Didit, iBeta Level 2 통과: 공격 300건, 통과 0건

저희가 iBeta Level 2를 통과했습니다. 2026년 11월 9일, iBeta Quality Assurance는 Didit의 라이브니스 탐지가 ISO/IEC 30107-3 프레젠테이션 공격 탐지(Presentation Attack Detection) Level 2를 충족한다고 확인했습니다. 시험 기관이 300건의 프레젠테이션 공격을 시도했고, 단 한 건도 통과하지 못했습니다.

이 결과가 왜 제게 중요한지, 그리고 인터넷에서 제품을 운영하는 모든 사람에게 왜 중요해야 한다고 생각하는지 이야기하고 싶습니다. 이 글은 보도자료가 아닙니다. 저희가 Didit을 지금의 방식으로 만든 이유입니다.

무엇을 통과했나

iBeta Quality Assurance는 NIST/NVLAP의 인정(기관 코드 200962)을 받은 독립 생체인식 시험 기관으로, 프레젠테이션 공격 탐지 시험에 관한 국제 표준인 ISO/IEC 30107-3에 따라 시험을 수행합니다. 프레젠테이션 공격이란 살아 있는 사람이 아닌 것으로 얼굴 확인을 속이려는 모든 시도를 말합니다. 사진, 화면 속 영상, 마스크 같은 것들입니다.

결과는 간단합니다. 공격 300건. 통과 0건. 공격 성공률 0%.

Level 2는 iBeta의 두 번째 단계입니다. Level 1보다 더 정교하고 비싼 공격 도구를 사용하며, 이 도구는 더 숙련되고 더 많은 시간을 들인 공격자가 만듭니다. Level 2에서 시험한 것은 저희의 액티브 라이브니스입니다. 패시브 라이브니스는 2026년 2월에 360회 시도, 공격 성공률 0%로 Level 1을 통과했습니다. 그래서 오늘 Didit은 iBeta Level 1과 Level 2를 모두 보유하고 있습니다.

확인서 읽기. 저희가 보유한 다른 모든 인증은 트러스트 페이지에 있습니다.

Level 1과 Level 2, 쉽게 말하면

	Level 1	Level 2
공격자 수준	특별한 전문 지식 없음	중간 수준: 같은 종류의 시험을 최소 한 번 해 봤고 라이브니스의 작동 방식을 이해함
공격 도구	집이나 사무실에서 구할 수 있는 물건, 재료비 최대 30달러	3D 프린터, 레진 마스크, 라텍스 마스크 같은 더 비싼 도구, 재료비 최대 300달러
허용되는 공격 통과율	0%	최대 1%
증명하는 것	시스템이 값싸고 흔한 위조를 막아낸다	시스템이 더 정교한 위조물을 가진 숙련된 공격자에게도 버틴다

출처: iBeta가 공개한 PAD 시험 방법론. iBeta의 방법론은 Level 2에서 공격의 최대 1%까지 통과를 허용합니다. 저희는 0이었습니다.

두 단계 모두 시험 방식은 같습니다. 저희와 이해관계가 없는 시험 기관이 위조물을 만들고, 시스템에 제시하고, 몇 건이 통과하는지 셉니다. 달라지는 것은 위조물의 수준입니다. Level 1은 값싸고 흔한 공격을 막을 수 있는지 묻습니다. Level 2는 누군가 제대로 공을 들였을 때도 버틸 수 있는지 묻습니다.

왜 지금 중요한가

10년 전에는 얼굴을 위조하려면 기술이 필요했습니다. 지금은 노트북 한 대와 오후 반나절이면 됩니다.

이건 제 의견이 아닙니다. 2024년 11월, 미국 재무부 산하 금융범죄단속네트워크 FinCEN은 딥페이크 미디어에 관한 경보를 발표하며, 2023년 이후 딥페이크가 "신원 확인 및 인증 수단을 우회하기 위해" 사용되었다고 기술한 의심거래보고가 늘었다고 밝혔습니다. 경고 신호 중 하나는 고객이 "실시간 확인 과정에서 서드파티 웹캠 플러그인을 사용하는" 경우였습니다.

