 평상시처럼 인터넷뱅킹서비스에 접속하여

아이디, 비 번호, 공인인증서 등 입력 후

금융 거래

- 확보한 개인 정보를 이용하여 인터넷뱅킹

서비스에 접속한 후 피해자의 예금 인출해커(피셔)

- 키로깅에 의하여 확보된 개인 정보를 이용

하여 인터넷뱅킹서비스에 접속한 후 피해

자의 예금 인출

3) 키로깅 프로그램의 감염경로는 주로 S/W다운로드나 이메일 첨부, P2P 전송을 통해서 이루어진다.

전자금융거래의 보안 강화 방안 및 OTP 이용현황

2006. 4 75

해킹 등에 의한 개인 정보 유출은 피해자와 은행의 금전적인 손실로 이어진다. 금융기

관이나 전자상거래 업체가 피싱 이메일의 주요 발신지인 피싱 상기관으로 악용되고 있

는 점도 유출된 개인 정보를 주로 금전을 불법으로 취득하는 데 이용하려는 것임을 알 수

있다(표4 참조)4). 가트너 그룹에 의하면 미국의 경우 2003년 한 해에만 피싱에 의한 개

인 정보 유출로 12억 달러의 금전적 손실을 보았다고 한다. 그러나 개인 정보 유출에 따

른 계좌 재발급 비용이나 전자금융서비스 이용에 한 불안감으로 전자금융거래가 감소

하는데 따른 손실 등 간접 비용까지 감안하면 실제 손실 비용은 더 클 것으로 예상된다.

둘째, 최근 해킹에 의한 전자금융 사고는 이용자의 개인 컴퓨터에서부터 시작되고 있

다. 지금까지 해커의 주 공격 상은 기업의 전산시스템이었다. 그러나 기업이 방화벽을

설치하고 지속적인 응 방안 마련 등을 통해 보안을 강화하면서 해킹이 어려워지자 상

적으로 보안 인식이 낮고 안전 조치가 미흡한 개인 컴퓨터가 해킹 당하기 시작한 것이

다. 특히 가정에서 이용하는 컴퓨터의 부분은 보안 조치가 전무한 상태이기 때문에 해

커의 공격 상으로 떠오르고 있다. 2005년에 발생한 인터넷뱅킹서비스 해킹 사고도 바

로 은행의 전산시스템이 해킹을 당한 것이 아니라 이용자의 컴퓨터가 해킹을 당하여 개

4) 국내에서는 인터넷뱅킹서비스를 이용할 경우 공인인증서, 보안카드 등을 사용하여야 하므로 실제 피싱에 의한

해킹 사고는 국외보다 상 적으로 안전한 편이라고 한다. 따라서 국내 발생 피싱 관련 사고의 부분은 경유지

사이트로 악용된 사고이다.

<표4> 피싱 상기관

(단위 : %)

자료 : KISA

2005.110

20

40

60

80

100

2005.12 2006. 1 2006. 2

구 분 2005.11 2005.12 2006. 1 2006. 2

기 타 4 1 1 2

전자상거래 업체 48 46 41 35

금융기관 48 53 58 63

인 정보가 유출된데서 시작되었다. 따라서 앞으로 해킹에 의한 전자금융 사고를 최소화

하기 위해서는 은행의 전산시스템만 보호하는 보안 책으로는 부족하며 전자금융서비스

이용자가 거래시 사용하는 컴퓨터의 보안 책도 함께 마련되어야 할 것이다.

셋째, 전자금융거래의 보안을 위협하는 공격적인 해킹 수법이 계속 등장하여 전자금융

사고의 발생 가능성이 점점 높아지고 있다. 피싱이나 키로깅은 이미 고전적인 해킹 수법

이 될 정도이다. 최근에는 해커가 은행의 공식 홈페이지를 중간에서 가로채어 이용자들

이 늘 이용하던 사이트로 오인하게 만든 후 개인 정보를 탈취하는 파밍(Pharming)이라

는 해킹 수법이 등장하여 전자금융거래의 보안을 위협하고 있다. 또한 무선 네트워크를

이용한 서비스 제공이 증가하면서 가짜 무선 네트워크를 만들어 여기에 접속하는 이용자

의 개인 정보를 탈취하는 에블 트윈스(Evil Twins)도 등장하여 또 다른 전자금융 사고의

발생이 예상된다. 파밍이나 에블 트윈스 등 최근 등장한 해킹 수법은 이용자의 세심한 주

의에 의존하기에는 너무나 지능적이어서 이용자가 그 로 피해를 입을 수 밖에 없기 때

문에 은행은 지금보다 더 강력한 새로운 보안 방안을 준비하여야 한다.

2. 주요 사례

최근 금융감독원이 발표한 자료를 보면 2000년 초반의 전자금융 사고는 주로 마그

네틱 카드의 위∙변조 사고가 많았던 반면에 2004년 부터는 인터넷뱅킹서비스와 텔레뱅

킹서비스의 개인 정보 유출로 인한 전자금융 사고가 부분이다(표5 참조).

특히 2005년에 발생한 은행의 인터넷뱅킹서비스 해킹 사고는 초보 해커가 인터넷상

에서 쉽게 얻을 수 있는 해킹 프로그램을 사용하여 일으켰다는 점에서 상당히 충격적인

사고 다. 텔레뱅킹서비스는 전화 도청에 의한 개인 정보 유출로 인해 피해자의 예금이

불법 인출되는 사고가 발생하 다(표6 참조).

<표5> 전자금융 사고 현황

구분 2002년 2003년 2004년 2005년1)

인터넷뱅킹 1(71)2) - 1(3) 2(67)

텔레뱅킹 - 1(10) 5(162) 5(186)

카드복제 4(452) 6(66) 6(26) -

계 5(523) 7(76) 12(191) 7(253)

주) 1. 2005년 7월 현재

2. ( )은 금액임

자료 : 금융감독원

(단위 : 건, 백만원)

지급결제와 정보기술76

전자금융거래의 보안 강화 방안 및 OTP 이용현황

2006. 4 77

해외에서 발생한 전자금융 사고도 부분 해킹에 의한 개인 정보 유출에서 비롯되었다.

Javelin Strategy Research 자료에 의하면 미국은 2005년 한 해동안 무려 전 국민의

4%에 해당하는 890만명이 개인 정보 유출 사고를 당하 으며 피해 금액도 1인당 평균

6,383 달러라고 한다5). 또한 매달 약 23%의 인터넷 이용자가 피싱 이메일을 받고 있는

데 이들은 의심스러운 이메일은 절 열어보지 말라는 안내 문구를 거의 매일 접하고 있

<표6> 국내 전자금융 사고 사례

구 분 발생시기

인터넷

뱅킹

2005. 3- 범인이 피해자의 인터넷뱅킹용 ID, 비 번호를 도용하여 피해자의 예금을

인터넷뱅킹서비스를 이용하여 인출

2005. 6

- 범인이 피해자의 컴퓨터에 키로깅 프로그램을 설치하여 피해자의 개인 정

보를 불법으로 획득하고 피해자의 예금을 인터넷뱅킹서비스를 이용하여

인출

텔레뱅킹 2005. 1~7

- 신원미상의 범인이 피해자의 예금을 텔레뱅킹서비스를 이용하여 인출

※ 총 6건 발생, 이 중 3건은 전화 도청에 의한 사고로 추정, 나머지 3건은 개인 정보

유출에 따른 사고로 추정되나 유출 경로 불명

내 용

자료 : 머니투데이

<표7> 해외 전자금융 사고 사례

구 분 발생시기

인터넷

뱅킹

2002- 중국인 해커가 싱가포르 은행의 인터넷뱅킹서비스를 해킹하여 21개 계좌

에서 3만 5천 달러 인출

2005- 라트비아인 해커가 BOA 고객의 컴퓨터에 키로깅 프로그램을 설치하여

개인 정보를 빼낸 뒤 피해자의 계좌에서 9만 달러 인출

2005. 5

- 해커가 키로깅 프로그램을 통해 개인 정보를 빼낸 뒤 6개 은행의 200여개

계좌에서 470만 달러 인출

※ 브라질에서 발생됨

2006. 3

- 해커가 체이스맨해튼은행 이용자를 상으로 피싱 이메일을 통해 개인 정보

유출

※ 피싱 이메일의 발신지로 중국 3 은행 중의 하나인 건설은행이 악용됨

내 용

자료 : 각 신문기사

5) www.bbb.org, News & Articles, 2006. 1.31

음에도 불구하고 그 중 70%가 진짜 이메일로 오인하여 개인 정보를 노출시킬 만큼 피싱

의 위협은 여전히 진행 중이어서 실제 드러나지 않은 전자금융 사고와 그로 인한 피해액

은 더 클 것이라고 한다6). 최근에는 키로깅에 의한 해킹까지 가세하여 은행 예금이 불법

인출되는 사고가 발생하고 있다(표7 참조).

