서울과학기술대학교는 초기창업패키지 창업 기업을 지원합니다. IT동아는 서울과학기술대학교와 함께 유망 초기창업패키지 창업 기업을 선별, 이들이 발전하도록 소개와 멘토링으로 구성된 스케일업 프로그램을 지원합니다.

[IT동아 김동진 기자] 은행 앱에 로그인하려면, 비밀번호나 간편인증과 같은 과정을 거친다. 계좌를 만들거나 중요한 금융거래를 할 때는 휴대폰 본인인증이나, 안면인증까지 요구하기도 한다. 이처럼 여러 단계의 인증을 거쳤다면, 안전하다고 생각하기 쉽다.

하지만 개인정보와 통신정보가 함께 탈취된다면, 이야기가 달라진다. 이름과 전화번호 등 개인정보뿐만 아니라 유심(USIM) 정보까지 공격자에게 넘어가므로, 기존 인증체계를 우회하려는 시도가 가능하다. 생성형 인공지능(AI)을 이용한 딥페이크 기술 고도화로 얼굴을 확인하는 인증 방식도 새로운 공격에 직면했다.

휴믹스는 여기서 한 가지 질문을 더 던진다. ‘인증을 시도하는 사람이 누구인가’뿐만 아니라 ‘지금 사용하는 스마트폰이 원래 등록한 기기가 맞는가’라는 질문이다.

휴믹스가 개발한 ‘폰첵(Phonecheck)’은 이러한 질문에서 시작된 기술이다. 스마트폰과 USIM 등 단말의 하드웨어 특성을 분석, 실제 사용 기기를 검증하는 ‘디바이스 트러스트(Device Trust)’ 플랫폼이다. 기존 본인인증이나 금융사의 이상거래탐지시스템(FDS)을 대체하기보다, 기기의 신뢰 정보를 하나 더 얹어 보안을 강화하는 방식이다.

김경태 휴믹스 대표를 만나 사람 중심의 본인인증에 ‘기기 인증’을 더하려는 이유와 폰첵의 사업화 계획을 들어봤다.

“내 정보가 맞아도 내 스마트폰이 아닐 수 있다”

휴믹스는 ‘Human Data Remix’라는 의미다. 사명에 사람 데이터와 자산을 안전하게 보호하겠다는 목표를 담았다.

김경태 대표는 통신·단말 분야에서 약 20년간 경험을 쌓은 인물이다. KT 단말연구소 등을 거치며 NFC와 USIM 등 스마트폰 단말 기술을 다뤘고, 금융서비스 현장에서 관련 보안 문제도 경험했다.

창업 아이디어 역시 이 과정에서 나왔다.

김경태 대표는 “지금의 스마트폰은 전화기가 아니라 금융자산과 개인정보를 관리하는 핵심 수단이 됐지만, 본인인증은 여전히 사람의 개인정보를 확인하는 방식에 크게 의존한다”며 “통신사에서 USIM 관련 업무를 하면서 대포폰이나 불법폰, 보이스피싱 문제를 접할 때마다 스마트폰 자체를 분석해 정상 단말과 이상 단말을 구별할 방법은 없을지 고민했다”고 말했다.

그는 특히 개인정보와 통신 네트워크 정보가 함께 유출됐을 때, 기존 인증 방식의 한계가 두드러진다고 봤다. 개인정보만 탈취된 경우보다 USIM 일련번호나 가입자 식별정보 등 통신 네트워크 정보까지 함께 넘어가면, 정상 이용자의 인증 환경을 쉽게 모방할 수 있기 때문이다. 기존 인증은 ‘입력한 정보가 맞는가’를 확인하는 데 초점이 맞춰져 있어, 실제 접속한 스마트폰이 원래 등록된 기기인지까지 판별하기는 어렵다는 설명이다.

KYC 다음은 KYD…‘누구인지’ 넘어 ‘어떤 기기인지’ 확인

금융·핀테크 업계에서는 고객을 확인하는 절차를 KYC(Know Your Customer), 사업자를 확인하는 절차를 KYB(Know Your Business)라고 부른다.

휴믹스는 여기에 ‘KYD(Know Your Device)’라는 개념을 더해 디바이스 트러스트 보안 강화 플랫폼 폰첵(Phonecheck)을 구성했다. 사람이나 사업자의 신원뿐만 아니라 서비스를 이용하는 기기도 검증 대상에 포함하는 개념이다.

폰첵은 스마트폰 제조사와 모델처럼 일반적으로 확인할 수 있는 정보뿐만 아니라 스마트폰과 SIM의 다양한 하드웨어 속성까지 수집·분석한다. CPU와 GPU, SIM·eSIM 특성 등 기기를 구성하는 요소를 종합해 해당 기기의 특성을 확인하고 신뢰도를 판단한다.

이를 이해하기 쉽게 자동차에 빗댈 수 있다. 겉모습과 번호판이 같은 자동차 두 대가 있다고 해도 엔진과 주요 부품까지 확인하면, 같은 차량인지 판단할 단서가 늘어난다.

