가상자산 결제 카드의 3D Secure 인증 실패: 주요 원인과 해결 방법

가상자산 결제 카드로 온라인 쇼핑을 하거나 구독 요금을 결제할 때 예상치 못한 문제가 발생할 수 있습니다. 카드 잔액은 충분하고 카드 번호와 유효기간도 정확하게 입력했는데, 결제 페이지에 '3D Secure authentication failed' 또는 'Authentication unsuccessful'라는 메시지가 표시되는 경우입니다. 카드 소지자가 본인 인증을 완료했는데도 결제가 실패하는 사례도 있습니다.

이러한 메시지가 반드시 같은 문제를 가리키는 것은 아닙니다. 거래가 3D Secure 본인 인증 단계에서 중단되었을 수도 있고, 인증은 완료되었지만 이후 결제 승인 단계에서 거절되었을 수도 있습니다.

문제를 해결하려면 먼저 어느 단계에서 실패했는지 확인해야 합니다. 그 결과에 따라 카드 설정을 점검할지, 가맹점에 문의할지, 카드 발급사의 지원을 요청할지 결정할 수 있습니다.

3D Secure 인증 실패는 정확히 무엇을 의미할까?

3D Secure(3DS)는 온라인 카드 거래에서 사용되는 본인 인증 프로토콜로, 현재는 주로 EMV 3-D Secure 표준을 기반으로 합니다. 가맹점, 결제 서비스 제공업체, 카드 네트워크, 카드 발급사가 인증 정보를 교환하여 결제자가 해당 카드를 사용할 권한이 있는지 확인하도록 지원합니다.

Visa의 해당 서비스는 Visa Secure, Mastercard의 서비스는 Mastercard Identity Check라고 합니다.

일반적인 3DS 인증은 주로 두 가지 방식으로 진행됩니다.

• 마찰 없는 인증(Frictionless Flow): 카드 발급사가 거래 금액, 기기 정보, 가맹점 자료 등의 위험 신호를 바탕으로 거래를 평가합니다. 카드 소지자가 별도의 조치를 취할 필요가 없습니다.

• 추가 인증(Challenge Flow): 카드 소지자가 일회용 비밀번호(OTP)를 입력하거나, 발급사 앱에서 거래를 승인하거나, 기타 지원되는 인증 수단을 사용해 추가로 본인임을 확인하는 방식입니다.

따라서 인증번호 입력창이 나타나지 않았다고 해서 가맹점이 3DS를 사용하지 않았다고 볼 수는 없습니다. 백그라운드에서 인증이 완료되었을 수도 있고, 인증 절차가 정상적으로 시작되지 않았을 수도 있습니다. 실제 결과는 결제 서비스 제공업체가 반환한 인증 정보를 확인해야 판단할 수 있습니다.

두 방식의 기술적 원리는 EMVCo의 EMV 3-D Secure 기술 백서에서 확인할 수 있습니다.

본인 인증과 결제 승인은 서로 다른 단계다

3DS는 본인 인증(Authentication)을 담당하고, 결제 승인(Authorization)은 해당 거래를 승인할지 결정하는 절차입니다.

카드 소지자가 OTP를 정확하게 입력하거나 앱에서 본인 확인을 마쳤더라도, 발급사는 잔액 부족, 거래 한도, 카드 상태 또는 위험 관리 규칙을 이유로 결제를 거절할 수 있습니다.

가상자산 결제 카드에서는 이러한 구분이 특히 중요합니다. 일부 상품은 미리 충전한 잔액을 사용하지만, 다른 상품은 결제 시점에 가상자산을 환전하거나 별도의 자금 운용 구조에 따라 사용 가능 금액을 결정합니다. 계정에 USDT나 USDC 보유량이 표시되어 있다고 해서 해당 자산 전부를 현재 거래의 결제 승인에 곧바로 사용할 수 있는 것은 아닙니다.

본인 인증이 이미 성공했다면 인증번호를 반복해서 요청하기보다는 결제 승인 결과를 확인해야 합니다.

결제 과정에서 나타난 현상부터 확인하자

가맹점의 'Payment Failed' 메시지는 대개 최종 결제 결과만 나타내며, 실제 내부 오류를 정확하게 설명하지는 않습니다. 화면에 '3DS Failed'라고 표시되더라도 인증 기록과 결제 승인 기록을 추가로 확인해야 할 수 있습니다.