Ⅲ. 보안 강화 방안

보안카드나 공인인증서와 같은 이중 삼중의 안전 장치를 갖추고 있어 다른 나라에 비해

상 적으로 안전할 것으로 여겨진 국내 은행의 인터넷뱅킹서비스에서 해킹 사고가 일어

나자, 누구라도 해킹의 피해자가 될 수 있다는 경각심과 함께 은행과 감독기관이 나서서

전자금융거래의 보안을 강화할 수 있는 적인 응 방안을 마련하는 계기가 되었다.

이 방안에는 은행 이외에 증권, 보험, 전자상거래에서의 해킹 방지와 개인 정보 유출을

최소화하는 보안 조치 방법 등이 포함되어 있는데 은행 부문의 강화 방안을 살펴보면 다음

과 같다(표8 참조).

<표8> 금융감독원의 전자금융거래 보안 강화 방안 주요 내용

구 분 적용시기

인터넷뱅킹,

텔레뱅킹

ATM

2006.12- 보안등급(3등급 분류)에 따른 거래한도 차등 적용

2005.12- 중요거래사항(공인인증서 재발급, 한도증액 등)에 한 휴 폰 SMS 고객

통지 의무 활성화

주요 내용(의무)

2006. 3- 보안카드 유효 비 번호 확

2006.12- OTP 도입

2006. 3- 보안계좌 신설 및 고객 서면 동의 강화

2005.12- 비 번호 오류횟수 매체별 통합관리

2005.12주)- 인터넷뱅킹 빠른 조회서비스 폐지

권고사항- 착신금지 전화, 선불폰, 선불카드폰 등에 의한 텔레뱅킹 제한

2005.12- 무매체거래 이체, 출금시 전용 비 번호 또는 보안카드 사용

2006. 6- 점내용 CD/ATM에도 암호화 적용

6) AOL/NCSA Online Safety Study, America Online and National Cyber Security Alliance, 2005.12

지급결제와 정보기술78

주) 사용자의 불편 등을 감안하여 적용시기가 2006. 3월로 변경됨

전자금융거래의 보안 강화 방안 및 OTP 이용현황

2006. 4 79

1. 이중요소인증 강화

개인 정보 유출로 인한 전자금융 사고의 발생을 줄일 수 있는 방법 중의 하나는 강력한

사용자 인증을 수행하는 것이다. 인증(Authentication)은 은행이 사용자를 정당한 본인

이라고 증명하는 것이다. 전자금융거래에서 사용자 인증에 사용되는 수단은 여러 가지가

있는데 현재 가장 많이 쓰이는 인증 수단으로 아이디와 비 번호가 있다.

사용자는 자신만 알고 있는 비 번호를 인터넷뱅킹서비스 접속시 입력함으로써 사용자

자신이 정당한 본인임을 인증받는 것이다. 이와 같이 비 번호 한 가지 요소만 이용한 사

용자 인증을 단일요소인증(Single-Factor Authentication)이라고 하며 이 때 사용된

비 번호는 단일요소인증 수단이 된다.

이중요소인증(Two-Factor Authentication)은 두 개 이상의 인증수단을 이용하여 사

용자 인증을 하는 것이다. 사용자만 알고 있는 비 번호 이외에 사용자가 가지고 있는 매

체나 사용자의 고유한 생체정보를 결합시켜 사용자 인증시 사용할 수 있으며, 스마트카

드와 PIN(Personal Identification Number) 비 번호의 사용, 비 번호와 공인인증서

의 사용 등을 예로 들 수 있다.

한 개의 인증 수단만 사용하는 단일요소인증에 비하여 두 개 이상 또는 여러 개의 인증

수단을 사용하는 이중요소인증, 다중요소인증(Multi-Factor Authentication)의 보안

성이 높은 것은 당연하다. 따라서 최근 전자금융거래에서 이중요소인증을 도입하여 사용

자 인증을 강화하는 추세이다.

보안카드나 공인인증서 이외에 OTP를 이용하는 것도 이중요소인증을 이용한 사용자

인증의 한 방법이다. 금융감독원은 여기에 사용자가 어떤 인증 수단을 이용하느냐에 따

라 보안 등급을 다르게 정하여 거래 금액에 차등을 둠으로써 인증 수단의 보안 결함에 따

른 전자금융 사고의 피해를 최소화하도록 하 다. 표9에서와 같이 전자금융거래시 이용

자가 OTP를 사용하거나 보안카드와 HSM(Hardware Security Module)7) 방식의 공인

인증서를 동시 사용할 경우 가장 확실한 사용자 인증 수단을 사용한 것으로 간주되어 사

용자는 인터넷뱅킹서비스를 통하여 1등급 거래 한도인 5억원까지 거래가 가능하다. 그러

나 이용자가 보안카드만 사용할 경우 사용자 인증 수단의 보안성이 낮은 것으로 간주되

어 5천만원까지만 거래가 가능하다.

7) 스마트카드, USB 저장장치 등이 있다.

8) 연방준비제도이사회(FRB), 연방예금보험공사(FDIC), 통화 감독청(OCC), 저축은행 감독청(OTS), 전국신용협

동조합 감독청(NCUA)으로 구성된 협의체로 금융기관 감독의 통일성, 효율성 향상을 위한 제안 권고 기능을 가

지고 있다.

전자금융거래시 이중요소인증의 강화는 해외에서도 적극 추진 중이다. 미국은 연방금

융기관검사위원회(FFIEC; Federal Financial Institutions Examination Council)8)

가 작성하여 은행에 배포한 지침서9)를 통해 은행에 이중요소인증을 도입하도록 권고하

다. 연방금융기관검사위원회는 아이디와 비 번호만 사용하는 단일요소인증은 인터넷뱅

킹서비스와 같은 리스크가 높은 거래에서는 부적합하기 때문에 은행이 OTP나 생체인식 등을

추가하여사용자인증을강화할수있는이중요소인증을2006년말까지적용하도록하 다10).

호주는 호주 은행연합회를 중심으로 2004년부터 태스크포스팀을 구성하고 인터넷상에

서의 사용자 인증을 강화하기 위한 방안을 준비하고 있는데 그 중 하나가 이중요소인증

의 도입이다. 호주 은행들은 이중요소인증 수단으로 생체인식을 채택할 예정이었으나 호

주민들을 상으로 설문조사를 실시한 결과, 아직은 다수의 국민이 생체인식을 개인

프라이버시 침해로 여기고 있고 생체정보를 인식할 수 있는 리더기 등 추가 장비가 필요

하다는 점에서 오히려 사용의 편리함이 반감될 수 있다는 반 여론에 의해 은행이 자율

적으로 선택하도록 하 다. 따라서 호주 은행들은 부분 휴 폰 SMS나 OTP를 이중요

소인증 수단으로 선택할 것으로 알려졌다11).

