가맹점을 위한 3D Secure: 본인 인증과 조건부 사기 책임의 구분

3D Secure(3DS)는 카드 이용자 본인 인증에 관한 증거를 제공합니다. 인증 성공만으로 발급사가 결제를 승인했거나 매입 요청인 capture가 성공했거나 가맹점이 돈을 받았다고 볼 수 없습니다. 모든 분쟁으로부터 가맹점을 보호한다는 뜻도 아닙니다. 실제 인증 결과와 결제의 재무적 결과를 따로 읽고 특정 사기 분쟁이 관련 책임 조건에 해당하는지 확인해야 합니다.

이 TrustFinance™ 가이드는 주문 기록이 무엇을 입증하며 무엇을 더 확인해야 하는지 판단하도록 돕습니다. 표지는 본인 인증, 발급사의 결제 결정, 조건부 사기 책임 범위를 구분합니다. 증거를 읽는 편집상 틀이며 3DS의 세 도메인을 설명하는 구조도가 아닙니다. 아래 사례는 가상이며 각 사업자 문서는 명시된 범위에서 사용합니다.

본인 인증이 알려 주는 것

EMVCo는 가맹점과 발급사가 거래, 결제 수단, 기기 정보를 교환하여 소비자 인증을 돕는다고 설명합니다. 추가 확인 화면 없이 데이터를 평가할 수 있는 거래도 있고 별도의 인증을 요구하는 거래도 있습니다. 따라서 매끄럽게 끝나는 frictionless 결제에서 OTP가 보이지 않았다고 인증이 없었다고 단정할 수 없습니다. 반대로 OTP나 은행 확인 화면을 봤다는 사실도 최종 결과는 아닙니다.

실제 거래에서 완료된 결과와 참조 번호, 시각을 읽으세요. 고객이 상점 페이지로 돌아온 사실, 화면 캡처 또는 직원이 인증 화면을 기억한다는 점은 해당 결제에 연결된 결과를 대신하지 못합니다. 인증 시도, 대기, 실패 또는 이용 불가 상태를 결제 과정이 이어졌다는 이유로 성공으로 바꾸면 안 됩니다.

인증은 통제 수단 하나이며 주문 전체가 정당하다는 증명서가 아닙니다. 배송 주소가 맞는지, 물건이 도착했는지, 고객이 이후 이의를 제기하지 않을지는 입증하지 않습니다. EMVCo는 참여자가 적용되는 개인정보 요건을 계속 준수할 책임이 있다고 설명합니다. 필요한 참조 정보를 접근 권한에 맞게 보관하고 카드 비밀 정보, 비밀번호, OTP를 공유 업무 문서에 넣지 마세요.

발급사의 결제 결정은 별도로 확인

Visa는 신원에 관한 인증과 자금 및 계정 상태 등에 따라 거래를 진행할 수 있는지 판단하는 결제 승인을 구분합니다. 발급사는 인증 결과와 별도로 결제를 승인하거나 거절할 수 있습니다. 인증됨이라는 표시를 주문의 결제 완료 상태로 자동 해석하면 안 됩니다.

주문마다 발급사 결정을 확인하는 사업자 기록을 찾고 계약상 capture 절차가 있으면 그 결과도 확인합니다. Capture와 가맹점 지급 또는 은행 입금도 각각 다른 문제입니다. 재무적 승인은 가맹점 계좌에 사용 가능한 돈이 있다는 뜻이 아닙니다. Capture 기록이 있어도 이후 분쟁이나 금액 조정이 없다는 약속은 아닙니다.

인증 화면과 결제 화면이 서로 달라 보이면 거래 참조 번호를 비교하고 사업자에게 현재 결제 상태를 문의하세요. 한 번의 시도에서 성공한 인증을 다른 시도의 결제 결과와 결합하지 마세요. 이 글은 재시도 규칙이나 시스템 연동을 안내하지 않습니다. 승인과 capture의 운영상 구분은 아래의 기존 가이드에서 별도로 다룹니다.

