NFC 결제는 어떻게 이루어지나요?

NFC 결제는 비접촉식 은행 카드, 휴대폰 또는 스마트워치를 호환되는 결제 단말기에 가까이 대는 방식으로 결제를 할 수 있게 해줍니다. NFC는 단거리 무선 연결을 담당하고, 카드 칩, 단말기, 결제 네트워크 및 은행이 실제 거래를 처리합니다.

카드를 터치하는 데는 단 1초밖에 걸리지 않지만, 그 짧은 시간 동안 여러 단계의 과정이 이루어집니다. 결제 기기는 단말기와 통신하고, 거래에 필요한 보안 데이터를 생성한 뒤, 은행 네트워크를 통해 결제를 전송하여 승인을 받습니다.

NFC 결제가 무엇인가요?

NFC(근거리 무선 통신)는 13.56 MHz 주파수 대역에서 작동하는 단거리 무선 기술입니다. 결제 분야에서 이 기술을 활용하면 결제 카드나 모바일 기기를 리더기에 삽입하지 않고도 POS 단말기와 통신할 수 있습니다.

EMV 비접촉식 결제는 비접촉식 칩 카드와 NFC 기능을 지원하는 모바일 기기 모두를 통한 결제를 지원합니다. 카드나 기기를 단말기에 아주 가까이 대기만 하면 됩니다.

일반적인 NFC 결제 수단으로는 비접촉식 직불카드 및 신용카드, Apple Pay, Google Pay, 그리고 결제 기능이 탑재된 스마트워치 등이 있습니다.

NFC 연결 자체로는 계좌 간에 자금이 이체되지 않습니다. NFC는 결제 기기와 단말기 간의 로컬 통신 경로를 제공할 뿐입니다. 그 외의 거래 절차는 일반적인 결제 인프라를 통해 처리됩니다.

NFC 결제는 어떻게 이루어지나요?

일반적인 비접촉식 카드 거래는 다섯 단계로 나눌 수 있습니다.

1. 단말기가 카드를 활성화합니다.

가맹점은 먼저 구매 금액을 입력하거나 확인합니다. 그러면 결제 단말기가 비접촉식 리더기 주변에 무선 주파수 장을 생성합니다.

비접촉식 실물 은행 카드는 별도의 배터리가 필요하지 않습니다. 카드 내부의 안테나가 단말기에서 방출되는 전자기장을 통해 에너지를 수신하여 칩이 작동하는 데 필요한 전력을 공급합니다.

따라서 비접촉식 카드는 때로는 지갑 속에 수년 동안 방치되어 있어도, 터치하기만 하면 단말기와 통신할 수 있습니다.

휴대폰과 스마트워치는 자체 전원을 갖추고 있다는 점에서 다르지만, 결제 단말기와 통신할 때는 여전히 동일한 단거리 비접촉식 인터페이스를 사용합니다.

2. 카드와 단말기가 통신을 수립한다

카드가 단말기의 통신 범위에 들어오면, 단말기와 카드 간에 통신이 시작됩니다.

비접촉식 결제 카드는 일반적으로 ISO/IEC 14443 표준을 기반으로 한 기술을 사용합니다. 이후 EMV 사양은 결제 애플리케이션과 단말기가 거래 처리에 필요한 정보를 어떻게 교환하는지를 정의합니다.

단말기는 사용 가능한 결제 애플리케이션을 식별하고 EMV 거래를 시작합니다. 이 시점에서 카드는 단순히 저장된 카드 번호를 전송하는 것 이상의 작업을 수행하고 있습니다.

3. 카드가 거래 데이터를 생성합니다.

결제 칩에는 결제 카드 시스템의 일환으로 발급된 인증 정보와 암호화 정보가 저장되어 있습니다.

거래가 진행되는 동안, 이 시스템은 해당 결제 건에 특화된 보안 데이터를 생성하기 위해 이러한 인증 정보를 사용합니다. EMV에서는 이를 일회용 보안 코드 또는 암호문이라고 설명합니다. 매번 동일한 고정된 보안 코드를 사용하는 대신, 새로운 거래가 발생할 때마다 새로운 값이 생성됩니다.

또한 해당 거래에는 구매 금액 및 기타 거래 매개변수와 같이 단말기에서 제공된 정보가 포함될 수 있습니다.

4. 거래가 승인 절차를 위해 전송됩니다.

단말기는 카드와 통신을 마친 후, 결제 정보를 금융 네트워크로 전송합니다.