싱가포르에서도 이중요소인증 강화를 위한 정책이 진행되고 있다. 싱가포르 통화감독

청(MAS; Monetary Authority of Singapore)은 2003년부터 인터넷뱅킹서비스의 기

술 리스크 관리 지침서(Internet Banking Technology Risk Management

Guidelines)를 통해 은행이 인터넷뱅킹서비스 제공시 사용자 인증 수단으로 OTP, 질의

응답 방식의 보안토큰, 공인인증서, 스마트카드, 생체인식 등과 같은 이중요소인증 수단

을 적용하도록 권고하고 있다. 이에 따라 싱가포르 은행들은 2006년 말까지는 인터넷뱅

9) Authentication in an Internet Banking Environment, FFIEC, 2005.1210) 이외에 은행이 인터넷뱅킹서비스 제공시 이용자가 주로 사용하는 IP주소나 컴퓨터가 위치하고 있는 장소까지

파악하여 사용자 인증을 할 수 있는 위치기반 기술도 도입하도록 권고하고 있다.11) Australian Bankers' Association media release, 2004. 7

<표9> 보안등급별 인증수단 및 거래한도

보안등급1회거래 한도

텔레뱅킹인터넷뱅킹

1등급

2등급

3등급

5(25)10(50)주)- OTP 또는 공인인증서(HSM방식)+보안카드

인증수단

2(10)5(25)- 보안카드+휴 폰 거래내역통보(SMS)

1(5)1(5)- 보안카드

(단위 : 천만원)

주) ( )는 1일 거래한도임

지급결제와 정보기술80

전자금융거래의 보안 강화 방안 및 OTP 이용현황

2006. 4 81

킹서비스에 이중요소인증을 도입할 예정이다12).

홍콩은 2004년말 기준으로 270만 개의 개인 계좌와 10만 개가 넘는 기업 계좌가 인터

넷뱅킹서비스에 등록되어 있는데, 2004년 6월부터 홍콩 금융관리국(HKMA; Hong

Kong Monetary Authority)을 중심으로 은행의 리스크가 높은 소매 인터넷뱅킹서비스

에OTP나공인인증서를활용한이중요소인증을2005년6월부터도입하여이용하고있다13).

중국은 2007년 쯤 전체 인구의 약 26% 정도인 5천 3백만 명이 전자금융서비스를 이용

할 것이 예상되면서 전자금융거래의 보안을 강화할 수 있는 책을 마련하고 있다. 따라

서 중국인민은행이 2005년 10월에 작성하여 배포한 전자지급 지침에 의해 중국 은행들

은 인터넷뱅킹서비스 제공시 공인인증서나 전자서명과 같은 이중요소인증 방식을 도입하

여야 한다14). 국가별 이중요소인증 도입 현황을 정리하면 다음과 같다(표10 참조).

2. 기존 인증 수단의 보완

은행은 이중요소인증 수단인 OTP

도입과 함께 이미 사용 중인 인증 수

단을 보완하여 사용자 인증을 강화

하여야 한다. 표적으로 보안카드

를 들 수 있는데, 35개 정도의 비

번호가 기재되어 있는 보안카드의

비 번호를 한 개만 입력하는 방식

에서 두 개의 비 번호를 조합하여

<표10> 국가별 이중요소인증 도입 현황

국가명 이중요소인증 수단 적용 시기

한국 - OTP - 2006.12

미국 - OTP, 생체인식, 위치기반 - 2006.12

호주 - OTP, 휴 폰 SMS - 도입 논의 진행 중

싱가포르 - OTP, 공인인증서 - 2006.12

홍콩 - OTP, 공인인증서 - 2005. 6

중국 - 공인인증서, 전자서명 - 2005.10 도입 지침 배포

<그림1> 보안카드 입력 방식

자료 : 우리은행

09번째 보안카드 번호 앞 2자리 71��

27번째 보안카드 번호 뒤 2자리 ��78

09번째 보안카드 번호 앞 2자리 ��

27번째 보안카드 번호 뒤 2자리 �� 를 직접 입력하시기 바랍니다.

12) Two-Factor Authentication for Internet Banking, Circular No. SRD TR 02/2005, MAS, 2005.11

13) Launch of Two-factor Authentication for Internet Banking, HKMA, 2005. 5

14) ZDNet Korea 뉴스, 2005.11. 8

지급결제와 정보기술82

새로운 비 번호로 입력함으로써 유효 비 번호 개수를 늘려 사용자 인증을 강화하는 것

이다(그림1 참조). 이 방법은 은행에 추가 비용 부담이 적어 적용이 용이하고 사용자가 이

용하는데 별 어려움이 없기 때문에 OTP가 도입되기 전까지 유용한 사용자 인증 수단이

될 수 있을 것으로 보인다.

또한 보안카드는 공인인증서를 발급

받거나 재발급받을 경우에도 사용자

인증을 강화하기 위한 수단으로 이용

된다. 공인인증서는 최초 발급시 공인

인증서를 받고자 하는 은행에서 직접

면에 의한 사용자 인증을 하게 되지

만 재발급의 경우에는 은행의 면 확

인 없이 인터넷상에서 이루어지기 때

문에 이를 악용하는 사고가 발생하기

도 하 다. 따라서 은행은 공인인증서

(재)발급시에도 보안카드에 기재되어

있는 비 번호 이외에 보안카드 자체 일련번호까지 입력하는 방법을 도입하여 사용자 인

증을 강화하고 있다(그림2 참조).

3. 이용자 정보 보호 강화

비 번호 유출에 따른 전자금융 사고를 방지하기 위하여 현재 서비스별로 개별 운 되

어 온 은행의 계좌 비 번호의 오류 횟수가 통합 관리된다. 예를 들어 인터넷뱅킹, 텔레

뱅킹 등 전자금융거래에서 3회 이상 계좌 비 번호 오류가 날 경우 조회는 물론 계좌이

체, 납부 거래 등이 모두 정지되는 것이다15). 은행에 따라 비 번호 오류 횟수를 통합 관

리하는 서비스 상에 차이가 있지만 인터넷뱅킹, 텔레뱅킹 이외에 모바일뱅킹, ATM,

PG 등 창구서비스를 제외한 부분의 전자금융서비스가 포함될 것으로 예상된다.

또한 계좌번호와 계좌 비 번호만 알면 이용이 가능한 인터넷 빠른 조회서비스가 폐지

되어 이용자 정보의 유출 가능성을 최 한 차단함으로써 전자금융 사고를 예방할 수 있

을 것으로 보인다. 은행은 최근 위와 같은 보안 강화 방안 등을 적용하기 시작하 는데

이를 정리하면 표11과 같다.

15) 계좌 비 번호 오류 통합관리에 따라 전자금융거래가 정지된 이용자가 다시 전자금융거래를 하기 위해서는 해

당 은행의 업점에서 본인이 직접 비 번호 오류 해제를 신청하여야 한다.

<그림2> 공인인증서 (재)발급시 보안카드 입력

자료 : 신한은행

전자금융거래의 보안 강화 방안 및 OTP 이용현황

2006. 4 83

Ⅳ. OTP 이용현황

1. 개념 및 도입배경

OTP는 문자 그 로 일회용 비 번호로 한번 사용된 OTP는 다시 사용할 수 없으며 같

은 비 번호가 생성되지 않는 인증 수단이다.

비 번호는 사용이 편리한데다 아직까지 은행과 이용자 모두에게 확실한 인증 수단으

로 인식되어 왔다. 그러나 가장 보안성이 낮으며 위험에 쉽게 노출되는 불안전한 인증 수

단이 바로 비 번호이다. 사용자에 의해 한번 정해진 비 번호는 사용자 본인의 변경 의

사가 없는 한 구적으로 이용되는 정적인(Static) 인증 수단이기 때문이다. 일반적으로

사용자는 기억하기 쉽고 추측하기 쉬운 단어나 숫자를 비 번호로 사용하려고 한다. 따

라서 정적인 비 번호는 잊어버리면 사용이 불가능하고 외부에 노출되면 타인에 의해 악

용될 소지가 높은 불안한 인증 수단이 되는 것이다. 실제 최근 발생되고 있는 개인 정보

유출에 의한 전자금융 사고도 부분이 비 번호의 유출에 따른 것이다.

