은행 거래할 때마다 떠는 OTP 인증. "보안카드도 있는데 왜 또 해야 하지?" 하는 사람들이 있다. 사실 둘은 다른 부분을 지키고 있고, 동시에 써야 보안이 강해진다.
OTP와 보안카드, 실제로 뭐가 다른가
먼저 둘을 비교해 보자.
| 항목 | OTP | 보안카드 |
|---|---|---|
| 생성 방식 | 앱/문자로 실시간 생성 | 카드에 미리 인쇄 |
| 유효 시간 | 30초~10분 (아주 짧음) | 유효 기간 없음 |
| 재사용 | 불가능 (일회용) | 사용한 번호도 재입력 가능 |
| 탈취 위험 | 미리 알아낼 수 없음 | 사진 촬영/촬영 후 사용 가능 |
| 분실 시 | 기기만 잃으면 됨 | 카드 전체가 노출될 수 있음 |
보안카드는 물리적 카드 자체가 보안 도구고, OTP는 "지금 이 순간"에만 유효한 일회용 패스코드다. 이게 핵심 차이다.
보안카드 사진만으로 충분할까?
"보안카드 번호 사진 찍어두면 되지 않나?" 이 질문, 위험하다.
실제 사례를 보자. 요즘 피싱 피해 중 상당수는 이렇게 진행된다. 가짜 은행 사이트로 유도되고, 계좌 로그인 후 "보안카드 입력하세요" 팝업이 뜬다. 사용자가 보안카드 번호를 입력하는 순간, 범죄자는 같은 계좌로 대출을 신청하거나 송금을 한다.
보안카드 사진을 미리 찍어뒀다면, 피싱 사이트에 그대로 입력할 가능성이 높다. 게다가 카드를 분실하면 인쇄된 모든 번호가 노출된다. "다음 거래 때만 쓰면 되지"라는 보장이 없는 상황이 되는 것이다.
OTP는 어떨까. 거래하는 그 시간에만 유효하다는 게 핵심이다. 피싱 사이트에서 OTP를 요청받아도, 그 순간의 실제 OTP 코드를 입력해야 한다. 미리 탈취할 수 없다.
OTP가 공격자를 막는 방식
OTP의 강력한 점은 "지금 이 계좌 소유자가 이 거래를 승인했다"는 증거를 남긴다는 데 있다.
예를 보자. 어떤 직장인의 계좌 정보가 유출되었다고 치자. 사기꾼이 대출을 신청한다. 보안카드만 있다면, 사진이 있거나 입력 과정을 몰래 촬영했을 수 있다. 그런데 OTP까지 요구하려면? 사기꾼은 본인 휴대폰의 OTP 앱이나 문자로 받은 코드를 입력해야 한다. 불가능하다. (예금주의 휴대폰을 빼앗지 않는 한.)
실제로 많은 은행이 "보안카드 입력 + OTP 입력" 2단계를 요구한다. 보안카드가 1차 관문이고, OTP가 최종 관문이다.
OTP도 완벽하지 않은 이유
그렇다고 OTP만 있으면 안전한가? 그럴 리 없다.
스미싱 공격이 있다. "은행 OTP 인증" 같은 문자가 들어오고, 링크를 누르면 악성앱이 설치된다. 그 앱이 진짜 은행 앱인 척하며 OTP를 입력하도록 요구한다. 사용자가 입력한 OTP는 즉시 범죄자 손에 넘어간다.
또 피싱 입력도 있다. 거짓 은행 사이트에서 "보안을 위해 OTP 재인증이 필요합니다"라는 메시지로 OTP를 입력하게 한다. 사용자가 입력한 OTP를 범죄자가 실시간으로 빼앗아 본인의 거래에 쓴다.
악성앱 설치도 마찬가지다. 카뱅·토스 같은 앱도 OTP를 요구하는데, 악성 버전 앱을 깔았다면 OTP 입력이 해커에게 넘어간다.
이럴 때 보안카드가 2단계 역할을 한다. OTP를 빼앗겼어도, 보안카드 입력이 추가로 요구되면 범죄자는 손을 쓸 수 없다.
직장인이 실제로 해야 할 것
은행권의 권장은 명확하다. OTP와 보안카드를 모두 활성화하는 것이다.
추가로 챙길 것들:
- 비밀번호는 3개월마다 변경. 자동 계좌이체, 대출 한도 같은 설정을 자주 점검하자.
- 의심 거래 내역은 즉시 은행에 신고. "내가 이 거래를 승인하지 않았다"는 기록을 남겨야 나중에 피해 구제가 가능하다.
- 공용 와이파이에서 은행앱 쓰지 말 것. 피싱과 스미싱이 더 쉬워진다.
- 은행 공식 앱만 다운로드. 불법 복제 앱이나 유사 앱명에 속지 말자.
보안카드로 충분하다는 건 옛날 말이다. 지금은 OTP도 필수고, 둘 다 써야 한다.
한눈에 정리
| 항목 | OTP | 보안카드 | 결론 |
|---|---|---|---|
| 단독 사용 | 피싱/스미싱 위험 | 사진 촬영/카드분실 위험 | 둘 다 필요 |
| 조합 사용 | 2단계 인증으로 강화 | 1단계+2단계 방어층 | 권장 |
다음 할 일: 지금 바로 은행앱에 들어가 OTP와 보안카드 설정을 확인해보자. 혹시 한 가지만 활성화되어 있다면, 나머지도 켜라.
📊 데이터 출처
- 금융감독원 금융상품한눈에(finlife.fss.or.kr) — 은행 보안 정책 및 가이드라인
- 각 은행 보안 센터 및 고객 공지사항
- 금융감독원 사이버보안센터 피싱·스미싱 주의 안내
함께 보면 좋은 글
🛒 이 글과 어울리는 추천 상품
위 링크는 쿠팡파트너스 활동의 일환이며, 일정액의 수수료를 제공받을 수 있습니다.