일본 금융청, 2027년 4월 이전 비트코인(BTC) 거래소 IC칩 본인확인 조기 전환 촉구

금융청 공지, 칩 판독 조기 전환 요구

일본 금융청은 10월 9일 금요일, 은행·증권사 및 기타 규제 대상 기관들에 원격 본인확인에서 신분증 사진 업로드 방식에 의존하지 말고 2027년 4월 1일의 법정 시한을 기다리지 않고 IC칩 판독으로 전환하라는 내용의 공지를 발부했다. 기관 사이트에 게시된 이 공지는 계좌 개설을 포함한 모든 비대면 본인확인을 포괄하며, 폐지 대상이 된 관행도 명확히 짚었다. 고객이 운전면허증이나 주민표 등를 촬영해 사업자에게 이미지로 보내는 방식이다. 범죄수익이전방지법 개정 시행규칙에 따르면 이 방식은 2027년 4월 1일 폐지되며, 이후 IC칩 판독이 원칙이 된다. 공지는 법정 기한을 그대로 두고 전환 시점을 각 사업자의 판단에 맡겼지만, 금융청은 칩 판독이 위조 대응에 극히 효과적이라고 평가하며 상황이 허락하는 한 최대한 빨리 움직일 것을 요구했다. 비트코인(BTC) 가격은 이 발표에 뚜렷한 반응을 보이지 않았다. 이번 조치는 거래 규칙이 아니라 컴플라이언스 절차를 바꾸는 것이기 때문이다. 발화점은 고객 파일과 신분증 이미지가 공격자에게 유출된 일련의 침해 사고다. 공지는 특정 사건을 지목하지 않지만, 그 패턴은 기록으로 남아 있다. 렌터카 공유 서비스 Times Car의 모회사 Park24는 9월 29일, 운전면허증·주소 증빙 서류·학생 요금제의 학생증·가족 요금제의 가족 서류를 포함해 약 160만 장의 신분증 이미지가 유출됐다고 공시했다. 같은 시기 닛폰렌터카도 회원 데이터 유출을 인정했다. 사업자들이 전환을 마칠 때까지 금융청은 제출된 서류 이미지와 고객 얼굴 사진의 이상 여부를 재점검하도록 요구한다. 사칭 기법이 계속 정교해지고 있다는 판단 때문이다. 공지는 또 두 가지 사이버보안 요구를 담고 있다. 사업자들은 같은 날 내각 사이버보안본부가 발령한 경보를 반영해 제3자 위험 관리와 침해사고 대응 체계를 포함한 방어 태세를 점검하고, 위험도에 따라 취약점을 보완하며, 수사 과정에서 공개되는 공격 기법을 방어 설계에 반영해야 한다. 아울러 기존에 지시된 단기 대책과 함께 금융권 사이버보안 가이드라인도 계속 적용하도록 했다. 이 단기 대책은 급변하는 AI 기반 위협에 대응하기 위해 이미 명령된 것이다.

규제 범위 안에 들어오는 암호화폐 거래소

거래소는 이 요구의 정중앙에 놓여 있다. 금융청의 2024년 10월 사이버보안 가이드라인은 은행·증권사와 함께 암호자산 거래업자를 적용 대상 기관으로 명시한다. 거래소는 동시에 범죄수익이전방지법상 특정 사업자이기도 해, 계좌 개설 시점에 고객 신원을 확인해야 한다. 업계가 KYC라 부르는 그 단계다. 금융청이 이번 조기 전환 요구를 모든 금융기관에 대한 요청으로 포장했기 때문에, 거래소에도 수정 없이 그대로 적용된다. 현재 일본 플랫폼 대부분이 쓰는 방식은 이른바 호이(ho) 방식으로, 사용자가 스마트폰으로 얼굴과 신분증을 촬영해 두 이미지를 모두 전송한다. 이 경로로 수집되는 서류가 최근 유출 사고에서 새어 나간 파일 유형과 정확히 같다. 2027년 개정은 이 경로를 폐지한다. 비대면 확인은 원칙적으로 마이넘버 카드의 IC칩이나 동등한 서류를 판독하거나, 같은 카드에 내장된 인증서 기반의 공적 개인인증 서비스(JPKI)로 옮겨간다. 지금도 서류 사진으로 신규 고객을 받고 있는 모든 플랫폼은 시한 전에 온보딩 흐름을 다시 만들어야 한다. 법정 기일은 고정돼 있고 전환 일정은 각 사업자가 정하지만, 이제 기다림은 감독당국이 문서로 명시적으로 만류한 선택이 됐다. 이 작업은 기존 프로그램 위에 얹힌다. 금융청은 2026년 4월 3일, 암호자산 거래업의 사이버보안 전반을 다루는 정책 문서를 공개해 모든 사업자에게 2026 사업연도부터 사이버보안 자체 점검을 완료하도록 요구했고, 사무국 가이드라인이 제시하는 보안 기준선을 상향했다. 제도적 틀 자체도 움직이는 중이다. 2026년 7월 금융상품거래법 개정안이 통과되면서 암호자산이 증권 유사 규제 체계에 편입됐고, 내부자 거래 금지와 공시 의무가 적용된다. 8월 7일에는 금융청이 조직을 개편해 암호자산·스테이블코인 전담 부서를 신설했다.

압축되는 컴플라이언스 일정

일본 플랫폼들에게 실질적 효과는 컴플라이언스 일정의 압축이다. 공지는 법적 구속력이 없다. 2027년 4월 1일 기한이 그대로 유지되고 전환 시점도 각 사업자의 권한이기 때문이다. 그러나 감독당국이 이런 문구를 문서로 남긴 뒤 사업자들의 지연을 그냥 두는 경우는 드물다. 서류 사진 기반 온보딩은 지금까지 원격 방식 중 가장 빠른 경로였고, 고객 전환율을 그 속도에 의존해온 사업자일수록 재구축 비용을 먼저 체감하게 된다. 조기에 움직이는 거래소는 사기 노출도 줄인다. 칩 판독은 도난당한 사진으로 뚫기 어려운데, 이것이 최근 유출 사고가 만든 정확히 그 실패 지점이다. 증권법 체계 편입과 신설 전담 부서와 겹쳐 보면, 이 업계에는 이제 같은 시간 창으로 수렴하는 여러 개의 작업 스트림이 존재한다. 이번 공지는 사실상 신원확인 재구축을 그 모든 일보 앞에 배치하라는 지시로 읽힌다.