사기를 더 많이 잡으면 왜 정상 고객도 더 많이 막힐까?

지난 글에서는 은행이 고객의 마음이 아니라 거래에 남은 신호로 위험을 판단한다는 점을 살펴봤다.

먼저 분명히 해둘 것이 있다. 이 글에 나오는 거래 수와 탐지 결과는 원리를 설명하기 위해 만든 가상 데이터다. 실제 은행의 거래량, 탐지 규칙, 의심 기준이나 운영 성과를 의미하지 않는다.

이제 가상의 은행이 사기를 더 많이 잡기 위해 의심하는 범위를 넓혔다고 생각해 보자.

사기 20건을 더 잡는 대신 정상 고객 80건을 더 불편하게 한다면 더 좋은 시스템일까?

사기를 더 잡았으니 좋아졌다고 말하고 싶을 수 있다. 하지만 추가 인증을 요구받거나 이체가 보류된 정상 고객까지 생각하면 답은 단순하지 않다.

이 글의 핵심은 하나다. 더 많이 의심하면 더 많이 잡을 수 있지만 정상 거래도 함께 더 많이 걸린다. 진짜 개선은 고객 불편을 늘리지 않고 사기를 더 잘 찾아내는 것이다.

은행은 어디부터 개입해야 할까?

은행의 이상금융거래탐지시스템(Fraud Detection System, FDS)은 처음 사용하는 기기인지, 평소보다 이체 금액이 큰지, 새로운 계좌로 보내는지 같은 신호를 살펴볼 수 있다.

하지만 이런 신호 하나만으로 사기라고 단정할 수는 없다. 휴대폰을 바꾼 정상 고객도 있고, 전세금처럼 평소보다 큰돈을 처음 보는 계좌로 보내야 하는 고객도 있기 때문이다.

그래서 시스템은 여러 신호를 종합해 어떤 거래를 먼저 확인할지 정한다. 그리고 어느 정도 의심스러운 거래부터 은행이 개입할지 경계를 둔다.

이 경계를 “개입을 시작하는 의심 기준선”이라고 하자. 기술 문서에서는 이를 Threshold라고 부른다.

기준선보다 위험해 보이는 거래에는 추가 인증을 요청하거나, 고객에게 이체 목적을 다시 확인하거나, 잠시 이체를 보류하는 조치를 적용할 수 있다. 개입이 곧바로 영구적인 차단을 뜻하는 것은 아니다.

사기를 더 많이 찾고 싶다면 기준선을 낮출 수 있다. 그러면 이전에는 통과했던 거래 가운데 일부도 새롭게 확인 대상에 들어온다.

문제는 그 안에 사기 거래만 들어오는 것이 아니라는 점이다. 정상 거래와 사기 거래가 비슷한 흔적을 남길 수 있기 때문에 의심 범위를 넓히면 두 종류가 함께 늘어난다.

가상 거래 1만 건에서 기준선을 낮춰보면

설명을 위해 거래 1만 건이 발생한 가상의 상황을 만들었다. 이 가운데 실제 사기는 100건이고 정상 거래는 9,900건이라고 가정한다.

아래 숫자는 모두 같은 가상 거래를 두 가지 기준선으로 판단한 설명용 결과다. 실제 금융회사의 수치가 아니다.

결과	높은 기준선	낮은 기준선
잡아낸 사기 거래	70건	90건
놓친 사기 거래	30건	10건
개입한 정상 거래	20건	100건

기준선을 낮추자 잡아낸 사기는 70건에서 90건으로 늘었다. 이전보다 사기 20건을 더 찾아낸 것이다.

반면 정상 거래에 잘못 개입한 수도 20건에서 100건으로 늘었다. 정상 고객 80건이 추가로 확인 대상이 됐다.

이 고객들은 비밀번호와 본인인증을 이미 마쳤는데도 추가 인증을 요구받을 수 있다. 급하게 보내야 할 이체가 보류되거나 은행의 확인을 기다려야 할 수도 있다.

따라서 “사기를 20건 더 잡았다”는 문장만으로 시스템이 좋아졌다고 결론 내릴 수 없다. 그 결과를 얻기 위해 정상 고객에게 어떤 불편을 얼마나 더 요구했는지도 함께 봐야 한다.

오탐과 미탐을 고객의 경험으로 보면

정상 거래를 사기로 의심해 개입한 경우를 오탐이라고 한다.

오탐을 겪은 고객은 추가 인증을 해야 한다. 확인이 끝날 때까지 이체가 보류될 수도 있다. 단순히 화면을 한 번 더 누르는 불편으로 끝날 수도 있지만, 급한 병원비나 계약금을 보내야 하는 상황이라면 같은 조치의 무게가 달라진다.