<표11> 은행별 전자금융거래 보안 강화 방안 적용 현황

은행명 적용 시기

하나은행 2005.10

- 텔레뱅킹서비스 전용 지정전화번호 등록 제도

∙ 최 4개 까지 등록

단, 공중전화, 국제전화, 발신자번호가 표시되지 않는 전화, 사설교환기를

사용하는 일부 사무실 전화는 등록 불가

국민은행 2005.10

- 전자금융서비스별 보안카드 오류횟수 통합관리

∙ 인터넷뱅킹서비스, 텔레뱅킹서비스, 모바일뱅킹서비스 이용제한 오류

횟수 : 3회

외환은행 2006. 2

- SMS 승인서비스

∙ 인터넷뱅킹서비스 이체 거래시 예금주 본인이 휴 폰으로 승인을 해야만

이체 거래 완료

조흥은행 2006. 2- 보안계좌 발급서비스

기업은행 2006. 3- 계좌 비 번호 오류 횟수 통합 서비스

우리은행 2006. 4- 인터넷뱅킹서비스 보안카드 비 번호 입력방식 변경

주요 내용

주) 각 은행 홈페이지 및 보도자료

지급결제와 정보기술84

OTP는 정적인 비 번호 사용에 따른 불안감을 해소하고 개인 정보 유출에 따른 사용

자 인증을 강화하기 위하여 도입되었다. OTP는 해외 은행의 전자금융서비스 제공 초기

인 1980년 부터 사용된 개념으로 국내에서는 인터넷뱅킹서비스가 제공되기 시작한

1990년 말 부터 일부 은행에서 기업 고객이나 VIP 고객을 상으로 사용되고 있다. 최

근에는 전자금융거래의 보안을 강화할 수 있는 사용자 인증 수단의 하나로 OTP가 채택

되면서 개인 고객까지 OTP가 적용될 예정이다.

2. 특성

가. 이중요소인증 수단

OTP는 이중요소인증 수단의 하나이다. OTP를 사용하기 위해서는 OTP 생성 매체가

있어야 하는데 전자금융서비스 이용자는 본인이 가지고 있는 OTP 생성 매체(첫번째 인

증요소)에 의하여 생성된 비 번호(두번째 인증요소)로 사용자 인증을 받기 때문이다. 따

라서 이중요소인증 수단인 OTP는 정적인 비 번호와 같이 한 가지 요소만으로 인증받는

단일요소인증에 비해 높은 수준의 보안을 유지할 수 있다.

나. 동적 비 번호

OTP는 한 번만 만들어 놓고 계속 사용할 수 있는 정적인 비 번호가 아니라 OTP 생성

매체에 의하여 필요한 시점에 발생되고 매번 다른 번호로 생성되는 동적인(Dynamic) 비

번호이다. 정적인 비 번호가 추측이 쉽고 반복적으로 사용됨에 따라 보안성이 매우

낮은 반면, 동적 비 번호인 OTP는 한번 생성되어 사용되면 다시 사용할 수 없기 때문에

OTP가 중간에 해킹을 당하더라도 쓸모가 없어 보안성이 높다.

정적인 비 번호에는 스마트카드에서 사용되는 PIN 비 번호도 있다. PIN 비 번호

는 네트워크상에서 전송되지 않고 스마트카드와 리더기사이에서만 전송되기 때문에 일반

비 번호에 비해 상 적으로 안전한 인증 수단이다. 그러나 한번 정해진 PIN 비 번호도

사용자가 변경하지 않는 한 계속 사용할 수 있다는 점에서 정적인 비 번호이기는 마찬

가지이다. 또한 PIN 비 번호는 읽을 수 있는 전용 H/W가 필요하기 때문에 호환성이 낮

다는 단점이 있다.

이에 비하여 OTP는 계속 변화되는 비 번호로 보안성이 높은 반면, 생성 방식에 따라

사용자나 은행이 OTP 생성에 관련된 어플리케이션을 관리해야 하는 부담이 있을 수 있

전자금융거래의 보안 강화 방안 및 OTP 이용현황

2006. 4 85

다(표12 참조). OTP는 전자금융거래에서 정적인 비 번호와 같이 사용되거나 단독으로

사용되기도 한다.

다. OTP 생성 매체 필요

OTP는 사용자가 알고 있는 정보를 이용하여 생성되고 기억속에 저장되는 일반적인 비

번호와 다르게 별도 매체를 통해 생성되며 저장되지 않는다. OTP 생성 매체는 OTP를

생성할 수 있는 기능을 가진 장치(Device)를 말하며 흔히 OTP 토큰(Token)이라고도 한

다. OTP 생성 매체는 OTP 생성 기능만 가진 전용의 물리적인 장치 뿐만 아니라 사용자

가 이미 가지고 있는 다른 매체에 OTP 생성 기능을 적용하여 이용할 수도 있으며 자세한

내용은 다음 절에서 다루기로 한다.

3. 생성 방식

OTP는 사용자가 가지고 있는 OTP 생성 매체(클라이언트)와 은행의 OTP 인증 서버

사이에 미리 정해진 규칙에 따라 OTP 생성 매체에서 생성되며 보통 6자리의 숫자로 이

루어져 있다. 사용자가 OTP 생성 매체에서 생성된 숫자를 은행에 전송하면 OTP 인증

서버가 자체 생성한 숫자와 비교하여 인증이 수행되는 방식이다. OTP 생성 방식에는

OTP 생성 매체와 OTP 인증 서버의 동기화 여부에 따라 비동기화(Asynchronous)방식

과 동기화(Synchronous)방식으로 구분된다.

<표12> 비 번호 비교

구 분 비 번호 PIN 비 번호 OTP

특 성 - 정적 - 정적 - 동적

재사용 - 가능 - 가능 - 불가(1회 사용)

추측 가능성 - 있음 - 있음 - 없음

인증요소- 사용자가 알고 있는 정보 - 사용자가 알고 있는 정보 - 사용자가 가지고 있는

매체와 알고 있는 정보

장 점- 모든 시스템에 적용 가능 - 유출 가능성이 비 번호

보다 상 적으로 낮음

- 보안성이 높음

단 점

- 도용 및 유출 가능성

높음

- 호환성 낮음 - OTP 생성 방식에 따라

사용자의 관리 부담이

있을 수 있음

지급결제와 정보기술86

가. 비동기화 방식

비동기화 방식은 사용자의 OTP 생성 매체와 은행의 OTP 인증 서버 사이에 동기화되

는 기준값이 없으며 사용자가 직접 임의의 난수(질의값)를 OTP 생성 매체에 입력함으로

써 OTP가 생성되는 방식이다. 질의응답(Challenge-Response)에 의한 OTP 생성이

표적인 비동기화 방식이다.

질의응답 방식에서 OTP는 사용자가 은행의 OTP 인증 서버로부터 받은 질의값

(Challenge)을 OTP 생성 매체에 직접 입력하면 응답값(Response)이 생성된다(그림3

참조). 사용자는 생성된 응답값을 인터넷뱅킹서비스 화면에 입력하여 로그인을 하거나

이체거래시 사용하면 된다.

질의응답 방식은 사용자가 직접 OTP 생성 매체에 질의값을 입력하여야 응답값인 OTP

가 생성되기 때문에 전자금융 사고 발생시 명백한 책임 소재를 가릴수 있고 보안성도 높

아 은행이 OTP 도입 초기에 주로 사용하던 방식이다. 그러나 사용자가 직접 질의값을 확

인하여 OTP 생성 매체에 입력하여야 하는 번거로움과 은행이 질의값을 별도 관리하여야

하는 부담이 있어 현재 은행에서 질의 응답 방식은 많이 이용되지 않는 추세이다.

나. 동기화 방식

동기화 방식은 사용자의 OTP 생성 매체와 은행의 OTP 인증 서버 사이에 동기화된 기

준값에 따라 OTP가 생성되는 방식이다(그림4 참조). 동기화된 기준값에 따라 시간 동기

<그림3> 질의 응답 방식

① 아이디/비번호

③ 질의값 입력

응답값 생성

④ 응답값 전송

⑤ 응답값 비교인터넷뱅킹

⑥ 사용자 인증

[ 은 행 ]

① 로그인

② 질의값 전송

인증 서버

사 용 자

② 질의값 전송

④ 응답값 입력

전자금융거래의 보안 강화 방안 및 OTP 이용현황

2006. 4 87

화(Time-Synchronous) 방식과 이벤트 동기화(Event-Synchronous) 방식으로 구분

된다.

시간 동기화 방식은 OTP 생성 매체가 매 시간16)마다 비 번호를 자동으로 생성하는 형

태로 시간을 기준값으로 하여 OTP 생성 매체와 OTP 인증 서버가 동기화 되어 있기 때

문에 사용자가 별도의 질의값을 입력할 필요가 없다. 사용자는 OTP 생성 매체에서 자동

생성된 OTP를 전자금융거래시 사용하면 된다.