사기 책임의 이전에는 조건이 있습니다

Stripe는 자격 조건을 충족하는 사기 분쟁의 책임 이전을 설명하면서 상품 미수령 등 다른 분쟁 사유를 구분합니다. 문서는 3DS 성공이 책임 이전을 보장한다고 하지 않습니다. 상품을 받지 못했다는 분쟁은 그 사유에 해당하는 일반 절차와 증빙이 필요합니다. 본인 인증으로 배송을 입증할 수는 없습니다.

Trust Payments도 인증 성공이 책임 이전이나 결제 승인 성공을 보장하지 않는다고 경고합니다. 매입사의 기준은 바뀔 수 있고 예외는 결제에 관여하는 당사자에 따라 달라집니다. 전 세계 공통 계약이 아닌 해당 사업자의 설명으로 읽어야 합니다. 실제 매입사에게 네트워크, 가맹점 계정, 거래 유형, 지역과 적용 규칙의 효력 날짜를 물으세요.

ECI가 제공되는 경우를 포함해 인증 지표는 맥락 속에서 해석할 증거입니다. 코드 하나는 일반 보호 증명서가 아닙니다. 실제 결과, 인증 시도 또는 면제, 필요한 부가 정보와 예외를 사업자가 어떻게 해석하는지 확인하세요. 한 사업자의 표를 세계 공통 코드표로 바꾸거나 면제가 모든 계약에서 같은 책임 효과를 갖는다고 가정하지 마세요.

읽는 언어가 계약 법인이나 법적 권리를 정하지는 않습니다. 한국어판이 모든 국내 거래에 동일한 법적 인증 의무가 있다는 결론을 제시하지 않습니다. 자격 지표가 있다면 맥락을 보관하고 분쟁이 들어왔을 때 현재 상태를 확인합니다. Stripe는 예외와 이후 변경 가능성을 설명합니다. 과거 지표는 영구적인 약속이 아닙니다.

두 가상 사례로 증거의 역할 구분하기

사례 A: 인증은 성공했지만 발급사가 거절

가상 온라인 주문에 완료된 인증 성공 기록이 있고 별도의 발급사 결제 거절 결과가 있다고 가정합니다. 가맹점은 인증 증거를 갖고 있지만 해당 시도에 성공한 재무적 승인은 없습니다. 고객이 인증 화면을 통과했다는 이유만으로 결제된 주문이라고 표시하면 안 됩니다. 직원은 사업자 기록과 가맹점 정책에 따라 상태를 확인한 후 주문 이행을 판단해야 합니다.

이 사례는 실제 거절률, 처리 시간이나 특정 사업자의 테스트 결과를 뜻하지 않습니다. 나중에 다른 결제 시도가 있었다면 그 시도에 연결된 별도 결과가 필요합니다. 첫 인증 화면 캡처로 대체할 수 없습니다. 주문 담당자가 정확히 어느 시도와 결제 결정을 근거로 삼는지 밝혀야 합니다.

사례 B: capture는 있지만 분쟁 사유가 다름

또 다른 가상 주문에 사업자가 capture를 확인했다고 가정합니다. 이후 한 가지 주장은 카드 소유자가 구매를 허락하지 않았다는 것이고 다른 주장은 상품이 도착하지 않았다는 것입니다. 이는 대안적인 두 상황이지 잔액에서 두 번 차감한다는 뜻이 아닙니다. 책임 조건을 검토하기 전에 실제 분쟁 사유를 확인해야 합니다.

사기 상황에서는 매입사에게 해당 거래가 요건을 충족하는지, 어떤 인증 증거가 판단을 뒷받침하는지 묻습니다. 미수령 상황에서는 해당 절차가 요구하는 주문, 배송, 고객 연락 증거를 보관합니다. 어느 경우도 분쟁에서 유리한 결과나 자금 회수를 약속하지 않습니다. Stripe는 문의에도 답변이 필요하다고 설명하므로 3DS 표시만 믿고 통지를 무시해서는 안 됩니다.