이 표는 점검 방향을 정하기 위한 참고자료이며 실제 거래 기록을 대신할 수는 없습니다. 특히 가맹점의 결제 페이지에 구체적인 오류 코드가 없는 경우, 이용자가 본인 인증과 결제 승인 중 어느 단계에서 문제가 발생했는지 직접 판단하기는 어렵습니다.

OTP가 오지 않는다면 플랫폼 가입 정보보다 카드 소지자 계정을 확인해야 한다

일회용 비밀번호는 3DS 추가 인증에 흔히 사용되지만, 인증번호가 어떤 경로로 전송되는지는 실제 카드 발급 서비스에 따라 다릅니다.

가상자산 결제 카드의 브랜드 운영사와 실제 카드 발급사가 서로 다른 회사일 수 있습니다. 가상자산 플랫폼에 가입할 때 등록한 휴대전화 번호가 카드 소지자 계정에서 3DS 인증번호를 받도록 설정된 번호와 반드시 일치하는 것도 아닙니다.

OTP가 오지 않는다면 우선 공식 카드 관리 화면에서 거래 인증에 사용하는 휴대전화 번호나 이메일 주소가 정확한지 확인해야 합니다. 해당 카드가 문자메시지, 이메일, 앱 중 어떤 인증 방식을 사용하는지도 살펴보세요.

문자메시지가 도착하지 않는 이유로는 국제 문자 전송 문제, 통신사의 필터링, 전화번호 변경, 발송 서비스 장애 등이 있을 수 있습니다. 문자를 받지 못했다는 사실만으로 어느 쪽에 문제가 있는지 단정할 수는 없습니다.

앱 푸시 알림으로 인증하는 카드라면 공식 앱에 로그인되어 있는지, 기기의 네트워크가 정상인지, 승인 대기 중인 거래가 있는지 확인해야 합니다. 일부 인증 절차에서는 문자메시지를 전혀 보내지 않습니다.

인증번호를 여러 개 받았다면 각각 다른 인증 세션에 해당할 수 있다는 점에 유의해야 합니다. 재전송을 반복하면 이전 인증번호가 무효가 될 수 있으며, 결제 페이지를 닫은 후에는 원래 인증 세션이 이미 만료되었을 수도 있습니다.

이때는 가맹점 주문이 아직 처리 중인지, 카드에 승인 대기 중인 거래가 있는지 먼저 확인한 뒤 결제를 다시 시작해야 합니다. 이미 만료된 페이지에서 계속 인증을 시도하지 마세요.

연락처 정보가 정확한데도 인증 요청이 도착하지 않는다면 카드 서비스 제공업체나 발급사가 발송 상태와 본인 인증 서비스를 확인해야 합니다. 가맹점 웹사이트의 청구지 정보를 계속 수정해도 문제는 해결되지 않습니다.

인증 페이지가 열리지 않거나 인증 후 가맹점으로 돌아오지 못하는 경우

3DS 추가 인증에는 카드 발급사뿐 아니라 가맹점의 결제 페이지와 결제 서비스 제공업체 사이의 올바른 시스템 연동도 필요합니다.

브라우저 환경에서는 인증이 삽입된 창이나 페이지 리디렉션을 통해 진행될 수 있습니다. 카드 소지자가 인증을 마친 후에도 가맹점 시스템이 인증 결과를 정확하게 처리해야 결제가 이어집니다.

빈 화면이 나타나거나 로딩이 반복되거나 인증 후 가맹점으로 돌아오지 못한다면 다음 사항을 확인하세요.

• 소셜미디어 앱이나 이메일 앱 등에 내장된 브라우저에서 결제 페이지를 열었는지

• 브라우저 확장 프로그램, 스크립트 차단 기능, 개인정보 보호 설정이 인증 페이지에 영향을 주는지

• 페이지 이동 또는 인증 과정에서 네트워크 연결이 끊겼는지

• 앱에서 승인한 후에도 원래 결제 페이지가 유효한 상태였는지

가장 간단한 확인 방법은 기기의 일반 브라우저에서 가맹점 공식 웹사이트에 다시 접속한 뒤, 기존 거래 상태를 확인하고 결제를 재시도하는 것입니다.

필요하다면 브라우저 확장 프로그램의 간섭 여부를 일시적으로 점검할 수 있습니다. 다만 인증서 오류, 보안 경고, 의심스러운 리디렉션을 무시해서는 안 됩니다.

같은 카드가 다른 가맹점에서는 정상적으로 3DS 인증을 마치지만 특정 웹사이트에서만 페이지 오류가 반복된다면, 해당 가맹점의 결제 시스템 연동과 인증 절차를 중점적으로 점검해야 합니다.