반대로 실제 사기 거래를 정상으로 판단해 통과시킨 경우를 미탐이라고 한다.

미탐이 발생하면 피해자의 돈이 사기범에게 넘어갈 수 있다. 범죄자금이 다른 계좌로 빠르게 이동하면 시간이 지난 뒤 되찾기도 어려워질 수 있다.

탐지율은 실제로 발생한 사기 가운데 시스템이 얼마나 찾아냈는지를 보여준다. 가상 사례에서 높은 기준선의 탐지율은 사기 100건 중 70건, 낮은 기준선은 100건 중 90건을 찾아낸 결과다.

탐지율이 높아지는 것은 중요하다. 그러나 그 숫자만 높이려고 모든 거래에 추가 인증을 요구하거나 오래 보류한다면 은행 서비스 자체를 쓰기 어려워진다.

오탐과 미탐은 단순한 통계상의 실수가 아니다. 하나는 정상 고객의 시간과 거래 기회를 빼앗고, 다른 하나는 실제 사기 피해로 이어질 수 있다.

더 많이 잡았다고 항상 더 좋은 시스템은 아니다

가상 사례에서 낮은 기준선은 분명 더 많은 사기를 잡았다. 동시에 더 많은 정상 고객을 확인 절차 안으로 끌어들였다.

그렇다고 높은 기준선이 항상 더 낫다는 뜻도 아니다. 고객 불편을 줄이겠다고 의심 범위를 지나치게 좁히면 막을 수 있었던 사기 거래를 그대로 통과시킬 수 있다.

어느 쪽이 나은지는 개입의 강도와 결과를 함께 봐야 한다. 추가 인증이 빠르게 끝나는지, 이체 보류가 얼마나 길어지는지, 확인이 필요한 거래를 은행이 제시간에 처리할 수 있는지가 중요하다.

놓친 사기가 만들 수 있는 피해도 살펴야 한다. 같은 한 건이라도 피해 금액과 회수 가능성, 피해가 다른 계좌로 번질 가능성은 다를 수 있다.

결국 은행은 두 질문을 동시에 물어야 한다.

사기 거래를 얼마나 놓치고 있는가?
정상 고객에게 얼마나 많은 추가 인증과 이체 보류를 요구하고 있는가?

사기를 많이 잡았다는 결과만 강조하고 정상 고객의 경험을 제외하면 실제 서비스의 품질을 제대로 설명할 수 없다.

같은 고객 불편으로 더 많이 잡아야 진짜 개선이다

기준선을 낮추는 것은 기존 시스템의 의심 범위를 넓히는 선택이다. 사기를 더 잘 구분하게 된 것이 아니라 더 많은 거래를 확인하기로 한 것에 가깝다.

시스템 자체가 좋아졌다고 말하려면 비교 조건을 고정해야 한다.

같은 수의 정상 거래에 개입하면서 사기를 더 많이 잡는다면 탐지가 좋아진 것이다. 같은 수의 사기를 잡으면서 추가 인증과 이체 보류를 줄여도 개선이라고 할 수 있다.

이를 위해서는 정상 거래와 사기 거래를 더 잘 구분할 수 있는 신호를 찾고, 잘못 작동한 규칙을 고치며, 애매한 거래에는 곧바로 강한 제한보다 추가 확인을 적용하는 과정이 필요하다.

추가 인증도 제대로 끝나야 의미가 있다. 확인 과정이 자주 실패하거나 결과가 너무 늦게 도착하면 정상 고객에게는 사실상 이체 차단과 다르지 않을 수 있다.

더 많이 의심해서 더 많이 잡는 것은 쉽다. 같은 고객 불편으로 더 많은 사기를 잡을 때 비로소 탐지가 좋아졌다고 말할 수 있다.

하지만 여기서 또 하나의 문제가 생긴다. 판단이 정확해도 이체가 끝난 뒤 결과가 도착하거나, 탐지 시스템의 장애 때문에 모든 이체가 함께 늦어진다면 좋은 시스템이라고 할 수 있을까?

다음 글에서는 이 질문에서 출발해 응답시간, 장애 격리와 대체 처리가 왜 탐지 결과만큼 중요한지 살펴본다.

이 시리즈의 이전 글

1편 — 왜 정상 이체가 갑자기 막힐까?
은행이 고객의 의도가 아닌 거래의 흔적으로 위험을 판단하는 이유를 설명한다.

이 시리즈의 다음 글

3편 — 정확해도 늦으면 실패다
응답시간, 장애 격리, timeout과 fallback이 필요한 이유를 설명한다.

참고 자료