휴대폰 인증과 카드 인증, 요구하는 정보 범위가 어디까지 정상인가
빠른주소 모음에서 연결된 사이트에 들어가면 성인 인증 창이 두 갈래로 나뉜다. 하나는 통신사 본인인증(PASS, 문자인증)이고 다른 하나는 신용카드 인증이다. 두 방식은 요구하는 정보 범위가 다르기 때문에 이 차이를 알아야 화면에서 과도한 입력을 걸러낼 수 있다.
휴대폰 본인인증은 이름, 생년월일, 통신사, 전화번호 정도만 입력하고 통신사 앱이나 문자로 받은 인증번호를 넣으면 끝난다. 카드 전체번호나 비밀번호는 필요하지 않다. 반면 카드 인증은 본래 소액결제 승인을 거치는 방식이라 카드 앞 6자리와 유효기간 정도면 충분한데, 여기에 CVC 3자리와 카드 뒷자리 전체, 카드 비밀번호 앞 두 자리까지 입력란이 뜬다면 본인확인이 아니라 결제 승인을 노리는 화면일 가능성이 높다.
저녁 시간에 링크 모음 사이트에서 성인인증 버튼을 눌렀는데 화면이 "본인확인"이 아니라 "카드 등록"이라는 제목으로 바뀌고 16자리 카드번호 전체 입력란이 뜨는 경우가 실제로 있다. 이런 화면에서는 입력을 멈추고 창을 닫는 것이 맞다. 확인 기준은 단순하다. 입력란이 본인확인에 필요한 최소 항목을 넘어서는 순간 그 창은 인증창이 아니라 결제 유도창으로 봐야 한다.
국내 주소와 해외 서버 주소, 인증창 구조가 다르게 보이는 이유
같은 "성인 인증"이라는 이름이 붙어 있어도 국내에 서버를 둔 사이트와 해외에 서버를 둔 사이트는 인증창 구조 자체가 다르다. 국내 사이트는 정보통신망법과 청소년보호법 적용을 받기 때문에 공식 인증 모듈(PASS, 아이핀 등)을 그대로 붙여 쓰는 경우가 많고, 이 모듈에는 이동통신 3사 로고나 공식 인증기관 표기가 들어간다.
해외 서버를 쓰는 사이트는 국내법 적용을 받지 않기 때문에 공식 모듈 대신 자체 제작한 입력 폼을 띄우는 경우가 흔하다. 폼만 보면 국내 인증창과 비슷해 보이지만 실제로는 어떤 기관과도 연동되지 않은 단순 데이터 수집창일 수 있다.
이를 구분하는 순서는 다음과 같다. 첫째, 인증창 하단이나 상단에 공식 인증기관 로고가 있는지 본다. 둘째, 인증번호 입력 후 넘어가는 화면의 주소창 도메인이 통신사나 PASS 공식 도메인과 일치하는지 확인한다. 셋째, 로고도 없고 도메인도 낯선 임의 주소라면 공식 인증 절차가 아니므로 개인정보 입력을 중단해야 한다. 이 세 단계만 거쳐도 임의 폼인지 공식 모듈인지 상당 부분 구분된다.
"첫 달 무료" 결제창이 뜰 때 정상 결제와 구독 유도를 가르는 기준
성인 인증을 마치면 곧바로 "첫 달 무료" 또는 "이벤트 혜택"이라는 문구와 함께 결제수단 등록 화면이 뜨는 경우가 있다. 이 화면이 정상적인 유료 서비스 안내인지 구독 유도인지는 몇 가지 화면 요소로 구분할 수 있다.
- 결제 금액이 0원으로 표시되는데도 카드나 계좌 등록을 요구한다면, 이는 무료가 끝난 뒤 자동으로 유료 전환되는 구조일 가능성이 크다. 전환 시점과 전환 후 금액이 화면 어딘가에 작은 글씨로라도 표시되는지 확인해야 한다.
- 결제 대행사(PG사) 이름이 화면에 명시되어 있는지 본다. 이니시스, 토스페이먼츠, 나이스페이먼츠처럼 실제 존재하는 PG사명이 적혀 있으면 결제 자체는 추적 가능한 경로를 거친다는 뜻이고, "자체 결제 시스템"이라고만 적혀 있으면 추적이 어려운 구조다.
- 해지 방법이 전화 한 가지뿐이고 온라인 해지 버튼이 보이지 않는다면 해지를 어렵게 만드는 설계일 수 있으므로 가입 전에 해지 절차부터 확인하는 것이 순서다.