질의응답 방식은 OTP 인증 서버로부터 질의값을 받아야만 응답값을 생성할 수 있지만

시간 동기화 방식은 OTP 생성 매체 자체에서 시간을 입력값으로 사용하기 때문에 사용

자 입장에서는 사용이 간편하다는 장점이 있다. 그러나 OTP 생성 매체와 인증 서버간에

시간이 동기화되어 있어야 하고 사용자가 일정 시간동안 은행에 OTP를 전송하지 못하면

다시 새로운 OTP가 생성될 때까지 기다렸다가 입력하여야 하는 단점이 있다.

이벤트 동기화 방식의 OTP는 생성 매체와 인증 서버의 동기화된 인증 횟수(Counter)

를 기준값으로 이용하여 생성된다. 이벤트 동기화 방식은 OTP 생성 매체와 인증 서버간

시간이 맞지 않을 경우 수동으로 시간을 맞춰야 하는 시간 동기화 방식의 단점을 보완하

기 위하여 도입되었다. 이 방식은 OTP 생성 매체에서 생성된 비 번호 횟수와 인증 서버

가 생성한 비 번호의 횟수가 자동으로 동기화되기 때문에 시간 동기화 방식과 같이 시

간 정보를 수동으로 동기화해야 하는 불편이 덜하다17).

<그림4> 동기화 방식

[ 은 행 ]

① 아이디/비 번호

③ 응답값 입력

④ 응답값 비교

⑤ 사용자 인증

인증 서버

① 로그인

③ 응답값 전송

인터넷뱅킹

② 응답값 생성

사 용 자

16) 보통 1분 단위로 생성되며 기관마다 다를 수 있다.

17) 사용자의 실수나 호기심 등으로 OTP가 생성되어 OTP 생성 매체와 인증 서버의 횟수가 서로 다른 경우 인증

서버에서 횟수의 오차 허용 범위를 정하여 범위 내에 들어올 경우에 사용자 인증을 허용하기도 한다.

지급결제와 정보기술88

OTP 생성 방식은 각각 장단점이 있기 때문에 어떤 특정 방식 하나만 사용되거나 두 가

지 방식이 결합되어 사용되기도 한다(표13 참조). 최근에는 은행에서 질의응답 방식보다

시간 동기화 방식이나 이벤트 동기화 방식이 주로 이용되는 추세이다.

4. 생성 매체

OTP를 이용하기 위해서는 사용자가 실제 OTP를 생성할 수 있는 매체(이하 "OTP 토

큰"이라고 한다)를 별도 소지하여야 하는데 전용 OTP 토큰 이외에 휴 폰에 OTP 생성

기능이 탑재되어 OTP를 생성할 수 있는 휴 폰 OTP 토큰도 있으며 최근에는 금융IC카

드를 OTP 토큰으로 활용하는 방안도 제시되고 있다.

<표13> OTP 생성 방식 비교

구 분 비동기화 방식 동기화 방식

종 류 - 질의응답 방식 - 시간 동기화 방식 - 이벤트 동기화 방식

OTP 생성시 입력값

- 은행에서 전달받은 질

의값(임의의 난수)

- 사용자가 직접 입력

- 시간

- 자동 내장

- 인증 횟수

- 자동 내장

장 점

- 구조가 비교적 간단함

- OTP 생성 매체와 인증

서버간 동기화가 필요

없음

- 질의값 입력이 없어 질

의 응답방식에 비해 사

용이 간편함

- 질의응답 방식에 비해

호환성이 높음

- 질의값 입력이 없어 질

의 응답방식에 비해 사

용이 간편함

- 시간 동기화 방식에 비

해 동기화되는 기준값

을 수동으로 조작할 필

요가적어사용이간편함

- 질의응답 방식에 비해

호환성이 높음

단 점

- 사용자가 질의값을 직

접 입력해야 하므로 사

용이 번거로움

- 은행은 같은 질의값이

생성되지 않도록 인증

서버 관리 필요

- OTP 생성 매체와 인증

서버의 시간 정보가 동

기화되어 있어야 함

- 일정 시간 이상 인증을

받지 못하면 새로운 비

번호가 생성될 때까

지 기다려야 함

- OTP 생성 매체와 인증

서버의 인증 횟수가 동

기화되어 있어야 함

전자금융거래의 보안 강화 방안 및 OTP 이용현황

2006. 4 89

가. 전용 OTP 토큰

전용 OTP 토큰은 OTP를 자체 생성할 수 있는 연산 기능, 암호 기능 등을 내장하고 있

는 별도의 전용 매체로서 그림5와 같이 호출기 모양, 포켓용 계산기 모양, 열쇠고리 모

양, USB 모양 등으로 다양하게 디자인되어 있다. OTP 생성 기능만 지닌 전용 토큰이기

때문에 별도의 추가 장비가 필요없고 시스템 적용이 용이하여 현재 가장 많이 사용되고

있다. 그러나 사용자가 별도로 토큰을 휴 하여야 하고 다수의 은행을 거래할 경우 은행

에 따라 다른 토큰을 사용하여야 한다는 점에서 사용자의 불편이 예상된다. 또한 토큰 구

입 비용에 한 부담도 무시할 수 없어 최근에는 일상 생활에서 많이 쓰이고 있는 휴 폰

이나 금융IC카드를 OTP 토큰으로 이용하는데 한 관심이 높아지고 있다.

나. OTP 생성 기능이 탑재된 기존 매체

전용 OTP 토큰은 동적인 비 번호만 전용으로 생성할 수 있다는 보안상 큰 장점에도

불구하고 사용자가 토큰을 별도 구입하여 휴 하여야 한다는 점에서 쉽게 중화되지 못

하는 요인이 되고 있다. 따라서 사용자의 휴 간편성을 높이고 전용 토큰을 별도 구입하

는데 따른 비용 부담을 줄이기 위하여 항상 주머니에 가지고 다니는 휴 폰이나 금융IC

카드를 OTP 토큰으로 활용하는 방안이 제시되고 있다.

휴 폰 OTP 토큰은 휴 폰에 OTP 생성 모듈을 내장시켜 OTP를 생성하기 때문에 별

도의 OTP 토큰을 휴 할 필요가 없다는 점에서 편리하다는 장점이 있다. 농협에서 도입

한 휴 폰을 이용한 OTP 토큰이 표적인 예이다. 그림6과 같이 사용자가 휴 폰에

OTP 생성 모듈을 다운로드 받아 내장한 후 이용하며 은행의 인증 서버에서 제시하는 질

의값을 휴 폰에 입력하여 응답값을 생성하는 질의응답 방식으로 구현되어 있다.

그러나 휴 폰에서 생성된 OTP는 인터넷뱅킹서비스에서만 이용이 가능하고 OTP 생

<그림5> 전용 OTP 토큰

지급결제와 정보기술90

성 모듈이 탑재된 휴 폰에서는 텔레뱅킹서비스나 모바일뱅킹서비스를 이용할 수 없다는

점, 그리고 OTP 생성 기능이 지원되는 전용 단말기를 구입하여야 한다는 단점이 있다.

금융IC카드를 OTP 토큰으로 활용하는 방안도 있다. 금융IC카드는 처음부터 마그네틱

카드의 보안 문제를 해결하기 위하여 등장한 카드이기 때문에 보안성이 뛰어나고 다양한

어플리케이션 적용이 가능한 칩이 내장되어 있다. 따라서 금융IC카드에 OTP 생성 기능

을 탑재하여 OTP 토큰으로 활용하게 되면 전용 OTP 토큰을 구입하는 데 따른 비용을

줄일 수 있고 별도의 매체를 소지할 필요가 없다는 장점이 있다.

장기적인 측면에서 볼 때 금융IC카드를 OTP 토큰으로 활용하는 것은 은행의 중복 투

자를 피하고 사용자의 휴 간편성을 높힐 수 있다는 점에서 상당히 고려해 볼 가치가 있다.