스마트폰도 마찬가지다. 사용자 정보나 운영체제(OS) 정보만 보는 데서 그치지 않고 내부 하드웨어 특성을 함께 확인하면, 기존에 등록한 스마트폰과 현재 접속한 스마트폰이 같은 기기인지 판단할 정보가 늘어난다.

폰첵은 이렇게 확보한 정보를 AI 기반으로 분석해 기기의 신뢰도를 점수화하는 방식을 적용한다. 스마트폰과 eSIM·USIM 등을 포함해 30개 이상의 기기 정보를 정밀 수집하는 것을 특징으로 내세운다.

김경태 대표는 “일반적인 앱에서는 접근하지 않는 스마트폰 하드웨어 속성을 어떻게 확보하고 안정적으로 분석할 것인지가 가장 어려운 기술 과제였다”며 “제조사와 모델, 운영체제에 따라 인터페이스가 모두 다르기 때문에 약 1년 4개월 동안 관련 기술을 집중적으로 개발했다”고 말했다.

기존 인증 대체 아닌 추가 인증수단으로 보안 강화

폰첵의 역할은 기존 인증 시스템을 없애는 것이 아니다.

김경태 대표 역시 폰첵 하나만으로 모든 금융사기를 차단할 수 있다고 보지 않는다. 기존 휴대폰 본인인증과 안면인증, 간편인증, FDS 등에 기기 검증이라는 추가 인증 요소를 제공하는 것이 목적이다.

예컨대 사용자가 은행 계좌를 개설하거나 앱을 처음 등록할 때, 스마트폰의 기기 특성을 함께 등록하도록 돕는다. 이후 로그인이나 이체가 발생하면, 현재 사용 중인 기기의 특성이 기존 등록 기기와 일치하는지 다시 확인하는 방식으로 보안을 강화하는 것이다.

만약 사용자의 개인정보가 맞더라도 스마트폰의 하드웨어 특성이 기존 기기와 크게 다르다면, 추가 확인이나 거래를 제한해 금융 피해를 막는다.

딥페이크를 이용한 안면인증 공격에서도 같은 원리를 적용할 수 있다. 공격자가 얼굴 인증을 통과하려 시도하더라도 서비스를 이용하는 스마트폰이 기존 사용자의 기기인지 별도로 확인해 피해를 막는 원리다.

휴믹스는 이에 따라 ▲휴대폰 본인인증+폰첵 ▲앱 간편인증+폰첵 ▲안면인증+폰첵 ▲간편로그인+폰첵 등 기존 인증수단과 결합하는 형태로 사업을 추진하고 있다.

금융사의 FDS와 연계할 경우 기존에 활용하던 제조사·모델명, OS 정보, 접속 IP·GPS 등에 스마트폰 하드웨어와 SIM 관련 정보를 추가해 이상거래 판단에 활용하는 방식도 가능하다.

김경태 대표는 “폰첵은 기존 본인인증이나 FDS를 대체하기 위한 기술이 아니다”며 “현재 보안 시스템에 실제 사용 기기에 관한 정보를 추가해 판단 근거를 넓히는 2차 인증 수단에 가깝다”고 설명했다.

보안 강화하면서 사용자 불편은 줄인다

기기 인증은 보안뿐만 아니라 사용자 편의성을 높이는 방향으로도 활용할 수 있다. 은행 앱을 삭제했다가 동일한 스마트폰에 다시 설치하는 상황이 대표적이다. 현재는 은행 앱을 재설치하면, 기존 이용자라도 다시 여러 인증 절차를 거쳐야 하는 경우가 있다.

하지만 기존에 등록한 기기와 현재 기기가 동일하다는 사실을 신뢰할 수 있는 수준으로 확인한다면, 인증 절차를 간소할 수 있다는 게 휴믹스의 설명이다.

김경태 대표는 “사용자는 스마트폰을 바꾸지 않았는데 앱만 삭제했다 다시 설치해도 인증을 처음부터 다시 해야 하는 불편을 겪는다”며 “기기 자체가 이전에 사용하던 기기라는 것을 확인할 수 있다면, 보안성을 유지하면서 인증 경험을 개선하는 방향으로 활용할 수 있다”고 말했다.

스마트폰 안에 저장된 정보 보호도 적용 분야다. 예컨대 공동인증서나 금융정보, 디지털 자산 관련 키 등에 접근할 때, 현재 기기가 정상 사용자에게 등록된 스마트폰인지 먼저 확인한 뒤 접근 권한을 부여하는 방식이다.

휴믹스는 이를 금융과 통신뿐만 아니라 전자상거래와 기업 내부 시스템, 헬스케어, 공공서비스 등의 인증 영역으로 확대할 수 있다고 보고 있다.

금융권 PoC 추진…“첫 레퍼런스가 가장 큰 관문”

기술 개발을 마친 휴믹스의 다음 과제는 실제 금융서비스에 적용하는 일이다.

