단순 점유 확인의 한계와 CI 기반 본인인증 도입
모바일 앱 기반의 지역 중고거래 서비스로 출발한 당근은 초기 진입 장벽을 낮추기 위해 휴대전화 SMS 점유 인증 방식을 채택했다. 이용자가 입력한 번호로 전송된 인증번호를 확인해 단말기의 실시간 점유 여부만 검증하는 간결한 방식이었다. 그러나 서비스 규모가 급증하면서 전화번호 해지 및 재배정으로 인해 기존 거래 내역과 분리된 신규 계정이 생성되는 계정 분실 문제가 매일 접수되었다. 당시 고객센터는 통신사 증빙 서류를 수작업으로 대조하며 며칠에 걸쳐 계정을 복구해야 했다.
여기에 알뜰폰 등을 통해 손쉽게 확보한 번호로 다수의 계정을 생성해 제재를 우회하는 거래 사기 문제가 결합되면서 단순 점유 확인 방식은 명백한 한계에 부딪혔다. 이에 당근 Identity Service Team은 주민등록번호를 비가역 암호화해 개인마다 유일하게 부여되는 연계정보(CI) 기반의 본인확인 체계를 도입했다. 기존 사용자의 반발과 이탈을 막기 위해 신년 운세나 사주 서비스처럼 생년월일 확인이 자연스럽게 필요한 기능 접점을 활용해 점진적으로 본인인증 전환을 유도했다. 이를 통해 '1인 1계정' 원칙을 확립하고 수작업 계정 이관 비용을 대폭 절감했다.
웹 플랫폼 확장과 표준 기반 중앙 SSO 구축
서비스 영역이 중고거래를 넘어 부동산, 중고차, 구인구직(알바) 등으로 확장되자 PC와 태블릿 환경에서 대량의 매물 및 공고를 등록하려는 수요가 생겨났다. 초기에는 모바일과 동일한 번호 인증이나 PC 화면의 QR 코드를 활용했으나 모바일 웹 브라우저 환경에서 QR 코드를 직접 스캔할 수 없는 문제와 인증번호 확인을 위해 브라우저와 문자 앱을 오가다 이탈하는 현상이 나타났다. 당근은 모바일 웹에서 버튼 클릭 한 번으로 앱을 호출해 승인하는 '당근앱으로 로그인' 방식을 설계해 전환율 저하를 막았다.
동시에 여러 버티컬 도메인이 각자 인증을 처리할 경우 보안 수준이 가장 취약한 서비스가 전체 계정 보안을 위협할 수 있다는 구조적 위험이 제기되었다. 이를 해결하기 위해 당근은 개별 서비스의 인증 로직을 단일 통합 인증 도메인(accounts.daangn.com)으로 일원화했다. 업계 표준인 OAuth 2.0 및 OpenID Connect(OIDC)를 도입함으로써 부동산 웹 등 하위 서비스는 인증 구현 부담 없이 검증된 토큰을 발급받을 수 있게 되었으며, 단일 체계 안에서 2차 인증을 포함한 보안 강화를 일괄 적용할 수 있는 기반을 마련했다.
글로벌 환경의 인프라 격차와 신원 검증 대응
글로벌 브랜드인 'Karrot'으로 북미와 일본에 진출하면서 국내에서 검증된 인증 방식은 새로운 장벽에 직면했다. 브랜드 인지도가 낮은 해외 시장에서 초기부터 전화번호를 요구하는 것은 높은 이탈을 유발했기 때문이다. 당근은 일본 시장에는 일상적으로 쓰이는 라인(LINE), 구글, 애플 로그인을, 북미 시장에는 구글, 애플, 페이스북 계정을 연동하는 맞춤형 소셜 로그인을 제공해 가입 장벽을 낮췄다.
또한 북미 지역의 광활한 통신망과 엄격한 스팸 필터링으로 인해 SMS 수신 실패가 빈번하자 음성 전화로 인증번호를 전달하는 보이스 콜(Voice Call) 방식을 추가했다. 무문자 기반 유심 통신망 인증인 SNA(Silent Network Authentication)도 실험했으나 기술적 정확도 개선에도 불구하고 핵심 지표인 가입 전환율 상승이 입증되지 않아 배포를 과감히 중단했다. 국가 단위 CI 체계가 없는 북미의 거래 신뢰도를 확보하기 위해서는 신분증 위조 검증 및 안면 대조 솔루션인 페르소나(Persona) KYC를 선제적으로 도입했다.
사용자 심리와 보안 규제의 균형을 맞춘 점진적 전환
당근의 본인인증 도입 사례는 대규모 B2C 서비스가 레거시 인증 체계를 개편할 때 마주하는 전형적인 딜레마를 효과적으로 해결한 엔지니어링 사례로 평가할 수 있다. 수천만 명의 기존 사용자에게 일괄적인 강제 인증을 적용할 경우 발생하는 대규모 이탈 리스크를 기능적 보상(사주·운세 등 연령 정보가 필요한 서비스)과 결합해 자발적 동의로 전환한 전략은 보안 강화가 서비스 성장 지표를 훼손하지 않도록 설계된 실무적 접근법이다.
아울러 글로벌 확장 과정에서 보인 의사결정 방식 역시 기술적 최신성보다 비즈니스 임팩트를 우선시했음을 보여준다. 통신사 네트워크를 활용한 SNA 기술은 사용자 개입을 최소화하는 고도화된 방식이었으나, 실제 사용자 퍼널에서 가입 전환율 개선으로 이어지지 않자 실험을 철회한 사례가 대표적이다. 이는 플랫폼 엔지니어링이 기술적 우수성에 매몰되지 않고 현지 인프라 특성과 사용자 전환 지표를 냉정하게 검증해야 함을 시사한다.
AI 에이전트와 위임형 인증으로의 패러다임 확장
인증의 본질은 과거 '특정 단말기를 소유하고 있는가'라는 점유 증명에서 출발해 '실제 법적 신원과 일치하는가'라는 CI 기반 본인확인으로 발전해 왔다. 최근 당근이 추진하는 MCP(Model Context Protocol) 기반 인프라는 인증의 대상을 인간 사용자에서 자율적으로 작업을 수행하는 AI 클라이언트(Claude, ChatGPT 등)로 확장하고 있다는 점에서 인증 아키텍처의 패러다임 전환을 상징한다.
AI가 당근의 광고 성과 지표나 거래 데이터에 접근할 때 요구되는 인증은 단순 신원 확인이 아니라 '사용자가 허용한 범위(Scope) 내에서만 권한을 행사하는' 위임형 통제 구조다. 당근이 사전에 accounts.daangn.com을 중심으로 OAuth/OIDC 표준을 일원화해 두었기에 OAuth 2.1 기반의 사용자 동의 및 세분화된 스코프 제어가 비교적 매끄럽게 확장될 수 있었다. 이는 향후 플랫폼 서비스들이 생성형 AI 에이전트 연동을 염두에 둘 때 표준화된 인증 허브의 선제적 구축이 필수적임을 보여주는 선례다.
출처
당근 기술 블로그의 원출처와 본문에 표시한 참고자료를 바탕으로 한국어로 재구성했습니다. ‘ARCH.B 분석’은 자료를 읽고 덧붙인 편집 해석입니다.
당근의 인증은 어떻게 달라져 왔을까요? (새 창)