현재 은행은 금융감독원의 지침에 따라 전자금융거래의 보안 강화 방안의 하나로

2008년까지 마그네틱카드를 금융IC카드로 전환 발급 중이다. 따라서 현재 발급 중인 금

융IC카드 이외에 OTP 생성 기능만 가진 별개의 전용 토큰을 또 도입하는 것은 은행에 추

가 부담이 될 수 밖에 없다. 비록 금융감독원에서 은행의 OTP 토큰 구입 비용은 사용자

부담을 원칙으로 하도록 하 지만 실제로 은행이 사용자에게 구입 비용 전액을 전가시키

기는 어려울 것으로 보이며, 경우에 따라 은행이 일정 금액을 부담할 가능성이 높다. 그

러나 현재 발급 중인 금융IC카드에 OTP 생성 기능을 탑재하여 배포하는 것은 어렵지 않

기 때문에 전용 OTP 토큰을 구입하는 것보다 오히려 비용 부담이 적어진다.

또한 OTP 토큰의 활용성 측면을 보면 단순히 OTP 생성만을 위해 가지고 다녀야 하는

전용 토큰과 다르게 금융IC카드는 결제 기능 이외에 공인인증서의 저장 매체로도 활용될

수 있는 다기능 카드이기 때문에 항상 지갑속에 가지고 다니는 금융IC카드에 OTP 생성

기능을 탑재하여 이용하게 되면 매체의 활용성 측면에서도 더 효율적이라고 할 수 있다.

<그림6> 휴 폰을 이용한 OTP 생성

초기화면 메뉴화면 PIN 비 번호 입력

(타인의 도용방지)

은행이 제시하는

질의값 입력

응답값 생성

자료 : 인터넷시큐리티

전자금융거래의 보안 강화 방안 및 OTP 이용현황

2006. 4 91

다만 금융IC카드를 인터넷상에서 사용하기 위해서

는 카드 정보를 전달해 주는 리더기가 필요하다(그림

7 참조). 따라서 사용자 입장에서는 리더기를 구입해

야 하는 부담이 있지만 이 리더기는 금융IC카드에

OTP 생성 기능이 탑재된 것과 상관없이 금융IC카드

자체의 결제 기능을 위해서도 기본적으로 필요한 장

비이기 때문에 오히려 리더기의 사용 빈도를 더 높이

는 효과가 있다.

또한 리더기는 카드와 컴퓨터간 단순 인터페이스

기능만 담당하는 어느 정도 표준화된 장비이므로 여

러 은행에서 발급받은 금융IC카드를 사용하더라도

한 개의 리더기만으로 이용이 가능하다는 점도 각 은행별로 여러 개의 전용 토큰을 구입

하여야 한다는 점에 비해 상당히 경제적이다.

OTP 생성 기능이 탑재된 금융IC카드의 이용 방법도 간단하다. 예를 들어 인터넷뱅킹

서비스 이용 중에 OTP를 입력하라는 지시를 받은 이용자가 리더기에 금융IC카드를 삽입

하고 인터넷뱅킹서비스 화면에 구현된 OTP 생성 버튼을 누르면 카드에서 OTP가 자동

생성된다. 그리고 생성된 OTP가 리더기를 통해 전달되어 인터넷뱅킹서비스 화면의 특정

한 위치에 나타나면 그 숫자를 OTP 입력 화면에 입력하면 된다.

OTP 생성 모듈이 탑재된 금융IC카드 칩을 휴 폰에 끼워서 이용하는 방법도 있다. 앞

서 설명한 리더기의 역할을 휴 폰이 신 하는 것이다. 그러나 OTP 생성 전용 휴 폰을

별도 구입하여야 한다는 점과 휴 폰에 OTP 생성 칩을 갈아 끼워야 하는 불편이 예상되

고 하나의 칩에 통신 기능, 결제 기능, OTP 생성 기능이 동시에 탑재될 경우 칩의 소유권

등에 한 문제가 복잡하게 얽히게 되어18) 칩기반 휴 폰 OTP 토큰은 구체적인 실용 단

계로 이어지는데 다소 시간이 걸릴 것으로 예상된다.

다. 기타

금융IC카드를 OTP 토큰으로 사용할 경우 여러 장점에도 불구하고 리더기가 필요하다

는 점은 제약이 될 수 밖에 없다. 그러나 리더기가 필요없는 IC카드형 OTP 토큰도 있다.

최근 비자카드사가 OTP 생성 매체로 발급할 예정인 디스플레이형 OTP 생성 카드를 들

수 있다.

18) 칩기반 모바일뱅킹에서 통합칩에 한 논의가 이동통신사와 은행간의 이해관계 때문에 진전되지 못하는 이유

와 유사하다.

<그림7> IC카드와 리더기

지급결제와 정보기술92

디스플레이형 OTP 생성 카드는 일반 IC카드 앞면에 디스플레이창이 있으며 카드 뒷면

에는 OTP 생성 버튼이 부착되어 있다(그림8 참조). IC카드내에는 OTP 생성 모듈이 내

장되어 있기 때문에 사용자가 필요할 때마다 버튼을 누르면 OTP가 자동 생성되며, 카드

앞면의 디스플레이창에 OTP가 표시된다. 인터넷뱅킹서비스에서 디스플레이형 OTP 생

성 카드의 이용 방법을 보면 그림9와 같이 이용자가 은행 사이트에 로그온을 한 후 화면

에 나타난 지시 로 카드의 버튼을 눌러 카드 앞면의 디스플레이창에 나타난 OTP를 인

터넷 화면에 입력하면 된다.

<그림8> 디스플레이형 OTP 생성카드

[ 앞 면 ] [ 뒷 면 ]

<그림9> 디스플레이형 OTP 생성카드 이용 방법

로그인

클릭OTP 생성

버튼 누름

인증 클릭

생성된

OTP를

화면에 입력

자료 : www.incardtech.com

① ②

③④

전자금융거래의 보안 강화 방안 및 OTP 이용현황

2006. 4 93

디스플레이형 OTP 생성 카드는 인터넷뱅킹 뿐만 아니라 텔레뱅킹, 모바일뱅킹 등 다

양한 전자금융서비스에서 이용이 가능하다는 점, 별도의 OTP 토큰을 구입할 필요없이

IC카드를 활용할 수 있다는 점, 리더기가 필요없는 OTP 토큰이라는 점에서 관심을 끌 것

으로 보인다.

IC카드에 오디오 기술이 접목되어 카드에서 발생되는 소리를 OTP로 이용할 수 있는

오디오형 OTP 생성 카드도 있다. 오디오형 OTP 생성 카드는 IC카드에 OTP 생성 모듈,

배터리, 버튼, 스피커를 내장시켜 사용자가 버튼을 누르면 특정 소리가 생성되고 그 생성

된 소리가 OTP로 사용되는 원리이다.

오디오형 OTP 생성 카드에서 나오는 소리는 누를 때마다 계속 변화하기 때문에 누군

가에 의해 소리가 녹음되거나 나중에 사용될 가능성이 없으며, 별도의 리더기가 필요없

고 단지 마이크 장치만 있으면 이용이 가능하다는 장점이 있다. 오디오형 OTP 생성 카드

의 내부 구조와 인터넷뱅킹서비스에서 사용되는 예는 그림10과 같다. 비자카드사는 이와

같이 리더기가 필요없는 디스플레이형 OTP 생성 카드와 오디오형 OTP 생성 카드를

2006년 중 시범 발급할 예정이다.

지금까지 설명한 OTP 토큰의 장단점을 간단히 정리하면 표14와 같다. 현재 금융감독

원에서는 전용 OTP 토큰을 중심으로 OTP 도입을 추진 중이며 다른 매체의 활용은 고려

하지 않고 있다고 한다. 그러나 OTP 도입에 따른 사용자의 부담이나 휴 간편성 등이

반드시 고려되어야 할 사항임을 감안한다면 전용 OTP 토큰만 고집할 필요는 없을 것으

로 보인다.

<그림10> 오디오형 OTP 생성카드 내부구조 및 이용 방법

① 거래은행의 인터넷뱅킹서비스

사이트에 접속한 후 카드 버튼을

눌러 일회용 소리 생성

② 인증이 완료되면 화면에 카드의

PIN 비 번호 입력

③ 인터넷뱅킹서비스 이용

자료 : www.audiosmartcard.com

지급결제와 정보기술94

5. 도입 현황

금융감독원의 전자금융거래 보안 강화 방안에 따르면 은행은 2006년 말까지 OTP를

개인 이용자에게도 확 적용하여야 한다. 그러나 현재 국내 은행의 도입 현황을 보면 주

로 기업 인터넷뱅킹서비스 고객이나 VIP 고객에 한정되어 있다. 개인 이용자를 상으로

OTP를 의무 도입한 은행은 HSBC 서울지점이 있으며 일부 시중은행은 선택 사항으로

OTP를 도입하 다(표15 참조).