반대로 서로 관련이 없는 여러 가맹점에서 비슷한 문제가 발생한다면 카드 서비스 제공업체에 발급사 측 인증 서비스의 점검을 요청할 필요가 있습니다. 브라우저를 변경하면 사용자 화면의 호환성 문제는 해결할 수 있지만, 카드의 인증 서비스 미등록, 인증 수단 설정 오류, 발급사 시스템 장애까지 해결할 수는 없습니다.

EMV 3DS의 기술 구조에 따르면 가맹점 측 3DS 시스템은 카드 발급사의 접근 제어 서버(Access Control Server, ACS)와 연동하여 인증을 수행해야 합니다. ACS는 발급사가 위탁한 전문 서비스 업체에서 운영할 수도 있습니다. 일반 카드 소지자는 이러한 내부 통신을 확인할 수 없으므로, 대개 가맹점이나 결제 서비스 제공업체 또는 발급사의 추가 조사가 필요합니다.

어떤 가맹점은 인증을 요구하고 어떤 곳은 요구하지 않는 이유

같은 가상자산 결제 카드라도 가맹점에 따라 서로 다른 3DS 절차가 적용되는 것은 드문 일이 아닙니다.

3DS를 시작할지, 카드 소지자에게 추가 인증을 요구할지는 가맹점의 결제 설정, 발급사의 위험 평가, 카드 네트워크 규칙, 적용되는 규제 요건 등에 영향을 받습니다.

어떤 거래는 마찰 없는 인증으로 완료되는 반면, 다른 거래에서는 OTP 입력이 필요할 수 있습니다. 일부 온라인 결제에서는 가맹점이 필요한 인증을 수행하지 않아 발급사가 결제 승인을 거절하고 추가 본인 인증을 요구할 수도 있습니다.

Stripe는 인증이 필요한 이러한 거절 상황 중 하나를 authentication_required라는 코드로 표시합니다. Stripe의 공식 결제 거절 코드 문서에 따르면 결제 시스템 연동에서는 해당 인증 요구를 처리하고, 필요한 경우 카드 소지자가 결제 절차에 다시 참여할 수 있도록 해야 합니다.

하지만 거래의 본인 인증이 이미 성공했는데도 발급사가 authentication_required를 반환한다면, Stripe는 발급사에 추가 문의할 것을 권장합니다. 이를 이용자가 계속 인증을 반복해야 한다는 의미로 단순하게 해석해서는 안 됩니다.

유럽경제지역(EEA)처럼 강력한 고객 인증(Strong Customer Authentication, SCA) 규정이 적용되는 시장에서는 온라인 카드 결제에도 관련 규제 요건이 적용됩니다. 그렇다고 SCA가 모든 거래에서 인증번호 입력창을 띄워야 한다는 뜻은 아닙니다. 조건에 맞는 면제와 구체적인 인증 방식에 따라 이용자가 보게 되는 절차는 달라질 수 있습니다.

구독 결제도 마찬가지입니다. 구독을 처음 설정할 때는 카드 소지자의 인증이 필요할 수 있지만, 이후 일정 조건을 충족하는 가맹점 주도 거래에서는 매번 카드 소지자가 인증할 필요가 없을 수 있습니다.

'Card not enrolled'가 표시되면 카드가 3DS를 지원하지 않는다는 뜻일까?

그렇게 단정할 수는 없습니다.

'Card not enrolled'는 카드 소지자 계정의 3DS 등록 미완료, 특정 카드 프로그램의 인증 설정 문제 또는 관련 인증 서비스가 해당 카드를 인식하지 못하는 상황과 관련될 수 있습니다. 구체적인 원인은 실제 오류 기록을 통해 확인해야 합니다.

카드가 활성화되어 있고, 이용자가 KYC를 완료했으며, 카드에 Visa 또는 Mastercard 로고가 있다고 해서 현재 가맹점이 요구하는 3DS 인증 기능을 사용할 수 있다는 사실이 자동으로 증명되는 것은 아닙니다.

가상자산 결제 카드마다 서로 다른 발급사와 인증 서비스를 사용할 수 있습니다. 같은 브랜드라도 발급 지역, 카드 프로그램, 상품 버전에 따라 설정이 달라질 수 있습니다.

가맹점에서 '3D Secure not supported' 또는 'Card not enrolled'라는 메시지를 명확하게 반환한다면 카드 서비스 제공업체에 다음 사항을 문의할 수 있습니다.