딜로이트의 Center for Financial Services는 2024년 추정에서 생성형 AI로 인해 미국의 사기 피해액이 2023년 123억 달러에서 2027년 400억 달러까지 늘어날 수 있다고 봤습니다. 2026년 1월, 세계경제포럼의 Cybercrime Atlas는 얼굴 교체 도구 17종을 분석했고, 그중 일부가 이미 "디지털 KYC를 무력화할 수 있는 실시간 고품질 사칭"을 구현한다는 사실을 확인했습니다. 유럽 사이버보안청 ENISA는 2022년 보고서에서 마스크와 영상 주입을 이용한 공격이 늘고 있다고 밝혔습니다.

얼굴 확인이 막아야 하는 공격은 다음과 같습니다.

• 인쇄된 사진. 가장 오래된 수법입니다. 다른 사람의 얼굴을 인쇄한 종이를 들이댑니다. 비용이 거의 들지 않고, 지금도 매일 시도됩니다.
• 화면 재생. 실제 인물의 영상을 휴대폰이나 태블릿으로 재생해 카메라 앞에 댑니다. 눈을 깜박이고, 움직이고, 살아 있는 것처럼 보입니다.
• 마스크. 종이, 라텍스, 레진, 실리콘. 잘 만든 마스크는 평면 이미지에는 없는 입체감과 질감을 가집니다.
• 딥페이크. 합성된 얼굴, 또는 실제 얼굴을 다른 사람에게 실시간으로 바꿔 씌운 것입니다. 화면에 띄워 카메라에 보여 주면 그것은 프레젠테이션 공격입니다.
• 주입 공격. 공격자가 카메라를 아예 건너뛰고, 가상 카메라나 에뮬레이터, 변조된 기기를 이용해 미리 녹화한 영상이나 합성 영상을 앱에 직접 넣습니다. 눈에 보이는 물리적 위조물이 없습니다. 이 내용은 주입 공격 탐지에 관한 글에서 자세히 다뤘습니다.

iBeta의 시험은 프레젠테이션 공격, 즉 카메라에 보여 주는 위조물을 다룹니다. 주입은 다른 공격 경로이고, 그래서 라이브니스만으로는 완전한 답이 되지 않습니다.

화면 너머에 사람이 있다는 것을 증명하기

제가 믿는 것은 이렇습니다. 인터넷은 사람처럼 보이지만 사람이 아닌 것들로 채워지고 있습니다. 가입하는 봇. 훔친 신원이나 합성 신원으로 수천 개의 프로필을 만드는 계정 농장. 보이지 않는 누군가를 대신해 움직이는 AI 에이전트.

Europol의 2026년 사이버범죄 위협 평가는 SIM 농장 서비스 하나가 4,900만 개가 넘는 온라인 계정의 배후에 있었다고 설명하며, 이런 농장 덕분에 범죄 조직이 "KYC 절차를 우회해 수천 개의 서비스에 동시에 가입"할 수 있다고 말합니다. 미국 연방준비제도의 결제 팀은 합성 신원 사기를 "미국에서 가장 빠르게 증가하는 금융 범죄 유형으로 보고된다"고 설명하며, 매년 수십억 달러의 손실이 발생한다고 밝힙니다.

표준도 같은 방향으로 가고 있습니다. NIST의 디지털 신원 가이드라인 SP 800-63A-4(2025년 7월)는 생체 정보를 원격으로 비교할 때마다 프레젠테이션 공격 탐지를 요구하며, 이를 ISO/IEC 30107-3에 따라 시험하도록 합니다. 목적은 "살아 있는 사람이 실제로 존재함을 확인하기 위해서"입니다.

