“웃돈 35만원” 오디세이 암표 막는 ‘얼굴 인증’ 대세 됐지만…갈 길 먼 ‘보안 대책’

입력 2026-09-09 17:40:00 수정 2026-09-09 17:26:01

토스 ‘페이스패스’ KT위즈·롯데·놀 등 적용

아직까지 개보위 사전적정성 별도 신청 안 해

전문가 “전 구간 보안 점검해야”

[헤럴드경제=차민주·이준영 기자] “영화 ‘오디세이’ 티켓 35만원에 팝니다” (중고 거래 플랫폼 게시글 中)

최근 중고거래 플랫폼에서 인기 영화의 ‘암표 판매’가 성행하는 가운데, 이를 막을 대안으로 얼굴인식 서비스 도입이 확산하고 있다. 얼굴 정보는 일반 개인정보보다 유출 시 미칠 파장이 크다는 우려가 크지만, 개인정보 유출에 대비한 사전 조치는 충분하지 않다는 지적이 나온다.

9일 정보기술(IT) 업계에 따르면 최근 영화 ‘오디세이’ 티켓값을 중고 거래 플랫폼에서 고가에 판매하는 등 암표 거래가 확산하면서 스포츠 경기장, 공연장 등에서 얼굴인식 서비스 도입이 확대되고 있다.

토스의 얼굴인식 서비스 ‘페이스패스’가 대표적이다. 이는 이용자가 사전 등록한 얼굴 정보를 활용해 별도 티켓이나 신분증 없이도 본인 확인을 할 수 있는 서비스다.

페이스패스는 빠른 속도로 확산하고 있다. 프로야구 구단 kt위즈는 올해부터 페이스패스를 도입해 관중 입장을 돕고 있다. KT에 따르면 현재 시즌권 보유자를 대상으로 시범 운영 중으로, 최소 500명의 팬이 페이스패스를 이용 중이다. 이 밖에도 롯데 자이언츠 구단과 놀(NOL), 에듀OK 등이 해당 기술을 사용하며 활용 범위가 넓어지는 추세다.

앞서 토스는 지난 5월 페이스패스의 적용 범위를 연령 확인과 포인트 적립으로 확대하기도 했다. 공연장·헬스장 입장 확인을 넘어 오프라인 가맹점 전반으로 사업 영역을 넓히고 있단 평가가 나온다.

문제는 이 같은 확산에도 개인정보 유출에 대비한 조치가 충분하지 않단 지적이 잇따르고 있단 점이다.

주요 쟁점은 개인정보보호위원회(개보위)의 사전적정성 검토 여부다. 토스는 아직까지 개보위에 사전적정성 검토를 신청하지 않았다. 사전적정성 검토는 개보위가 사업자의 새 서비스를 대상으로 개인정보보호법 위반 소지가 없는지 검토하고, 필요한 보호조치를 마련하는 제도다.

개보위 관계자는 “토스로부터 페이스패스 사전적정성 검토 신청이 들어온 적 없다”고 밝혔다.

앞서 페이스패스는 지난해 10월 국정감사에서도 같은 사유로 지적을 받은 바 있다. 1년간 지속됐던 우려에도 사전 조치를 마련하지 않았던 점에서 개인정보 보호에 소극적이었다는 비판이 제기된다.

당시 이해민 전 조국혁신당 의원은 “놀티켓의 얼굴 패스 공지사항을 보면 해당 정보가 놀유니버스도 아닌 토스에 1년간 보관 후 폐기된다”며 “이용자가 놀티켓이나 하이브도 아닌 토스에 자신의 얼굴이 보관될 거라는 인식 자체가 없을 가능성이 높다”고 언급했다.

그러면서 이 의원은 “토스가 개보위에 사전 적정성 검토 승인을 받은 건 페이스패스가 아닌 페이스페이 사업에 대한 것”이라며 “토스는 페이스패스와 페이스페이 사업은 같은 기술을 사용했으나 다른 사업이라 설명했는데, 그렇다면 페이스패스에 대한 적정성 검토를 받아야 한다”고 강조했다.

토스는 얼굴 정보와 같은 개인정보는 별도 서버에서 관리 중이기에 문제가 없다는 입장이다. 토스 관계자는 “얼굴 정보는 ‘특징정보’로 변환한 뒤 암호화해 별도 서버에 저장하며, 기기 생산 업체를 비롯해 서비스 제휴 업체에도 개인정보를 공유하지 않는다”고 했다.

하지만 업계에서는 얼굴정보의 저장 위치만으로는 안면 인식 기술의 안정성을 담보할 수 없다는 우려가 나온다.

황석진 동국대 정보보호대학원 교수는 “단말기 내부에 얼굴 정보가 저장되는지만으로 우려를 불식시킬 수 없다”며 “현장 인증 과정에서 어떤 데이터가 생성되고 서버와 어떻게 통신하는지, 외부 침해를 막기 위한 보호 조치가 있는지 확인해야 한다”고 했다.

이어 “제조사의 카메라 접근 수준과 단말에 정보가 일시적으로 남는지, 원격 유지보수·AS 과정의 접근 가능성과 통신 보안 등도 점검해야 한다”고 지적했다.

BH소프트가 토스의 ‘페이스패스’를 활용해 출시한 얼굴인식 출결확인 서비스 [BH소프트 제공]

얼굴정보는 특성상 일반 개인정보보다 유출 시 위험이 크다는 평가도 나온다. 얼굴인식 기술을 활용하는 기업은 보다 촘촘한 대비책을 세워야 한다는 목소리가 커지는 이유다.

최경진 가천대 법학과 교수는 “얼굴정보는 비밀번호와 달리 한번 유출돼도 바꿀 수 없는 사실상 영구적인 정보”라며 “유출될 경우 개인 식별이나 인증 과정에서 오남용될 위험이 크다”고 말했다.

정부도 최근 얼굴 정보와 같은 생체인식정보의 보호 기준을 강화하고 있다. 개보위는 지난 7월 시행한 ‘개인정보의 안전성 확보조치 기준’에서 생체인식정보 등 인증정보를 저장하거나 정보통신망으로 송·수신할 시 안정성이 검증된 암호 알고리즘을 적용하도록 규정했다. 단말에서 서버로 정보가 전달되는 전 과정에 대한 보안 관리가 요구되는 셈이다.

chami@heraldcorp.com