결정 전 네 가지 증거 확인

1. 실제 인증 결과

연결된 참조 번호, 결과, 시각과 사업자 설명을 기록합니다. 완료된 결과와 단지 표시되거나 시작된 추가 인증을 구분합니다. 없거나 불명확하다면 미확인으로 적고 문의하며 성공을 만들어 내지 않습니다.

2. 발급사의 결제 결과

별도의 결제 결정과 필요한 경우 capture 확인을 기록합니다. 가맹점 지급과 은행 대사는 분리합니다. 같은 주문과 시도를 가리키는지 확인하세요. 신원 확인 성공은 누락된 결제 결과를 채우지 못합니다.

3. 네트워크 및 매입사 조건과 제한

현재 규칙과 매입 계약, 개별 거래의 적용 여부, 결론에 영향을 주는 예외나 누락 정보를 묻습니다. 설명과 날짜를 보관합니다. 안전한 결제라는 일반 광고는 특정 분쟁의 자격 판단이 아닙니다.

4. 분쟁 사유, 답변 기한과 증빙

실제 통지와 사업자 기한을 읽고 관련 인증, 결제, 주문, 배송 정보를 보관하여 절차대로 제출합니다. 이 글이나 다른 나라, 관련 없는 사례로 기한을 추정하지 마세요. 확인 담당자와 허용된 답변 경로를 정합니다.

가맹점 업무 인계 체크리스트

• 모든 기록에서 주문과 결제 시도 참조 번호를 맞춥니다.
• 확인된 결과와 대기 또는 누락 정보를 분리합니다.
• 매입사의 최신 설명과 적용 범위 및 예외를 읽습니다.
• 모든 차지백을 사기로 보지 말고 실제 분쟁 사유로 분류합니다.
• 답변 기한을 담당자에게 배정하고 필요한 증거를 안전하게 보관합니다.
• 관련 불확실성을 확인한 뒤 가맹점 정책에 따라 주문 이행이나 분쟁 답변을 결정합니다.

자주 묻는 질문

3DS 성공은 가맹점 보호를 보장하나요?

아닙니다. 인증 증거일 뿐이며 결제 승인과 사기 책임 조건은 따로 확인해야 합니다. 사기가 아닌 분쟁도 별도 문제입니다. Capture가 끝나도 입금이나 분쟁에서 유리한 결과를 보장하지 않습니다.

OTP가 보이지 않으면 인증 실패인가요?

반드시 그렇지는 않습니다. EMVCo는 추가 인증이 필요 없는 데이터 평가도 설명합니다. 사업자의 실제 결과를 확인하세요. 반대로 OTP 화면이나 고객의 완료 주장도 기록된 결과를 대신하지 못합니다.

1차 출처와 적용 범위

1차 출처 확인일은 2026년 10월 22일입니다. EMVCo는 기술 배경을, Visa·Stripe·Trust Payments는 네트워크 또는 사업자 설명을 제공합니다. 가맹점 매입 계약과 적용 규칙을 대체하지 않습니다.

• EMVCo: EMV 3-D Secure와 개인정보 원칙
• Visa: 인증과 결제 승인의 차이
• Stripe: 인증 흐름, 분쟁 및 책임 이전
• Trust Payments: 책임 조건과 매입사 예외

함께 읽을 가이드

• 결제 승인과 capture 구분
• 정산, 환불 및 차지백
• 가맹점의 결제 게이트웨이 신뢰성 확인

TrustFinance™에서 관련 증거 가이드를 읽고 사업자에게 물을 내용을 정리하세요. 리뷰나 브랜드 이름이 개별 거래의 책임을 결정하지는 않습니다.

TrustFinance Blog에서 더 읽기