회사는 올해 상용 서비스가 가능한 수준으로 폰첵 플랫폼 개발을 마쳤으며, 관련 지식재산권 3건의 등록을 완료하고 2건을 추가 출원했다.

휴믹스는 현재 은행권과 및 안면 인증 전문기업을 대상으로 폰첵 기술검증(PoC)을 진행하고 있다. 다수의 금융사와 금융권 대상 플랫폼 공급사 등과 사업 제휴을 통해 고객 접점도 확대하고 있다.

김경태 대표는 “시중은행에 폰첵을 소개한 결과, 최근 금융사 해킹 사건 및 복제폰과 같은 위협에도 대응할 수 있다는 점에서 관심을 보이고 있다”며 “반면 금융서비스는 안정성이 중요한 만큼, 검증되지 않은 새로운 기술을 첫 번째로 적용하는 것에 부담을 느끼는 경우도 있다”고 말했다.

그는 이어 “한 곳에서 실제 적용 레퍼런스를 확보하면, 다른 금융기관으로 확산하는 데 중요한 계기가 될 것”이라며 “현재 가장 중요한 과제 역시 대외적으로 신뢰할 만한 기업과 PoC를 완료하고 기술의 효용을 입증하는 것”이라고 덧붙였다.

서울과기대 초기창업패키지로 상용 플랫폼 완성도 높여

휴믹스는 서울과학기술대학교 초기창업패키지에 참여하며 폰첵의 기술 완성도와 사업화 기반을 높였다. 초기창업패키지 지원을 통해 개발 인건비와 서비스 화면 디자인 등에 필요한 자원을 확보했고, 폰첵 플랫폼을 실제 기업에 적용할 수 있는 수준으로 개발했다.

투자 준비 과정에서도 지원을 받았다. 서울과기대 투자검증·IR 연계 프로그램을 통해 투자자의 관점에서 사업모델과 시장 전략을 점검하고 IR 자료를 보완했다.

김경태 대표는 “기술을 개발하는 입장에서는 제품 자체에 집중하기 쉬운데 해당 프로그램을 통해 투자자는 시장과 사업 확장성을 다른 관점에서 바라본다는 점을 배웠다”며 “IR 연계 프로그램으로 투자자의 시각을 이해하고 자료와 사업전략을 다시 정리할 수 있었다”고 말했다.

사업비 집행과 과제 운영 과정에서의 지원도 기억에 남는다고 했다.

그는 “초기 기업은 정부 지원사업을 수행하면서 사업비를 어떤 기준으로 집행해야 하는지부터 어려움을 겪을 수 있다”며 “서울과기대 담당자들이 단순히 사업비를 관리하는 데 그치지 않고 기업이 겪는 문제를 듣고 해결 방향을 함께 찾으려 했다는 점이 인상적이었다”고 말했다.

휴믹스는 향후 투자검증과 투자연계 IR 프로그램에도 지속해서 참여해 시드 투자와 TIPS 연계 등을 추진할 계획이다. 본격적인 매출 발생 목표 시점은 2027년 상반기로 잡았다.

금융 넘어 결제·커머스·스테이블코인으로…“Device Trust 인프라 목표”

첫 시장은 금융이지만 휴믹스가 바라보는 영역은 더 넓다.

결제와 전자상거래에서도 계정 탈취와 결제정보 도용 위험이 존재하는 만큼, 실제 서비스를 사용하는 기기의 신뢰도를 확인하는 기술을 적용할 수 있다는 판단이다.

새로운 디지털 금융 영역도 대상이다. 휴믹스는 향후 스테이블코인 등 디지털 자산 서비스에서 기기 인증을 활용하는 방안을 검토하고 있다. 스마트폰에 디지털 자산 관련 정보가 저장되는 환경에서는 사용자 신원뿐만 아니라 해당 정보에 접근하는 기기가 정상적인 기기인지 확인하는 것도 중요하기 때문이다.

장기적으로는 해외시장 진출도 추진한다. 특정 국내 금융회사에 종속된 솔루션이 아니라 다양한 스마트폰과 서비스에 연동할 수 있는 표준화된 디바이스 트러스트 플랫폼을 만드는 것이 목표다.

김경태 대표는 “본인인증과 안면인증, 기기인증인 폰첵, 금융사의 FDS가 서로 연결되는 보안 체계를 만드는 것이 우선 목표”라며 “사람의 신원만 확인하던 기존 인증체계에 실제 사용하는 기기의 신뢰라는 새로운 정보를 추가하고 싶다”고 말했다.

그는 이어 “금융권에서 기술과 적용 경험을 축적한 뒤 결제와 커머스, 디지털 자산 등으로 영역을 넓히고 해외에서도 적용 가능한 디바이스 트러스트 기술로 발전시키겠다”며 “궁극적으로는 어떤 디지털 서비스를 이용하든 ‘이 사람이 맞는가’와 함께 ‘이 사람이 실제 사용하던 기기가 맞는가’를 확인하는 것이 자연스러운 보안 절차가 되도록 만들고 싶다”고 말했다.

IT동아 김동진 기자 (kdj@itdonga.com)