<표14> OTP 생성 매체별 비교

구 분 전용 OTP 토큰 기존 매체 활용 기타

종 류

- 전용토큰 - 금융IC카드, 휴 폰 - 디스플레이형 IC카드

- 오디오형 IC카드

장 점

- 리더기 불필요 - 휴 하기 편리

- 기존 매체 활용으로

경제적

- 휴 하기 편리

- 리더기 불필요

단 점

- 별도 매체 소지에 따른

불편

- 은행별 개별 소지에

따른 불편

- 리더기 필요

(금융IC카드)

- 고비용

<표15> 국내 은행별 인터넷뱅킹서비스 OTP 도입 현황

은행명 매 체 적용 상 비 고

경남은행 전용 OTP 토큰 기업 선택 -

우리은행 전용 OTP 토큰 기업 의무, 개인 선택 -

농협 전용 OTP 토큰 기업 및 개인 선택 - 휴 폰 OTP 토큰도 이용

신한은행 전용 OTP 토큰 기업 의무, 개인 선택 -

국민은행 전용 OTP 토큰 선택 - 텔레뱅킹서비스만 실시

HSBC 서울지점 전용 OTP 토큰 기업 및 개인 의무 -

전자금융거래의 보안 강화 방안 및 OTP 이용현황

2006. 4 95

금융감독원의 지침이 반드시 OTP를 이용하여야만 전자금융거래가 가능해지는 것이

아니라 단지 전자금융거래시 거래금액의 한도에서 차이가 날 뿐이기 때문에 은행으로서

는 반드시 올해 안에 OTP를 도입해야 할 시급성이 떨어지고 현재 OTP 통합인증과 관련

된 문제가 논의 중이기 때문에 부분의 은행이 그 결과에 따라 OTP 도입을 추진할 예정

이어서 OTP 도입이 다소 늦어지고 있다.

미국의 은행별 OTP 도입도 주로 기업 인터넷뱅킹서비스 고객을 상으로 우선 적용되

고 있어 국내와 별 차이가 없지만 국내와 다르게, 보안카드나 공인인증서 같은 체 이중

요소인증 수단이 없기 때문에 앞으로 OTP 도입은 증가할 것으로 보인다(표16 참조).

Ⅴ. 시사점

1. OTP 통합인증

은행의 OTP 도입과 관련하여 현재 금융감독원과 은행 사이에 OTP 통합인증에 한

논의가 진행 중에 있다. OTP 통합인증은 전자금융서비스 이용자가 하나의 OTP 토큰으

로 다수의 은행과 거래할 수 있도록 은행이 공동으로 OTP를 인증하는 것을 말하며, 별도

설립19)되는 OTP 통합인증센터(이하 "통합인증센터"라고 한다)에서 운 될 예정이다.

<표16> 미국 은행별 인터넷뱅킹서비스 OTP 도입 현황

은행명 매 체 적용 상 비 고

E-Trade Bank 전용 OTP 토큰 기업 및 개인 -

Stonebridge Bank 전용 OTP 토큰 기업 -

American Bank 전용 OTP 토큰 기업 및 개인 - 은행 내부 직원도 도입

Bank of America 전용 OTP 토큰 기업 - 은행 내부 직원도 도입

Sovereign Bank 전용 OTP 토큰 기업 -

ABN AMRO 전용 OTP 토큰 기업 -

Commerce Bank 전용 OTP 토큰 기업 -

Wachovia 전용 OTP 토큰 기업 및 개인 -

Dollar Bank 전용 OTP 토큰 기업 -

자료 : FDIC, 2005. 6 및 American Banker.ONLINE, 2005. 6

19) 금융감독원은 2006년 중 신설 예정인 금융보안전담기구내에 OTP 통합인증센터를 설치하여 은행 공동의

OTP 통합인증서비스를 제공할 방침이다.

지급결제와 정보기술96

앞서 설명한 바와 같이 OTP는 생성 방식이나 생성 매체가 다양하다. 따라서 은행별로

OTP를 도입하게 되면 사용자 입장에서는 거래하는 은행마다 각기 다른 매체를 이용하여

야 하고 생성 방식에 따라 이용 방법이 달라지기 때문에 사용에 불편이 따를 수 밖에 없

다. 또한 OTP 토큰의 구입 비용 부담도 상당하다. OTP 통합인증은 이와 같이 은행의

OTP 개별 도입에 따른 사용자의 부담을 최소화하고 은행간 OTP 사용의 호환성을 높혀

OTP 이용의 편리성을 제고하기 위한 취지에서 추진되고 있다.

그러나 이와 같은 긍정적인 취지에도 불구하고 OTP 통합인증과 통합인증센터 설립의

실효성에 한 논란이 제기되고 있다.

첫째, OTP 토큰의 도입 비용 부담에 한 문제이다. 전용 OTP 토큰의 경우 2000년

초까지는 구입 가격이 한 당 약 3만원 으나 지금은 1만 5천원 에서 구입이 가능하

다. 그러나 이 가격은 은행이 구입하여 무료로 배포하거나 사용자가 직접 구입하더라도

부담이 되는 가격이기는 마찬가지이다.

따라서 공동으로 사용할 OTP 토큰을 정하고 은행이 공동으로 구입하여 배부하면 그

만큼 구입 단가가 낮아질 수 있을 것이고 사용자 입장에서도 거래하는 은행마다 여러 개

의 OTP 토큰을 구입할 필요없이 한 개의 OTP 토큰만 구입하여 사용하면 부담이 훨씬

줄어들 수 있다는 취지의 하나로 OTP 통합인증이 제기된 것으로 보인다. 그러나 구입 단

가가 낮아지는 데에는 한계가 있다. 현재 1만 5천원 인 구입 가격이 갑자기 2, 3천원

로 급격히 낮아지지는 않을 것이다. 2008년까지 완료하도록 되어 있는 은행의 금융IC카

드 도입도 IC카드를 신규 발급하는데 드는 비용 문제로 여전히 도입이 더딘 경우와 유사

한 현상이 발생될 수 있다는 점이다.

둘째, 사용자 정보의 보유 주체에 한 문제를 들 수 있다. 통합인증센터에서 OTP 통

합인증을 위해서는 OTP 사용자가 해당 은행의 정당한 고객인지 아닌지를 판단할 수 있

는 사용자 정보가 필요한데 이 정보를 통합인증센터가 보유해야 하는지에 한 논란이

제기되고 있다. 그러나 은행 고유의 자산인 사용자 정보를 은행이 통합인증센터에 제공

한다는 것은 현실적으로 어렵다20). 이 때문에 통합인증센터 설립을 주도하고 있는 금융감

독원과 은행간에 사용자 정보의 보유 주체에 한 이견이 많아 통합인증센터의 설립 진

행이 늦어지고 있다.

만약 통합인증센터가 사용자 정보를 보유하지 않고 OTP 통합인증을 수행할 경우 통합

인증센터는 사용자와 은행을 연결해 주는 단순 인터페이스 역할에 한정될 가능성이 높다

(그림11 참조).

20) 칩기반 모바일뱅킹서비스에서 이동통신사의 통합 IC칩 발급에 하여 은행은 사용자 정보의 노출 위험을 이유

로 반 한 점을 생각하면 쉽게 이해가 될 것이다.

전자금융거래의 보안 강화 방안 및 OTP 이용현황

2006. 4 97

셋째, 통합인증센터에 장애가 발생될 경우 모든 은행의 OTP 인증이 중단되기 때문에

개별 은행에서 OTP를 인증할 경우에 비해 리스크가 더 커질수 있다는 점이다. 책임소재

에 한 문제도 간과해서는 안된다. 만약 OTP를 이용한 전자금융거래에서 사고가 날 경

우 OTP 토큰을 최초 배포한 은행과 실제 전자금융거래가 일어난 은행이 다르면 어디에

서 문제가 발생되었는지를 확인하기가 상당히 어렵기 때문이다. 이와 함께 통합인증센터

설립과 운 에 따른 은행의 비용 부담도 무시할 수 없다. 따라서 이와 같은 논란에 한

명확한 해결책이 없이는 OTP 통합인증과 통합인증센터의 필요성에 한 원론적인 의문

에서부터 다시 시작되어야 할 것이다.

