.svg)
AI 솔루션 문의하기
금융앱에서는 정상적으로 로그인한 이용자라도 세션이 유지되는 동안 접속환경이나 이용 패턴에 변화가 발생하면 추가적인 본인확인을 요구하는 방식을 고려할 수 있습니다. 로그인 당시 인증을 완료했다는 사실만으로 세션 전체가 안전하다고 판단하기 어려운 경우가 있기 때문입니다. 예를 들어 로그인 이후 평소와 다른 금융 기능을 이용하거나 중요한 계정 설정을 변경하는 과정에서 추가적인 위험 신호가 나타날 수 있습니다. 이때 얼굴 본인인증을 다시 적용하면 현재 세션을 이용하고 있는 사람이 실제 계정 명의자인지 확인할 수 있습니다. 핵심은 모든 세션에 반복 인증을 적용하는 것이 아니라 위험도가 높아지는 특정 상황에서 재검증을 요청하는 것입니다.
고위험 세션을 구분하려면 단일 조건보다 로그인 환경과 이용 행동, 거래 요청 등 여러 정보를 시간 흐름에 따라 함께 분석하는 방식이 필요합니다. 새로운 기기에서 접속했거나 평소와 다른 환경에서 금융서비스를 이용하는 경우 추가적인 확인 요소가 될 수 있습니다. 이후 계좌정보 변경이나 이체처럼 중요한 기능이 연속적으로 실행된다면 위험 수준을 다시 평가할 수도 있습니다. 다만 새로운 기기나 특정 행동 하나만으로 이상 세션을 확정해서는 안 됩니다. 정상적인 기기 교체나 금융업무 때문에 평소와 다른 이용 패턴이 발생할 수도 있기 때문입니다. 여러 신호를 종합해 재인증이 필요한 시점을 판단하는 구조가 중요합니다.
재검증 단계에서는 현재 세션을 이용하는 사람의 얼굴과 기존 본인확인 정보가 일치하는지를 확인하는 방식을 적용할 수 있습니다. 서비스 환경에 따라 얼굴 비교와 함께 실시간성 확인이나 다른 인증수단을 조합할 수도 있습니다. 이때 얼굴 비교 결과는 신원확인을 위한 하나의 요소로 관리하고, 인증 성공만으로 이후 모든 거래가 정상이라고 판단하지 않는 것이 중요합니다. 또한 촬영 환경이나 카메라 상태 등에 따라 정상 이용자의 인증이 실패할 수 있으므로 인증 실패와 실제 명의자 불일치를 동일한 데이터로 취급하지 않는 구조가 필요합니다.
세션 중 재검증을 체계적으로 운영하려면 로그인부터 위험 신호 발생, 얼굴인증, 이후 이용까지의 정보를 연결할 수 있도록 데이터를 구성해야 합니다.
세션의 전체 흐름을 시간 순서대로 연결하면 어떤 상황에서 재인증이 발생했으며 이후 어떤 결과가 이어졌는지 분석할 수 있습니다.
고위험 세션 데이터를 구축할 때는 실제 이상 사례뿐 아니라 정상 이용자가 평소와 다른 행동을 보인 사례도 함께 포함하는 것이 중요합니다. 예를 들어 여행 중 새로운 기기로 금융앱에 접속하거나 평소보다 큰 금액의 거래를 진행하는 경우에도 유사한 위험 신호가 발생할 수 있습니다. 또한 얼굴인증 실패가 발생했다고 해서 반드시 계정 탈취를 의미하는 것은 아닙니다. 조명이나 카메라 각도, 얼굴 가림 등 기술적인 원인이 있을 수 있기 때문입니다. 따라서 위험 신호 발생 여부와 얼굴인증 결과, 최종 거래 확인 결과를 각각 구분해 기록하는 방식이 필요합니다.
세션 재검증의 효과를 확인하려면 얼굴인증 결과만 기록하기보다 재인증 요청 전후에 이용자의 행동이 어떻게 달라졌는지도 함께 살펴볼 필요가 있습니다. 예를 들어 특정 금융기능을 이용하는 과정에서 위험 신호가 발생해 얼굴인증을 요구했고 이후 정상적인 이용이 이어졌다면 해당 사례를 정상적인 재검증 사례로 축적할 수 있습니다. 반대로 재인증 이후에도 계정정보 변경이나 비정상적인 거래가 이어진다면 해당 세션의 접속환경과 인증 결과를 다시 검토할 수 있습니다. 이를 통해 재인증이라는 단일 이벤트가 아니라 세션 전체의 이용 흐름을 기준으로 데이터를 분석하는 방식을 마련할 수 있습니다.
재검증 과정에서는 얼굴 이미지나 생체정보와 같은 개인정보가 금융계정의 세션정보와 함께 처리될 수 있으므로 각각의 데이터에 대한 접근과 보관 기준을 구분할 필요가 있습니다. 인증에 필요한 원본 데이터와 최종 인증 결과를 동일하게 장기간 보관하기보다 서비스 목적에 따라 필요한 정보만 관리하는 방식을 고려할 수 있습니다. 또한 세션정보에는 접속환경과 이용행동 등 다양한 데이터가 포함될 수 있으므로 내부 접근권한을 세분화하고 불필요한 정보의 결합을 줄이는 것이 중요합니다. 재인증을 위한 데이터와 위험 분석을 위한 데이터를 목적에 맞게 구분하는 관리체계가 함께 마련돼야 합니다.
.svg)
.svg)