비밀번호와 인증 코드는 누군가가 무언가를 알고 있다는 것을 증명합니다. 실제 사람이 그 자리에 있다는 것은 증명하지 못합니다. 라이브니스와 생체 인증은 증명할 수 있습니다. 검증된 신원과 일치하는 살아 있는 얼굴은, 특정한 사람이 지금 이 순간 그 자리에 있고 봇이나 계정 농장이 아니라는 것을 보여 주는 가장 강력한 신호입니다.

하지만 신호 하나로는 결코 충분하지 않습니다. Didit은 같은 확인 과정에서 볼 수 있는 다른 모든 정보와 얼굴을 함께 봅니다.

• 라이브니스. 패시브, 3D Flash 또는 3D Action and Flash 중에서 감수할 수 있는 위험 수준에 따라 선택합니다.
• 얼굴 대조와 얼굴 검색. 살아 있는 얼굴을 신분증과 대조하고, 자사 사용자와 차단 목록에서 검색해 같은 사람이 두 번째 계정을 만드는 것을 잡아냅니다.
• 생체 인증. 재방문 사용자가 민감한 작업을 할 때, 새로 라이브니스 확인을 하고 처음 인증했던 얼굴과 대조합니다.
• 기기 및 IP 분석. 기기 핑거프린팅으로 여러 계정 뒤에 있는 동일한 물리적 기기를 찾아내고, IP 확인으로 VPN, 프록시, Tor, 위치 불일치를 표시합니다.
• 이메일 및 전화번호 신호를 신원 확인 결과와 같은 레코드에 담습니다.

이 모든 것을 합치면, 저는 이것이 인터넷의 최전선이 된다고 생각합니다. 앱 하나를 둘러싼 벽이 아니라, 중요한 순간마다 던지는 단순한 질문입니다. 이 사람은 실제 사람인가, 그리고 맞는 사람인가?

Level 2는 그 답 중 얼굴에 해당하는 부분이 고도화된 공격에도 버틴다는 독립적인 증거입니다. 저희의 주장이 아닙니다. 시험 기관의 결과입니다.

저희가 받은 모든 검증

보안에 관해 저희 말만 믿어 달라고 하지 않습니다. 현재 기준 전체 목록은 아래와 같으며, 자세한 내용은 트러스트 페이지와 인증 체계 개요에 있습니다.

인증	적용 범위	시기
iBeta PAD Level 2 (ISO/IEC 30107-3)	고도화된 프레젠테이션 공격에 대한 액티브 라이브니스. 공격 300건, 성공률 0%.	2026년 11월
iBeta PAD Level 1 (ISO/IEC 30107-3)	흔한 프레젠테이션 공격에 대한 패시브 라이브니스. 시도 360회, 성공률 0%.	2026년 2월
SOC 2 Type 1	보안, 가용성, 기밀성에 관한 저희 통제의 설계.	2026년 4월
SOC 2 Type 2	같은 통제가 관찰 기간 동안 실제로 어떻게 작동했는지.	2026년 7월 보고서 발행
ISO/IEC 27001:2022	저희 정보보호 관리체계. Bureau Veritas 인증.	2027년 6월까지 유효
스페인 재무부 샌드박스	Tesoro, Banco de España, SEPBLAC, CNMV가 저희의 원격 신원 확인이 대면 신원 확인과 최소한 같은 수준으로 안전하다고 결론 내렸습니다.	2024년 11월부터 2025년 7월까지
FSM 연령 확인	저희 연령 확인 시스템. 독일 청소년 보호 규정에 따른 인증.	2026년 6월
FIDO Alliance	FIDO2와 패스키를 만든 단체의 준회원. 인증이 아닌 회원 자격입니다.	2026년 8월
EBA 원격 온보딩 의견서	저희 원격 온보딩이 원격 고객 온보딩에 관한 EBA 가이드라인을 충족한다는 독립적인 법률 의견서.	요청 시 제공
GDPR	GDPR상 데이터 처리자로서 제32조 통제와 데이터 처리 계약을 갖추고 있습니다.	지속

제가 가장 자랑스럽게 생각하는 것은 스페인 샌드박스 결과입니다. 규제 기관이 스스로 내린 결론이기 때문입니다. 그 결론을 직접 읽어 보실 수 있습니다.

