비밀번호를 잊어서 계정에 접속하지 못해 발을 동동 구른 경험, 다들 한 번쯤 있으시죠? 사이트마다 다른 비밀번호 규칙에 인증 메일까지 기다리다 보면 몇 분이 훌쩍 지나가 버리곤 합니다. 구글이 이 오래된 불편함을 얼굴 동영상으로 해결하는 새로운 로그인 방식을 도입했습니다. 편리함 뒤에 따라오는 개인정보 문제는 어떻게 봐야 할지, 차근차근 짚어봤습니다.
비밀번호 분실, 왜 이렇게 자주 겪게 될까
비밀번호를 잊어본 적 없으신 분이 계실까요? 사이트마다 보안 정책이 달라서 어떤 곳은 특수문자 필수, 어떤 곳은 8자 이상, 조건이 제각각이라 동일한 패턴을 쓰기도 어렵습니다. 결국 비밀번호를 여러 번 틀려 계정이 잠기거나, 복구 코드를 저장해 두지 않아 낭패를 보는 경우가 흔합니다.
특히 새 기기로 교체하거나 휴대전화를 분실한 상황이라면 더 곤란합니다. 2단계 인증(2FA)을 설정해 놓으면 보안은 강해지지만, 인증 기기 자체를 잃어버리면 계정 접근이 사실상 막히는 딜레마가 생깁니다. 2FA란 비밀번호 외에 별도의 인증 수단을 한 번 더 거치는 방식으로, 보안은 높아지지만 그만큼 복구 절차도 복잡해진다는 특성이 있습니다.
해결책 — 얼굴 동영상 인증은 어떻게 작동할까
구글이 이번에 내놓은 얼굴 인증 동영상은 바로 이 틈새를 겨냥하고 있습니다. 기존 인증 수단을 모두 쓸 수 없는 최후의 상황에서, 얼굴로 본인임을 증명하겠다는 발상입니다. 계정을 정상적으로 사용할 수 있을 때 미리 짧은 영상을 등록해 두고, 나중에 잠긴 상황이 되면 새 영상을 찍어 대조하는 방식으로 작동합니다.
그렇다면 딥페이크는 걱정하지 않아도 될까
생성형 AI로 만드는 합성 영상의 완성도가 높아지면서, 얼굴 영상 인증이 오히려 새로운 취약점이 되는 건 아닐지 걱정이 앞설 수 있습니다.
구글은 이 문제를 라이브니스 디텍션(Liveness Detection) 기술로 대응합니다. 카메라 앞의 대상이 실제로 살아 있는 사람인지를 판별하는 기술로, 고개를 좌우로 돌리거나 끄덕이는 동작을 요구해 사전에 녹화된 영상이나 딥페이크와 구별합니다. 단순히 얼굴을 인식하는 것을 넘어 실시간 피드백을 요구하기 때문에, 정적인 사진을 이용한 사칭은 원천 차단됩니다.
구글이 공개한 방식을 정리하면 다음과 같습니다.
- 사전 등록된 얼굴 영상과 새 영상의 생체 특징값 대조
- 실시간 동작 요구를 통한 라이브니스 디텍션 적용
- 의심스러운 로그인 시도를 탐지하는 기존 보안 체계와 병행
다만 딥페이크 기술도 계속 발전하는 만큼 이 방어막이 영구적이라고 보기는 어렵습니다. 2023년 이후 얼굴 합성 기술은 실시간 영상 조작 단계까지 발전했다는 보고가 나오고 있어(출처: KISA 한국인터넷진흥원), 라이브니스 디텍션만으로 모든 위협을 막을 수 있다고 단정하기는 힘든 상황입니다. 얼굴 인증을 단독 수단으로 쓰기보다 기존 보안 체계와 함께 보조 수단으로 활용할 때 가장 효과적일 것으로 보입니다.
얼굴 정보, 한 번 유출되면 되돌릴 수 있을까
이 기능에서 가장 신중하게 봐야 할 부분은 생체정보의 비가역성입니다. 비밀번호는 유출되면 새로 바꾸면 그만이지만, 얼굴은 평생 단 하나입니다. 아무리 암호화해서 보관한다고 해도, 데이터 유출 사고가 발생하면 그 피해를 되돌릴 방법이 없다는 점은 예상보다 무겁게 받아들여야 할 문제입니다.
구글은 얼굴 동영상과 영상에서 추출한 페이셜 임베딩(Facial Embedding) 값을 암호화해 저장한다고 설명했습니다. 페이셜 임베딩이란 눈 간격, 코 위치, 윤곽선 등 수백 가지 특징을 수치 벡터로 변환한 데이터를 말합니다. 얼굴 사진 그 자체가 아니라 얼굴에서 뽑아낸 수학적 패턴을 저장하는 방식이지만, 원본 영상만 삭제해도 이 특징값이 남아 있다면 여전히 민감한 정보가 된다는 점은 짚고 넘어갈 필요가 있습니다.
국내에서도 생체정보를 포함한 개인정보 처리 기준은 개인정보보호법에 의해 별도로 엄격하게 규제받고 있습니다(출처: 개인정보보호위원회). 그런 만큼 얼굴 인증 기능을 이용하기 전에 구글 계정 설정에서 데이터 보관 기간과 삭제 방법을 먼저 확인하고, 불필요하다고 느끼면 즉시 등록 영상을 삭제하는 것이 현명한 선택입니다. 구글이 이용자가 언제든 계정 설정에서 등록 영상을 삭제할 수 있도록 해뒀다는 점은 긍정적으로 볼 만합니다.
편리함과 보안, 개인정보 보호 사이에서 어느 쪽에 무게를 두느냐는 결국 개인의 선택입니다. 다만 이 기능을 쓰기로 결정했다면 구글 개인정보 처리방침을 한 번 읽어보고 등록하는 것을 권합니다. 앞으로 생체인증이 더 많은 서비스로 확산될 가능성이 높은 만큼, 지금부터 생체정보를 어디에 얼마나 맡길지 기준을 세워두는 것이 필요한 시점입니다.