가입이 완료되면 문자나 이메일로 결제 내역 통보가 오는지도 확인 대상이다. 아무 통보 없이 결제만 되는 구조라면 다음 달 결제 여부를 스스로 매번 확인해야 하는 번거로움이 생긴다.
이름·생년월일 수집과 계좌·카드 수집, 피해로 이어질 가능성이 어떻게 갈리는가
성인 인증 화면에서 수집하는 정보는 크게 두 층위로 나뉜다. 이름, 생년월일, 성별 정도는 성인 여부만 확인하면 되는 최소 정보이기 때문에 이것만 수집하는 화면은 금전 피해로 이어질 가능성이 상대적으로 낮다.
반면 계좌번호, 카드 전체번호, 공동인증서 비밀번호, 계좌 비밀번호까지 요구하는 화면은 성인 여부 확인과는 아무 관련이 없는 항목이다. 이런 항목이 등장하는 순간 목적이 본인확인에서 금융정보 수집으로 바뀐 것으로 봐야 하고, 이후 피싱이나 파밍 피해로 이어질 가능성이 커진다.
판단 기준은 "이 입력란이 성인 여부 확인에 필요한가"라는 질문 하나로 좁힐 수 있다. 생년월일은 필요하지만 계좌 비밀번호는 성인 여부와 아무 상관이 없다. 입력란을 하나씩 이 질문에 대입해 보면 어디까지가 정상 범위이고 어디서부터 과도한 요구인지 구분이 된다. 관련 확인 기준은 jusominjok2.com에서도 별도로 정리되어 있다.
정기결제가 이미 등록된 상태라면, 해지 전에 어떤 화면부터 확인해야 하나
이미 결제가 한 번 이상 빠져나간 상태라면 무작정 카드사에 분실신고부터 하기보다 아래 순서로 먼저 확인하는 편이 빠르다.
- 문자나 이메일로 받은 결제 내역에서 가맹점명을 확인한다. 가맹점명은 실제 서비스 이름과 다르게 표기되는 경우가 많으므로 결제 내역에 적힌 그대로를 기록해 둔다.
- 카드사 앱이나 통신사 소액결제 내역에서 같은 가맹점명을 다시 검색해 결제 주기와 금액이 동일한지 대조한다.
- 가맹점명으로 등록된 고객센터 연락처가 있다면 해지 요청 전에 통화 내용을 메모하거나 화면을 캡처해 둔다. 이는 추후 결제가 계속될 경우 분쟁조정 신청에 쓰일 자료가 된다.
- 해지 요청 후 다음 결제일 이후에 실제로 결제가 멈췄는지 카드사 내역에서 재확인한다.
가맹점명이 카드사 앱에서 조회되지 않거나 연락이 닿지 않는 경우에는 카드사 분쟁조정 신청이나 금융감독원 민원 창구를 통해 결제 취소를 요청하는 절차로 넘어가야 한다. 이 단계까지 가지 않으려면 애초에 결제수단 등록 전 해지 조건을 먼저 확인하는 순서가 안전하다.
연령 확인 장치가 제대로 작동하는 사이트인지 구분하는 기준
같은 성인 인증 버튼이라도 뒤에 붙은 장치가 다르다. 제대로 된 연령 확인 장치는 최초 접속 시 생년월일이나 본인인증을 거치게 하고, 일정 시간(보통 수 시간에서 하루 단위)이 지나면 세션이 만료되어 재인증을 요구한다. 또한 "19세 이상만 이용 가능"이라는 고지 문구와 함께 근거 법령이 함께 표시되는 경우가 많다.
반면 보호 장치가 형식적인 사이트는 첫 화면에서 "확인" 버튼 하나만 누르면 끝나고, 생년월일 입력란이나 실제 인증 절차 자체가 없다. 재방문 시에도 세션 만료 없이 계속 접속이 유지된다면 이는 실질적인 연령 확인 기능이 없다는 뜻이다.
구분하는 순서는 다음과 같다. 첫째, 최초 접속 화면에 생년월일 입력란이나 본인인증 절차가 실제로 존재하는지 본다. 둘째, 같은 기기로 몇 시간 뒤 재접속했을 때 인증을 다시 요구하는지 확인한다. 셋째, "19세 이상" 문구 옆에 근거 법령이나 운영 주체 표기가 있는지 본다. 이 세 가지가 모두 없다면 형식적인 확인 버튼만 있는 구조로 판단하면 된다.