Didit을 사용 중이라면 무엇이 달라지나

• 바꿀 것이 없습니다. 이번 결과는 Didit의 액티브 라이브니스를 대상으로 합니다. 워크플로에서 이를 사용하고 있다면 연동을 바꿀 필요가 없습니다.
• 그대로 제출할 수 있는 증거. 파트너 은행, 감사인, 규제 기관이 위조를 어떻게 막느냐고 물으면, 벤더의 약속 대신 공개된 표준에 따른 인정 시험 기관의 결과를 제시할 수 있습니다.
• 얼굴 확인 그 이상. 라이브니스를 얼굴 검색, 기기 및 IP 분석, 생체 인증과 하나의 워크플로, 하나의 레코드에서 결합하세요.

자주 묻는 질문

iBeta Level 2란 무엇인가요?

iBeta Quality Assurance가 ISO/IEC 30107-3에 따라 수행하는 프레젠테이션 공격 탐지 시험의 두 번째 단계입니다. Level 1과 비교해 시험 기관은 더 많은 시간과 기술을 들여 만든, 더 정교하고 비싼 공격 도구를 사용합니다.

Didit은 어떤 결과를 얻었나요?

iBeta는 Didit의 라이브니스 탐지에 300건의 프레젠테이션 공격을 시도했고, 단 한 건도 통과되지 않았습니다. 공격 성공률은 0%입니다. 확인서 날짜는 2026년 11월 9일입니다.

Didit은 iBeta Level 1인가요, Level 2인가요?

둘 다입니다. Didit은 2026년 2월 패시브 라이브니스로 iBeta Level 1을, 2026년 11월 액티브 라이브니스로 Level 2를 통과했으며, 두 번 모두 공격 성공률은 0%였습니다.

ISO/IEC 30107-3이란 무엇인가요?

ISO/IEC 30107 표준 중 생체인식 시스템의 프레젠테이션 공격 탐지를 어떻게 시험하고 보고할지 정한 부분입니다. 덕분에 서로 다른 시험 기관과 벤더의 결과를 비교할 수 있습니다.

iBeta는 어떤 곳인가요?

iBeta Quality Assurance는 미국의 독립 시험 기관으로, NIST/NVLAP의 인정(기관 코드 200962)을 받아 ISO/IEC 30107-3에 따른 프레젠테이션 공격 탐지 시험을 수행합니다.

iBeta Level 2는 딥페이크와 주입 공격도 다루나요?

iBeta Level 2는 프레젠테이션 공격, 즉 카메라에 보여 주는 위조물을 시험합니다. 카메라를 우회하는 주입 공격은 시험하지 않습니다. 그래서 저희는 라이브니스를 기기, IP 및 기타 신호와 결합합니다.

확인서를 볼 수 있나요?

네. 확인서를 읽어 보시고, 다른 보고서는 트러스트 페이지에서 확인하세요.

연동을 바꿔야 하나요?

아니요. Business Console에서 워크플로마다 패시브 또는 액티브 라이브니스를 선택하면 되고, 연동은 아무것도 바뀌지 않습니다.

어떻게 써 볼 수 있나요?

business.didit.me에서 무료 계정을 만들고, 라이브니스가 포함된 워크플로를 구성한 뒤 샌드박스에서 실행해 보세요. 각 방식은 라이브니스 문서에서 설명합니다.

맺으며

사기는 싸졌습니다. 사람임을 증명하는 일도 싸야 하고, 동시에 강력해야 합니다. 그것이 저희가 스스로에게 정한 기준이고, Level 2는 저희가 그 기준을 충족한다는 또 하나의 독립적인 확인입니다.

실제로 작동하는 모습을 보고 싶다면 무료로 시작하세요. 보고서를 먼저 보고 싶다면 트러스트 페이지에 있습니다.

Alberto Rosas, Didit CEO