‘11분 대 1분’.

21일 기자는 국내 한 온라인쇼핑몰과 미국 아마존에서 쇼핑한 뒤 신용카드로 결제했다. 그 결과 국내 쇼핑몰에선 11분이 소요된 반면 아마존에선 1분 만에 모든 결제가 끝났다. 왜 이런 결과가 나왔을까.

 

국내 쇼핑몰에선 과거 많이 보이던 ‘액티브X(Active X)를 설치하라’는 메시지는 안 떴다. 대신 확장자명 ‘.exe’ 방식의 ‘키보드 보안’ 프로그램을 PC에 설치하란 메시지가 나타났다. 액티브X처럼 원치 않아도 꼭 설치해야 결제가 가능하다. 설치를 시도했지만 프로그램과 PC가 충돌하면서 한 차례 오류 메시지가 떴다. 재시도하는 사이 인터넷 속도는 눈에 띄게 느려졌다. 설치 과정에서 입력창이 자동으로 ‘새로고침’ 되는 것도 문제였다. 결제 수단 선택부터 개인 정보 입력까지 다시 해야 한다. 결국 최종 결제까지 걸린 시간은 정확히 ‘11분’이었다.

오류 메시지가 안 뜨는 경우를 가정해 다시 접속·시도했다. 오류 없이도 6~7분이 걸렸다. 현재 화면을 검은색으로 만드는 팝업창이 인터넷 속도를 느리게 한다. 팝업을 차단한 PC는 이런 설정도 바꿔 줘야 한다. 카드사마다 요구하는 ‘.exe’도 달라 다른 카드로 결제할 땐 이런 과정을 반복해야 한다.

같은 날 아마존에서 똑같이 카드로 직접구매(직구)를 시도했다. 결제까지 ‘1분’도 채 안 걸렸다. 어떤 별도 프로그램 설치도 필요치 않았다. 상품 선택 직후 결제 화면으로 넘어가면 팝업창이 아닌 같은 창에서 해외에서 통용되는 카드 정보와 주문자 정보만 입력하면 됐다. 오랜 기간 국내 온라인 소비자들을 괴롭히던 ‘액티브X’는 줄어들었다.

박근혜 대통령이 2014년 3월 규제개혁 회의에서 ‘천송이 코트’를 언급하면서 “불필요한 금융규제 수단을 개선할 것”을 지시한 게 계기가 됐다. 이어 정부는 핀테크 활성화의 걸림돌로 지적된 ‘인터넷뱅킹 때 액티브X를 이용한 각종 보안 프로그램 설치 의무화’와 ‘공인인증서 사용 의무화’ 등의 규제를 철폐했다.

미래창조과학부 관계자는 “규제 철폐 후 국내 주요 웹사이트의 50%, 온라인쇼핑몰의 80% 이상에서 액티브X를 제거했다”고 설명했다.

| “소비자에 책임 떠넘기지 말고, 업체 스스로 보안기술 강화를”

한국인터넷진흥원에 따르면 2012년엔 국내 전체 웹사이트의 80% 이상(해외는 5%가량)이 액티브X를 쓰고 있었다. 2017년까지 주요 웹사이트 100곳 중 90곳에서 액티브X를 제거한다는 게 미래부의 목표다. 그러나 ‘11분 대 1분’의 차이에서 보듯 실제 소비자가 체감하는 변화는 미미하다. 액티브X만 줄었을 뿐 ‘.exe’는 남았다. 이런 결과는 보안사고가 발생했을 때 책임을 소비자에게 떠넘기는 국내 기업들의 ‘책임 회피’ 관행이 영향을 미쳤다.

예를 들어 ‘.exe’ 프로그램은 금융사고 발생 시 “우리는 사용자가 PC에 보안 프로그램을 깔도록 해 사고 방지에 최선을 다했지만 사용자 PC나 프로그램상의 문제로 해킹이 발생한 것”이라며 책임을 소비자에게 떠넘길 근거가 된다. 공인인증 또한 소비자에게 ‘내가 직접 인증했기 때문에 사고가 나도 내 책임이 있음을 부인할 수 없다’는 의미를 주는 역할을 한다는 게 전문가들의 지적이다.

김기창 고려대 법학전문대학원 교수는 “국내 금융거래 보안기술은 송금인의 신원 확인과 보안 프로그램 설치로 ‘할 일을 다 했다’고 여기는 수준에 머물고 있다”고 지적했다. 반면 전 세계 2억 명이 사용하는 미국의 결제서비스 페이팔의 경우 회사가 보안에 대한 우선 책임을 진다. 공인인증이 없어도 본인인증 같은 절차를 알아서 진행·검증한다.
 
알리바바(중국)의 ‘알리페이’도 마찬가지다. 계정 하나로 단번에 결제되는 간편성을 보장하되 해킹 등으로 인한 사고가 최소화되도록 서버 보안에 철저하다. 아마존·이베이 등은 거래 중 이상징후를 미리 발견하고 경고하는 이상거래탐지시스템(FDS)을 채용하고 있다. 물론 현장에서 일정 부분 개선되고 있는 것도 사실이다. 1년 사이 ‘.exe’를 안 깔아도 되는 간편결제서비스와 ‘앱카드’ 등이 속속 도입됐다.

이현승 소프트웨어정책연구소 법·제도 연구팀장은 “정부 정책의 초점이 ‘액티브X 제거’에서 간편결제 같은 ‘모바일 중심의 솔루션 보편화’와 민간에 대한 ‘보안기술 감독 강화’ 등으로 옮겨질 필요가 있다”고 지적했다.

이창균 기자 smilee@joongang.co.kr