간단히 정리하면 경로는 다음과 같습니다:

카드 또는 휴대폰 → POS 단말기 → 가맹점의 결제 대행사/결제 처리업체 → 카드 네트워크 → 발급 은행

발행 은행이란 고객의 카드를 관리하는 은행 또는 금융 기관을 말합니다.

이 시스템은 거래 정보를 수신하고, 결제를 승인할지 여부를 결정하는 데 필요한 검증을 수행합니다. 여기에는 결제 인증 정보 및 암호화 데이터의 유효성 확인과 계좌 및 거래 상태 확인 등이 포함될 수 있습니다.

5. 승인 또는 거절 결과가 터미널로 돌아온다

발행사는 결제 네트워크를 통해 결정을 회신합니다.

승인되면 POS 단말기가 결제를 확정합니다. 거절되면 단말기는 그에 상응하는 응답을 수신합니다.

전체 거래 과정은 대개 몇 초 안에 끝납니다.

금융 기관 간의 자금 정산은 별도로 이루어집니다. 단말기를 통한 결제는 주로 거래 인증 및 승인 절차를 처리할 뿐, 한 은행 계좌에서 가맹점 계좌로 자금을 즉시 이체하는 것은 아닙니다.

NFC 결제를 하려면 인터넷 연결이 필요한가요?

단거리 NFC 결제 자체는 고객의 휴대폰에서 셀룰러 또는 Wi-Fi 연결을 필요로 하지 않습니다. 그러나 일반적인 가맹점 결제 단말기는 온라인 승인을 요청하기 위해 인수사 또는 결제 처리업체에 접속해야 합니다. 일부 결제 환경에서는 특정 규칙에 따라 제한적인 오프라인, 지연 처리 또는 저장 후 전송 처리를 지원할 수 있습니다.

비접촉식 은행 카드 안에는 무엇이 들어 있을까요?

비접촉식 직불카드나 신용카드는 특수한 비접촉식 스마트 카드입니다.

플라스틱 카드 내부에는 보안 칩과 안테나라는 두 가지 중요한 구성 요소가 있습니다. 안테나는 일반적으로 카드의 상당 부분을 둘러싸고 있어 단말기에서 생성되는 전자기장과 결합할 수 있습니다.

이 칩에는 결제 애플리케이션과 결제 거래에 필요한 보호 정보가 포함되어 있습니다. 이 칩은 단순히 읽기 가능한 메모리처럼 작동하는 대신 암호화 연산을 수행할 수 있습니다.

이는 또한 카드 앞면에 보이는 칩 접점이 여전히 정상적으로 작동하더라도 안테나가 손상되면 비접촉 결제가 중단되는 이유를 설명해 줍니다. 금속 접점을 통한 접촉식 결제와 비접촉 결제는 칩과 통신하기 위해 서로 다른 물리적 인터페이스를 사용하기 때문입니다.

그렇다면 비접촉식 은행 카드는 NFC 카드?

일반적인 용도로는 그렇습니다. 이 카드는 13.56 MHz 주파수에서 NFC/비접촉식 통신에 참여하는 카드입니다. 좀 더 정확히 말하자면, 이 카드는 범용 NFC 태그라기보다는 EMV 비접촉식 거래를 위해 제작된 보안 결제용 스마트 카드입니다.

NFC 결제 시 어떤 정보가 교환되나요?

때때로 비접촉식 카드는 단순히 “카드 정보를 전송할 뿐”이라고 말하기도 합니다. 하지만 이러한 설명은 그 과정의 가장 중요한 부분을 간과하고 있습니다.

거래 과정에서 일부 결제 정보가 전송될 수 있습니다. 예를 들어, 비자(Visa)는 자사의 비접촉식 카드가 계좌 번호, 유효 기간, 그리고 대면 거래 시마다 변경되는 일회용 코드를 전송할 수 있다고 밝히고 있습니다.

중요한 차이점은 비교적 정적인 계정 정보와 동적인 거래 보안 데이터 사이에 있습니다.

계좌 정보는 결제 계좌를 식별합니다. 동적으로 생성된 암호화 값은 발행자가 해당 거래가 유효한 결제 인증 정보에서 비롯된 것인지, 그리고 거래 데이터가 유효한지를 판단하는 데 도움이 됩니다.

따라서 탈취된 비접촉식 거래 정보는 다른 기기에 새로운 EMV 비접촉식 거래를 위해 단순히 다시 제시할 수 있는 재사용 가능한 암호문을 제공하지 않습니다. 보안 가치는 개별 거래에 묶여 있습니다.