• 현재 카드에 해당 3DS 인증 서비스가 활성화되어 있고 등록도 완료되었는지

• 카드 프로그램에서 지원하는 인증 방식은 무엇이며 지역 또는 상품 제한이 있는지

• 추가 등록, 인증 정보 갱신 또는 서비스 재활성화가 필요하다면 어떤 절차를 거쳐야 하는지

3DS 인증 기능과 가맹점의 카드 수용 정책도 구분해야 합니다. 일부 가맹점은 선불카드, 가상카드, 특정 지역에서 발급된 카드를 제한할 수 있습니다. 해당 카드의 3DS 기능이 정상적으로 작동하더라도 모든 가맹점에서 사용할 수 있다는 보장은 없습니다.

본인 인증은 성공했는데 결제는 왜 실패할까?

가맹점이나 발급사의 기록에서 3DS 인증 성공이 확인되었지만 이후 결제가 거절되었다면, 점검의 초점은 결제 승인 결과로 옮겨야 합니다.

사전 충전형 가상자산 결제 카드라면 카드 사용 가능 잔액, 거래 한도, 계정 상태가 주요 점검 대상입니다. 가상자산의 실시간 환전이나 다른 자금 운용 구조가 적용되는 상품에서는 실제 결제 가능 금액과 자금 사용 조건도 확인해야 합니다.

일부 가맹점은 사전 승인 요청을 보내거나 상품 표시 가격과 다른 금액으로 승인을 요청할 수도 있습니다. 그러나 이는 결제 승인과 관련된 문제이지 3DS 본인 인증 자체의 실패는 아닙니다.

카드 계정에 처리 대기 금액이 나타나는데 가맹점 페이지에는 결제 실패로 표시된다면 주문 상태와 승인 상태를 먼저 확인해야 합니다. 이때 결제를 연속으로 다시 시도하면 중복 승인이나 여러 금액의 일시적인 자금 보류가 발생할 수 있습니다.

잔액, 가맹점 제한, 일반적인 결제 승인 거절에 대한 추가 점검 방법은 UCard Radar의 가상자산 결제 카드 거래 거절 관련 해설을 참고하세요.

인증 실패가 반복되면 계속 재시도하지 말아야 한다

같은 결제가 반복해서 실패한 후 인증번호를 계속 입력하거나 거래를 다시 제출하더라도 인증 설정이나 시스템 연결 문제는 대개 해결되지 않습니다. 오히려 인증 시도 횟수 제한에 걸릴 수 있습니다.

Adyen은 카드 발급 서비스에 관한 3D Secure 문제 해결 문서에서 자사 서비스를 통해 발급된 카드의 경우 본인 인증이 5회 연속 실패하면 추가 3DS 인증을 일시적으로 차단한다고 설명합니다. 일반적으로 1시간 후 자동으로 제한이 해제되며, 지원팀에 문의해 처리할 수도 있습니다.

Adyen은 이러한 제어 조치를 PSD2 규제 요건과 연관 짓고 있습니다. 그러나 5회 실패 후 제한하고 1시간 후 해제하는 방식은 해당 업체의 문서에 설명된 구체적인 운영 규칙입니다. 다른 카드 발급사에도 동일하게 적용된다고 볼 수는 없습니다.

같은 오류가 두 번 연속 발생했다면, 특히 인증번호가 거절되거나 인증 서비스를 사용할 수 없거나 계정에 일시적인 제한이 표시되는 경우에는 시도를 중단하고 구체적인 오류 메시지와 카드 상태를 점검해야 합니다.

IP 주소를 자주 변경하거나 계정 지역을 허위로 설정하거나 사실과 다른 청구지 정보를 입력해도 근본적인 인증 설정 문제는 해결되지 않습니다. 오히려 추가 보안 심사를 유발할 수 있습니다.

가맹점과 카드 발급사 중 어디에 문의해야 할까?

가상자산 결제 카드의 문제를 조사하는 과정은 이용자에게 보이는 상품 화면보다 훨씬 복잡할 수 있습니다.

가상자산 플랫폼이 카드 브랜드와 고객 지원을 담당하고, 인가된 카드 발급사가 발급 책임을 지며, 별도의 프로세서가 결제 승인을 처리하고, 전문 ACS 서비스 업체가 3DS 인증을 수행하는 구조도 가능합니다.

따라서 브랜드 앱에 모든 본인 인증 기록이 표시되는 것은 아닙니다.

