[그게 뭔가요] 애플·구글페이가 채택한 EMV

애플페이의 한국 진출로 근거리무선통신(NFC)에 대한 관심이 높아졌다. NFC는 10cm 이내의 거리에서 무선 데이터를 주고받는 통신 기술로, 교통카드가 대표적이다. 카드를 단말기에 살짝 대기만 하면 결제가 이뤄진다. 애플페이와 구글페이도 이러한 기술 기반이다. 흥미로운 것은 NFC 기술 근간에는 EMV(Europay, MasterCard, Visa)가 있다는 점이다.

EMV는 국제 결제표준으로 유로페이와 마스터카드, 비자의 앞글자를 땄다. 카드 뒷면에 있는 검정색 마그네틱이 아닌 IC칩을 기반으로 결제가 이뤄진다. 즉, IC칩은 EMV 표준 규격을 근간으로 한다. EMV 표준은 마그네틱 결제 방식 대비 높은 보안성을 자랑한다. 다만, 국내에는 단말기 보급 문제로 EMV가 보급화되어 있진 않다. 그나마 최근 애플페이 상륙으로 인해 조금씩 보급 가맹점이 생기고 있는 추세다.

EMV가 뭔가요?

그동안 신용카드와 직불카드는 카드 소유자의 데이터를 관리하기 위해 자기 띠(카드 위에 테이프 모양으로 자성체를 입혀 정보를 기록하는데 이용할 수 있도록 한 것, 마그네틱 선)만 사용했다. 이때 자기 띠는 비교적 쉽게 해킹되어 보안이 취약한 문제가 있었다. 

1990년대, 이 시기 기업들은 카드 소지자의 신용카드, 결제 사기 문제를 해결하기 위해 칩 기반의 솔루션을 개발하기 시작했다. 이때 개발된 다양한 기술은 소비자, 기업 모두에게 상호 운용성 문제를 야기했다. 

이때 만들어진 것이 결제표준인 EMV다. 유로페이, 마스터카드, 비자카드가 1993년 제정했다. 결제 단말기 등의 기술 표준을 기반으로 한 결제 방식으로 카드위조, 거래 위조를 불가능하게 한다. 자기 띠가 아닌 손톱보다 작은 크기의 칩이 바로 EMV 규격이 채택된 IC칩이다.

이들은 자사의 앞 글자를 따서 결제 기술의 국제 표준화 기구인 ‘EMVCo’를 만들었다. 현재 EMVCo의 회원은 비자, 마스터카드, 아메리칸 익스프레스, 디스커버 파이낸셜, JCB 인터내셔널, 차이나 유니온페이 6곳이다. EMVCo는 EMV표준의 첫 번째 버전을 1995년 발표했다. 이 표준은 EMVCo가 정의하고 관리한다. 

EMV 표준 준수 인증은 공인 테스트 기관에서 수행한 테스트 결과를 제출하면 EMVCo에서 발행한다. EMV 규정 준수 테스트에는 두 가지가 있다. 물리적, 전기적, 전송 수준 인터페이스를 다루는 EMV 레벨1과 지불 애플리케이션 선택, 신용 금융 거래 처리를 다루는 EMV 레벨2로 나뉜다. 

EMV 표준을 충족하는 포스(POS) 단말기는 개인식별번호(PIN)를 사용하기 때문에 보안계층이 추가된다. EMV 카드에는 모든 거래를 다르게 인코딩하는 통합 회로 칩이 포함됐다. 

EMV의 작동 원리

EMV 칩은 거래 중 카드의 실제번호를 전송하지 않기 때문에 자기 띠보다 훨씬 안전하다. 대신 모든 구매에 대한 고유한 코드를 생성하고 해당 코드를 기업의 카드 리더기로 보낸다. EMV 카드에서 생성된 코드는 복제되거나 두 번 이상 사용, 쉽게 위조되지 않는다. 

실제로 EMV는 대면 위조 카드사기를 방지하는데 효과적이다. 지난 2005년 프랑스가 EMV로 전환했을 때 카드 사기는 거의 사라졌다. 미국은 2015년 말부터 도입했다. 미국의 연방준비은행의 연구에 따르면, 미국의 카드 사기는 2015년 36억8000만 달러에서 2016년 19억1000만달러로 감소했다. 

EMV 카드 리더는 각 카드에 내장된 EMV 칩에 포함된 데이터를 읽도록 설계됐다. 칩은 자기 띠가 카드 번호를 전송하는 것과 유사한 방식으로 암호화된 데이터를 카드 리더기에 전송한다. 다만, 몇 가지 차이점이 있다. 

고객은 결제를 위해 카드를 긁는 대신 카드 리더기에 카드를 삽입한다. 이 과정을 ‘디핑’이라고 한다. EMV 칩이 삽입되면 카드정보가 포함된 암호화된 일회용 코드가 카드 리더기에 전송된다. 이때 실제 카드번호는 전송되지 않는다. 

구매를 위해 고객은 PIN을 입력하거나 서명을 해야 한다. 그러면 카드 리더기는 결제 데이터를 포스로 전달하고 포스는 이를 결제 처리자에게 전송한다. 

중요한 점은 EMV 칩은 결제할 때마다 고유한 거래 코드를 생성하기 때문에 카드 데이터를 훔치거나 복제하기가 어렵다. 

국내에서 EMV는?

EMV 단말기의 표준은 크게 두 가지다. 컨택(Contact) 표준과 컨택리스(Contactless) 표준이 그것이다. 국내에서 보급이 미진하다고 할 수 있는 것은 컨택리스 표준이다. 애플페이와 구글페이가 채택한 것이다.

국내에서 EMV 컨택리스 표준이 보급화되지 않은 것은 인증, 인증을 위한 개발비가 비싸기 때문이다. 게다가 국내에서 EMV 인증을 받지 않아도 카드 거래가 이뤄지는 점도 한 몫 한다. 국내는 IC카드로 거래를 할 때 EMV를 쓰지 않아도 암호화해서 전달하는 기준이 이미 존재한다.

한편, 전세계적으로 EMV 칩 카드 채택이 증가하고 있다. 지난 2022년 말 전세계적으로 128억개의 EMV 칩 카드가 유통됐다. 이는 전년도 대비 7% 증가한 수치다. 또 발행된 모든 카드의 69%가 EMV를 지원하며, 전세계적으로 수행되는 모든 카드 거래의 93%가 EMV 칩 기술을 사용한다.  

글. 바이라인네트워크
<홍하나 기자>0626hhn@byline.network