그렇다고 해서 결제 정보를 비기밀 정보로 취급해야 한다는 뜻은 아닙니다. 이는 EMV 비접촉식 보안이 단순히 카드 번호를 비밀로 유지하는 것만을 기반으로 하지 않는다는 의미입니다.

휴대폰과 스마트워치에서 NFC 결제가 작동하는 방식

휴대폰은 동일한 유형의 비접촉식 결제 단말기와 통신할 수 있지만, 반드시 지갑에 보관된 실물 카드와 동일한 결제 인증 정보를 제시하는 것은 아닙니다.

모바일 지갑에서는 일반적으로 결제 토큰화 기술을 사용합니다.

예를 들어, Google Pay에 호환되는 카드를 등록하면 DPAN 또는 가상 계좌 번호라고도 하는 기기 토큰이 해당 기기에 할당될 수 있습니다. 구글에 따르면, NFC 결제 시 카드의 실제 주 계좌 번호 대신 이 기기 토큰이 단말기로 전송된다고 합니다.

Apple Pay도 이와 유사한 기기별 접근 방식을 사용합니다. 애플에 따르면, 기기 계정 번호(Device Account Number)는 기기의 보안 요소(Secure Element)에 저장되며, 거래별 동적 보안 데이터와 함께 사용됩니다. Apple Pay 거래가 진행되는 동안 기기에서 실제 결제 카드 번호는 전송되지 않습니다.

일반적인 결제 절차는 여전히 익숙합니다:

휴대폰 → NFC 결제 단말기 → 결제 네트워크 → 카드 발급사

변화하는 것은 기기가 제시하는 인증 정보입니다.

휴대폰과 스마트워치에서도 기기 수준의 카드 소지자 인증 기능을 추가할 수 있습니다. 기기 및 디지털 지갑에 따라, 사용자는 결제 정보가 사용되기 전에 Face ID, 지문, 비밀번호 또는 기타 승인된 방법으로 인증을 진행할 수 있습니다.

따라서 NFC 인터페이스는 모바일 결제의 한 부분에 불과합니다. 그 이면에서는 보안 하드웨어, 토큰 프로비저닝, 사용자 인증, 결제 네트워크 처리 등이 이루어지고 있습니다.

비접촉식 결제 시 항상 PIN 번호를 입력해야 하나요?

아닙니다. PIN 입력이나 다른 카드 소지자 인증 방법이 필요한지는 거래 금액, 발급사 규정, 단말기 설정, 결제 네트워크 규정, 현지 규정 등의 요인에 따라 달라집니다. 비접촉식 카드 거래 시 고객이 PIN을 입력해야 하는 경우도 있습니다. 휴대폰이나 스마트워치에서는 생체 인증이나 비밀번호 인증이 성공적으로 이루어지면, 일반적으로 CDCVM(소비자 기기 카드 소지자 인증 방법)으로 간주될 수 있습니다.

NFC 결제 카드 대 일반 NFC 태그

비접촉식 은행 카드와 일반 NFC 태그 둘 다 13.56 MHz 주파수에서 통신할 수는 있지만, 그 성능은 매우 다릅니다.

NTAG213, NTAG215, NTAG216과 같은 표준 NFC 칩은 NFC 포럼 타입 2 태그입니다. 이 칩들은 스마트 광고, 제품 상호작용, 인증 및 기타 NFC 활용 사례와 같은 애플리케이션을 위한 사용자 메모리를 제공합니다. 또한 호환되는 휴대폰에서 읽을 수 있는 NDEF 데이터 구조를 지원합니다.

예를 들어, NTAG213에는 다음과 같은 URL이 포함될 수 있습니다:

https://example.com/pay/order123

고객이 태그를 탭하면 휴대폰에서 해당 페이지가 열리고, 고객은 온라인 결제를 진행할 수 있습니다.

NFC 태그는 결제 과정을 시작하는 데 도움을 주었지만, 태그 자체는 EMV 은행 카드 거래를 수행한 것은 아닙니다. 태그는 단순히 휴대폰을 결제 서비스로 연결하는 데 필요한 데이터를 제공했을 뿐입니다.

이 같은 개념은 식당, 무인 키오스크, 제품 포장, 이벤트 시스템 또는 탭 동작 하나로 물리적 대상과 온라인 결제 페이지를 연결해야 하는 기타 응용 분야에서도 활용할 수 있습니다.