Adyen Issuing의 카드 발급 서비스가 한 가지 사례입니다. Adyen의 공식 문제 해결 문서에 따르면, 3DS 본인 인증이 실패하여 거래가 인증 단계를 넘어서 진행되지 못하면 승인 요청이 Adyen으로 전송되지 않습니다. 따라서 전달된 승인 요청이나 관련 webhook이 생성되지 않으며, 해당 거래는 Adyen Customer Area의 Payments 목록에도 나타나지 않습니다. 이는 Adyen Issuing의 특정 처리 흐름에 대한 설명으로, 모든 가상자산 결제 카드나 다른 발급사가 동일한 기록 방식을 사용한다고 일반화할 수는 없습니다.

즉, 카드 거래 내역에 기록이 없다고 해서 가맹점이 3DS 인증을 시도하지 않았다는 뜻은 아닙니다.

실제 문의 대상은 문제 상황에 따라 달라집니다.

고객 지원에 문의하기 전에 거래 일시와 시간대, 가맹점 이름, 거래 금액과 통화, 카드 번호 끝 4자리, 오류 메시지 원문, 인증 진행 단계, 주문 상태와 승인 대기 상태를 정리하는 것이 좋습니다.

가맹점에는 다음과 같이 구체적으로 질문할 수 있습니다.

이 거래에 대해 3D Secure 본인 인증이 시작되었는지, 최종 인증 상태가 무엇인지, 결제 승인 단계까지 진행되었는지 확인해 주시겠습니까? 인증이 실패했다면 해당 오류 코드나 실패 사유를 제공해 주실 수 있습니까?

이런 정보는 단순히 '왜 결제가 안 되나요?'라고 묻는 것보다 원인을 파악하는 데 도움이 됩니다.

3DS의 transStatus 상태 코드는 어떻게 해석해야 할까?

가맹점 기술 지원팀이 상세한 인증 기록을 제공할 수 있다면 EMV 3DS의 transStatus 필드가 포함되어 있을 수 있습니다.

이 필드는 본인 인증 또는 계정 확인의 상태를 나타냅니다. 다만 메시지 단계, 프로토콜 버전, 서비스 제공업체의 표시 방식에 따라 해석과 표현이 달라질 수 있습니다.

C와 D를 최종 인증 실패로 바로 판단해서는 안 됩니다. A와 I 역시 Y와 동일한 의미가 아닙니다. 인증이 최종적으로 완료되었는지 판단하려면 메시지 단계, 관련 결과, 결제 서비스 제공업체의 처리 방식을 함께 살펴봐야 합니다.

EMVCo의 3DS 프로토콜 규격에 따르면 I는 Informational Only를 뜻하며, 3DS 요청자가 제시한 추가 인증 선호 사항이 확인되었음을 나타냅니다. 카드 소지자의 본인 인증이 완료되었다는 의미는 아닙니다.

반면 Adyen의 3D Secure 2 API 참조 문서는 I를 'Authentication / exemption granted by Issuer'라고 설명합니다. 즉, 발급사가 인증을 승인하거나 면제를 부여했다는 의미입니다. 이는 Adyen의 인터페이스 문서에 사용된 구체적인 표현으로, EMV 3DS 프로토콜의 정의와 직접 동일시해서는 안 됩니다. 또한 인증 면제가 Y가 의미하는 본인 인증 성공과 같은 것은 아닙니다. 해당 문서에는 가맹점 기술 담당자가 추가 조사에 활용할 수 있는 transStatusReason 사유 코드도 나와 있습니다.

일반적으로 카드 소지자가 이런 필드를 직접 확인하기는 어렵지만, 가맹점에 최종 인증 결과를 확인해 달라고 요청할 수는 있습니다. 인증이 성공했다면 이후 승인 요청이 실제로 전송되었는지, 발급사가 이를 거절했는지 확인해야 합니다.

스크린샷이나 거래 정보를 제출할 때는 꼭 필요한 정보만 남기고 민감한 부분은 가려야 합니다. 전체 카드 번호, CVV, 계정 비밀번호, OTP, 지갑 복구 문구는 누구에게도 제공해서는 안 됩니다.

가상자산 결제 카드로 구독 서비스, 해외 온라인 쇼핑, 각종 온라인 서비스를 자주 결제한다면 새 카드를 신청하기 전에 3DS 이용 가능 여부, 지원하는 인증 수단, 인증 실패 시 지원을 담당하는 주체를 확인하는 것이 좋습니다. 이러한 정보는 단순히 '전 세계 온라인 결제 지원'이라고 표시된 문구보다 실제 사용 중 문제를 얼마나 원활하게 해결할 수 있는지 판단하는 데 더 유용합니다.