OTP 없이 해도 괜찮을까? 보안카드와의 진짜 차이

직접 온라인뱅킹을 하거나 계좌이체를 할 때, 은행에서는 "OTP를 입력하세요" 또는 "보안카드의 숫자를 입력하세요"라고 묻는다. 둘 다 중요해 보이지만, 정확히 뭐가 다른지는 헷갈리는 게 당연하다. 사실 이 둘은 완전히 다른 기술로 작동하며, 각각 다른 약점을 가지고 있다. OTP 없이 보안카드만 써도 괜찮을까? 결론부터 말하면, 둘 중 하나만 쓰는 것보다 함께 쓰는 게 훨씬 더 안전하다.

OTP와 보안카드의 기본 차이

OTP는 시간에 따라 바뀌는 번호

OTP(일회용 비밀번호)는 "One-Time Password"의 약자다. 이름처럼 한 번 쓰면 다시는 같은 번호를 볼 수 없다. 보통 30초마다 새로운 6자리 번호가 생성된다. 아무리 OTP 번호가 탈취돼도, 그 번호는 이미 지나간 거다. 은행이 요청하는 정확한 시점의 번호를 입력해야만 거래가 성공한다.

OTP는 시간 기반(TOTP) 또는 **카운터 기반(HOTP)**으로 생성된다. 대부분의 한국 은행은 모바일 앱으로 OTP를 제공한다. 몇몇은 USB 키 형태의 OTP 생성기를 준다.

보안카드는 정해진 번호들의 조합

보안카드는 달라. 카드에 적혀 있는 숫자들은 처음부터 정해져 있다. 은행이 특정 좌표를 요청하면 "3행 2열의 숫자는?"이라고 물어보고, 당신은 그 칸의 숫자를 입력한다. 보안카드는 카드 자체가 물리적으로 존재하거나, 온라인뱅킹 화면에 이미지로 뜬다.

보안카드의 장점은 간단하다는 것. 특별한 앱을 깔 필요도, USB를 들고 다닐 필요도 없다. 하지만 문제는 "정해진 번호"라는 점이다.

보안카드만으로 부족한 이유

보안카드에는 보통 100개~200개 정도의 숫자가 저장돼 있다. 그런데 만약 보안카드 이미지 전체가 노출된다면? 해킹이나 피싱으로 전체 카드가 노출되면, 모든 좌표 조합이 드러난다. 그럼 거래를 완료하는 데 아무 장애물도 없게 된다.

실제로 몇 년 전 있었던 대형 금융사 해킹 사건들을 보면, 보안카드 정보가 대량 유출되는 일이 종종 있었다. 특히 스마트폰이 보안 위협에 노출되거나 컴퓨터에 악성코드가 심어진 경우, 보안카드 이미지를 저장된 모습 그대로 탈취당할 수 있다.

또한 피싱 사이트에 접속했을 때도 위험하다. 가짜 은행 사이트가 보안카드 입력을 요청하면, 그걸 믿고 숫자를 입력할 수도 있다. OTP라면? 30초 후에는 쓸모없는 숫자가 되므로, 해커가 나중에 써먹을 수 없다.

왜 계좌 보안이 중요한가

실제로 신용대출 시장을 보면 얼마나 많은 금액이 오가는지 알 수 있다. 평균금리만 해도 꽤 높은 편이다:

이런 대출이 개인의 계좌를 통해 실행되는데, 만약 계좌가 해킹돼 무단으로 대출을 신청당하거나, 돈이 빼가는 상황이 생긴다면? 보안 수단은 하나보다 둘이 낫다는 건 당연하다.

OTP도 완벽하지는 않다

그렇다면 OTP만 쓰면 충분할까? 이것도 아니다. OTP를 생성하는 스마트폰이 해킹되거나, 악성코드가 심어지면 OTP 번호 자체를 탈취당할 수 있다. 또한 OTP를 요청받는 화면이 진짜 은행 사이트인지, 가짜 피싱 사이트인지 구분하지 못한다면, OTP를 입력하는 순간 거래가 승인된다.

OTP 단독으로는 모든 위협을 제거할 수 없다는 점이 문제다. 대신 OTP와 보안카드를 함께 쓸 때, 약점들이 상호보완된다.

둘 다 써야 하는 이유

많은 은행에서는 이미 두 가지를 모두 요구하고 있다. 예를 들어 계좌이체를 할 때, OTP를 입력한 후 추가로 보안카드 번호를 묻기도 한다(또는 반대 순서). 이렇게 "다층 인증"을 쓰는 이유는 간단하다.

보안카드만 탈취당해도 OTP가 있으면 막을 수 있고, OTP만 알아내도 보안카드가 없으면 거래를 완료할 수 없다. 두 개를 동시에 우회하려면 해커가 훨씬 더 정교한 공격을 벌여야 한다.

실제로 금융감독 관계에서도 "단일 인증만으로는 부족하다"고 권고하고 있다. 은행마다 상이하지만, 큰 금액의 이체나 중요한 변경 사항에는 이중 인증을 의무화하는 추세다.

내 계좌에 맞는 선택

자신의 거래 규모와 빈도에 따라 우선순위는 달라진다. 월급 통장처럼 자주 조회하지만 이체는 거의 안 하는 계좌라면, 최소한 보안카드라도 등록해두자. 투자나 거액 이체를 자주 하는 계좌라면, 반드시 OTP를 설치하고 보안카드도 함께 준비해야 한다.

또한 공공 와이파이를 자주 쓰거나 카페에서 온라인뱅킹을 자주 한다면, 악성코드 감염 위험이 높다. 이 경우 "생체인증(지문·얼굴) + OTP + 보안카드"처럼 보안 수단을 최대한 다양하게 갖춰두는 게 좋다.

한눈에 정리

지금 은행 앱을 열어 두 가지 인증 방식을 모두 등록했는지 확인해보자. OTP 앱이 없다면 지금 바로 설치하고, 보안카드가 만료됐다면 재발급 신청하자. 한두 분이면 충분하다.

---

🛒 이 글과 어울리는 추천 상품

• 도서 쿠팡에서 보기 →
• 다이어리 쿠팡에서 보기 →
• 독서등 쿠팡에서 보기 →

위 링크는 쿠팡파트너스 활동의 일환이며, 일정액의 수수료를 제공받을 수 있습니다.