일부 기관에서는 폐쇄형 시스템에서 비접촉식 카드나 장치를 사용하기도 하는데, 이 경우 해당 자격 증명은 해당 기관 자체 플랫폼 내의 계정을 식별합니다. 대중교통 카드, 캠퍼스 시스템, 선불식 결제 시스템 및 이와 유사한 애플리케이션에서는 더 뛰어난 기능을 갖춘 보안 비접촉식 칩이 사용될 수 있습니다. 이러한 시스템은 Visa, Mastercard 또는 기타 개방형 결제 네트워크에서 작동하는 일반 은행 카드의 발급과 혼동해서는 안 됩니다.

NFC 결제는 어떻게 보안이 유지되나요?

비접촉식 결제의 보안은 단순히 NFC의 짧은 판독 거리뿐만 아니라, 결제 인증 정보와 암호화 통신에 기반을 두고 있습니다.

거래별 암호문

EMV 칩 거래는 개별 거래에 대한 보안 데이터를 생성합니다. EMVCo는 이 암호문을 발행사와 단말기가 거래를 인증하는 데 도움이 되는 일회용 값으로 설명합니다.

누군가가 하나의 유효한 거래를 기록하면, 그 암호학적 값을 다른 거래의 유효한 암호문으로 단순히 재사용할 수는 없다.

보호된 암호화 키

유효한 결제 암호문을 생성하는 데 사용되는 키는 카드가 읽힐 때마다 공개적으로 전송되는 것이 아니라, 결제 인증 정보 내에 안전하게 보호됩니다.

발행사나 결제 네트워크는 거래 처리 과정에서 해당 정보를 활용하여 암호문을 검증할 수 있습니다.

모바일 기기에서의 토큰화

모바일 지갑은 실물 카드의 주 계좌 번호를 기기별 결제 토큰으로 대체함으로써 보안 수준을 한층 더 높입니다.

Apple Pay와 Google Pay는 모두 지원되는 비접촉식 결제에 기기별 결제 인증 정보를 사용합니다. 따라서 기기 인증 정보를 분실하더라도 해당 계정에 충전하는 데 사용된 원래 카드 번호를 공개할 필요가 없습니다.

이러한 보안 인증 정보, 동적 거래 데이터, 발급사 인증이 결합되어 있기 때문에, NFC 결제를 단순히 리더기가 은행 카드를 스캔한 뒤 수신된 번호를 무조건 신뢰하는 것으로 이해해서는 안 됩니다.

NFC 결제는 어디에서 사용되나요?

호환되는 결제 단말기와 결제 인프라가 갖춰진 곳이라면 어디서나 동일한 기본 비접촉식 결제 절차를 이용할 수 있습니다.

소매점과 식당이 가장 친숙한 예시입니다. 비접촉식 단말기는 자판기, 주차 시스템, 셀프 서비스 키오스크 및 기타 무인 결제 지점에서도 흔히 볼 수 있습니다.

대중교통도 주요 사용처 중 하나입니다. 일부 시스템은 일반 비접촉식 은행 카드나 모바일 지갑을 개찰구에서 직접 인식합니다. 이러한 시스템은 은행에서 발급한 기존 결제 수단을 사용하기 때문에 흔히 ‘오픈 루프(open-loop) 시스템’이라고 불립니다.

그 밖의 교통, 캠퍼스, 숙박 및 행사장 시스템에서는 자체 카드나 출입증을 발급합니다. 이러한 것들은 다음과 같습니다. 폐루프 운영자가 해당 자격 증명과 그 뒤에 있는 계정을 관리하는 시스템입니다.

두 가지 모두 비접촉식 기술을 사용할 수 있지만, ‘탭’ 동작의 기반이 되는 금융 시스템에 따라 카드나 기기가 실제로 무엇을 할 수 있는지가 결정됩니다.

결론

NFC는 카드, 휴대폰 또는 스마트워치가 결제 단말기와 통신할 수 있도록 하는 무선 연결 기능을 제공합니다. 결제 칩이나 모바일 지갑이 보안 인증 정보를 제공하면, 단말기는 해당 거래 정보를 금융 네트워크로 전송하고, 발급사는 승인 여부를 결정합니다.

프로젝트에 NFC 기술을 선택할 때에도 이러한 역할 분담은 중요합니다. 프로그래밍이 가능한 NFC 태그는 고객을 결제 페이지나 기타 디지털 서비스로 연결해 줄 수 있는 반면, 은행 카드 직접 결제는 전용 결제 시스템의 안전한 인증 정보와 인프라가 필요합니다.