2. OTP 도입시 고려 사항

OTP가 원래의 의도 로 전자금융거래의 보안을 강화하고 활성화된 사용자 인증 수단

이 되기 위해서는 다음과 같은 사항을 고려하여 도입되어야 할 것이다.

첫째, 보안성이 제일 먼저 고려되어야 한다. OTP는 기본적으로 전자금융거래의 보안

을 강화하기 위한 인증 수단으로 도입되었기 때문에 보안성이 뛰어난 매체와 방식을 선

택하는 것이 최우선 기준이 되는 것은 당연한 것이다.

둘째, 사용 편리성과 휴 간편성을 들 수 있다. 최근 보안 솔루션업체에서 실시한 설문

조사21) 내용을 보면 응답자의 73%인 다수가 인터넷뱅킹서비스 이용시 아이디나 비

번호를 사용하여 로그온하는 사용자 인증보다 더 강력한 인증 수단을 도입할 필요성이

있으며, 도입되는 강력한 인증 수단은 사용의 편리성과 용이성을 보장할 수 있어야 한다

고 응답하 다22). 사용자의 주머니속에 기본적으로 소지하고 있는 카드와 휴 폰 이외에

<그림11> 사용자 정보 보유 주체에 따른 OTP 인증

[ 통합인증센터 보유 ] [ 개별 은행 보유 ]

인증 서버

통합

인증센터

통합

인증센터

② 인증 수행

①OTP로 접속

④인터넷뱅킹

서비스

제공및

이용

③ 인증완료시 연결 ② 연결

① OTP로 접속

④인터넷뱅킹

서비스

제공

및이용

③ 인증 수행은행 은행

사용자 사용자

인증 서버

21) Annual Financial Institution Consumer Online Fraud Survey

22) RSA Security, Press Release, 2006. 3.14

지급결제와 정보기술98

또 다른 매체가 있어야 한다든지, 사용하는데 복잡한 절차가 필요하다면 사용자 입장에

서는 선뜻 받아들이기 쉽지 않다는 의미이다. 그리고 어떤 OTP 생성 방식은 사용자가 직

접 입력값을 입력하는 추가 단계를 요구하기도 하고 새로운 OTP를 얻기 위해서 다시 1분

을 기다려야 하는 절차는 사용자의 편리성을 저해할 수 있기 때문이다.

셋째, OTP 토큰간 호환성을 들 수 있다. OTP 토큰이 어떤 어플리케이션에서도 작동될

수 있어야 한다는 점이다. 이는 사용의 편리성과 용이성과도 연관되는 사항이다. 사용자

가 다양한 전자금융서비스를 이용할 때마다 서로 다른 OTP 토큰을 사용하게 된다면 이

용하는데 따른 불편함은 물론이고 여러 개의 OTP 토큰을 소지하는데 따른 분실 위험이

나 불편함은 커질 것이다. 또한 호환성의 문제는 당연히 비용문제와도 연관되기 때문에

반드시 고려되어야 할 사항이다.

넷째, 비용 측면이 고려되어야 한다. OTP를 도입하게 되면 은행으로서는 OTP 토큰의

파손이나 도난 등에 따른 재구입 비용, 동기화 방식을 이용할 경우에는 재동기화 비용,

유지보수 비용까지 발생될 수도 있기 때문에 이러한 관리상의 문제로 발생되는 비용도

고려되어야 한다.

3. 양방향 인증의 필요성 두

최근 전자금융거래의 보안 강화를 위해 강조되고 있는 이중요소인증은 은행의 사용자

인증에 초점을 두고 있다. 그러나 피싱이나 파밍 위협의 증가로 사용자 입장에서도 은행

이 제공하는 사이트가 진짜인지를 확인할 수 있는 양방향 인증(Two-Way Authentication)

이 이루어져야 보다 안전한 전자금융거래가 가능하다는 의견이 전개되고 있다. 양방향

인증은 사용자만 은행의 인증을 받는 것이 아니라 은행 사이트도 사용자에게 인증을 받

아야 한다는 개념이다.

양방향 인증에서는 주로 사용자만 알고 있는 비 이미지가 인증 수단으로 이용된다.

양방향 인증을 원하는 사용자는 먼저 은행 사이트에 접속하여 양방향 인증에 사용될 비

이미지를 선택하여 은행에 등록하면 된다. 따라서 양방향 인증을 이용하는 사용자는

은행 사이트에 접속할 때 아이디와 비 번호를 동시에 입력하지 않고 먼저 아이디만 입

력하여 사용자의 이용 의사 표시를 한 다음 은행에서 보내주는 비 이미지가 사용자만

알고 있는 비 이미지와 같을 경우에만 비 번호를 입력하여 접속을 완료하는 것이다(그

림12 참조). 사용자는 양방향 인증을 사용함으로써 본인이 정당한 사이트에 접속했다는

것을 인식하게 되는 것이다. 양방향 인증은 현재 BOA(Bank Of America)가 SiteKey라

는 명칭으로 서비스 중에 있다.

전자금융거래의 보안 강화 방안 및 OTP 이용현황

2006. 4 99

Ⅵ. 맺음말

편리하기 때문에 많이 이용되고 있는 전자금융서비스에는 항상 보안 문제가 따라 다닌

다. 그러나 은행이 전자금융서비스의 안전한 제공을 위하여 보안을 강화하게 되면 사용

자는 당장 불편함을 느낄 수 있다. 반면 편리성만 강조하다가 보안 사고가 발생되면 사용

자는 전자금융서비스를 이용하지 않으려 할 것이고 은행도 신뢰 회복에 많은 시간이 필

요하게 된다. 전자금융서비스에서 이용의 편리성과 보안의 중요성은 동전의 양면과 같아

서 어느 한 쪽의 입장만 고려해서 제공될 수 없다. 따라서 전자금융서비스의 편리성과 보

안성을 모두 만족시킬 수 있는 안전 장치를 찾아야 한다.

최근 개인 정보 유출로 인한 전자금융 사고가 발생되면서 사용자 인증을 강화할 수 있

는 안전 장치가 절실하게 요구되고 있다. 바로 그 안전 장치의 하나가 OTP이다. 아직

OTP 통합인증에 한 논란은 여전히 남아 있지만 OTP가 도입되면 정적인 비 번호에

의한 사용자 인증보다 OTP를 이용한 사용자 인증이 활성화 될 것으로 보인다. 다만

OTP가 전자금융거래의 보안을 강화할 수 있는 강력한 인증 수단이면서 전자금융거래의

활성화에 기여할 수 있기 위해서는 OTP 도입에 따른 은행과 사용자의 비용 부담을 최소

화하고 사용 편리성을 보장할 수 있는 방향으로 추진되어야 할 것이다.

<그림12> 양방향 인증 및 적용 화면

은행 사이트

사용자

자료 : www.passmarksecurity.com

① 아이디 입력 ② 사용자만

알고 있는

비 이미지

전송

③ 비 번호

입력

지급결제와 정보기술100

<참 고 문 헌>

[1] 양지윤, 전자상거래 이젠 OTP 시 , 경 과 컴퓨터, 2005.11

[2] 이유지, 한민국 인터넷서비스 보안 비상, 컴퓨터월드, 2005.11

[3] 정윤선, 전자금융거래에서의 금융기관의 책임, 한국소비자보호원, 2005.12

[4] Secured Authentication using EMV Smart cards, Smart Payment Association,

2005.11

[5] Future technology to extend use : cases for OTP, Giesecke & Devrient,

2005.11

[6] Authentication in an Internet Banking Environment, FFIEC, 2005.12

[7] Putting an End to Account-Hijacking Identity Theft : Study Supplement,

FDIC, 2005. 6

[8] 전자거래 안전성 강화 종합 책, 금융감독원, 2005. 9

[9] www.securecomputing.com

[10] www.kisa.or.kr

[11] www.rsasecurity.com

[12] www.antiphishing.org

[13] www.vasco.com

[14] www.emvco.com

[15] 은행 인터넷 홈페이지