일회용, 가상 카드번호 발급 원리 2026 | 실물 번호 대신 쓰는 토큰의 한도

온라인 결제 직전에 카드사 앱에서 가상 번호 한 장을 만들고, 그 번호, 유효기간, CVC만 넣는 방식이 늘 있습니다. 실물 카드 앞면 번호와 다르게 보이는 경우가 많고, 유효기간이 수 시간에서 수일로 짧게 잡히거나 사용 횟수, 금액 한도가 따로 붙는 제품도 있습니다. 번호만 바꾸면 끝이 아니라, 그 번호가 얼마 동안, 몇 번, 얼마까지 살아 있는지가 결제 성공을 가릅니다.

헷갈리기 쉬운 지점은 세 가지입니다. 이 번호가 실물과 같은 한도를 쓰는지, 구독, 정기결제에 등록해도 되는지, 한 번 쓴 뒤 다시 쓸 수 있는지입니다. 아래에서는 앱 발급 가상, 일회용 번호가 어떤 순서로 만들어지고, 어떤 결제에는 맞고 어떤 결제에는 맞지 않는지 정보형으로만 다룹니다. 할인율, 적립률 같은 혜택 수치는 다루지 않으며, 카드사 앱 안내 문구를 우선합니다.

앱 화면에 뜨는 16자리(또는 비슷한 자리) 숫자는 실물 카드 앞면을 그대로 베낀 값이 아닌 경우가 많습니다. 카드사와 결제 네트워크 쪽에서 짧은 수명으로 쓸 수 있는 대체 번호를 만들고, 승인 시 그 값을 원장의 실물 계정에 다시 연결합니다. 그래서 가맹점이나 중간 서버에 남는 번호가 유출돼도, 실물 카드 번호 전체가 그대로 노출된 것과는 피해 범위가 달라질 수 있습니다.

모바일 월렛에 카드를 넣을 때 생기는 기기별 토큰(DPAN)과는 쓰임이 겹치면서도 다릅니다. 월렛 토큰은 그 기기와 그 앱에서 반복 결제용으로 오래 묶이는 쪽에 가깝고, 여기서 말하는 일회용, 가상 번호는 웹이나 앱 결제 창에 손으로 입력하는 번호 칸을 채우기 위한 짧은 자격에 가깝습니다. 기기 토큰 쪽 흐름은 폰에 카드 등록할 때 저장되는 것에서 따로 다룹니다.

카드사 앱에서 ‘가상 카드’, ‘일회용 번호’, ‘안심 결제 번호’ 같은 메뉴를 누르면, 대개 본인 인증(생체, 비밀번호, 기기 잠금) 뒤에 새 번호 묶음이 생성됩니다. 화면에 보이는 값은 대체로 번호 + 유효기간 + CVC(또는 유사 보안 코드) 세트입니다. 실물 카드의 유효기간, CVC와 숫자가 다를 수 있고, 달라야 정상인 설계도 있습니다. 번호 칸, 유효기간, CVC가 각각 무엇을 의미하는지는 카드번호, CVC, 유효기간 구성을 참고하면 입력 실수를 줄일 수 있습니다.

생성 직후 승인 요청이 들어오면, 카드사(또는 연계 토큰 서비스)가 ‘이 대체 번호가 아직 유효한가, 횟수, 금액을 넘지 않았는가, 본인 카드 상태(정지, 한도 초과)와 맞는가’를 검사한 뒤 실물 계정으로 연결합니다. 이용자에게는 명세에 가맹점명, 금액이 찍히고, 어떤 제품은 ‘가상 번호로 결제’ 표시가 따로 붙기도 합니다. 표시 방식은 카드사, 앱 버전마다 다르므로 앱 거래 내역 문구를 기준으로 보면 됩니다.

일회용, 단기 가상 번호의 유효기간이 수 시간~수일로 짧은 것은, 유출 후에도 쓸 수 있는 시간을 줄이려는 목적에 가깝습니다. 기간이 지나면 같은 숫자 조합이 더 이상 승인되지 않도록 서버 쪽에서 상태를 바꿉니다. 반대로 가상 번호를 며칠간 여러 번 쓰게 열어 둔 제품도 있어, ‘한 번만 된다’와 ‘기간 안이면 여러 번 된다’를 앱 안내 문구에서 먼저 확인하는 편이 안전합니다.

가상, 일회용 번호로 결제해도 청구, 잔액 차감의 기준은 결국 그 카드(또는 연결 계좌)입니다. 다만 앱 생성 단계에서 그 번호 전용 사용 한도를 추가로 거는 제품이 있습니다. 예를 들어 오늘 결제 한 건만 허용, 당일 합계 상한, 생성 시 입력한 금액 이내만 승인 같은 식입니다. 이 경우 실물 카드 여유 한도가 남아 있어도, 번호 쪽 캡을 넘으면 거절될 수 있습니다.

반대로 번호 전용 캡이 없는 제품은 실물 카드의 잔여 한도, 일일 한도, 해외 한도, 업종 제한을 그대로 따를 수 있습니다. 해외 가맹점, 달러 결제이면 실물 카드의 해외 결제 차단 설정, 브랜드 가능 여부, 환율, 수수료 규칙도 그대로 적용되는 경우가 많습니다. 구체 한도 숫자, 수수료율은 카드, 시점에 따라 달라 여기서 단정하지 않습니다. 앱의 가상 번호 생성 화면과 카드 한도 메뉴, 공식 안내를 같이 보면 됩니다.

많은 구독, 정기결제는 첫 등록 때 카드 정보를 저장해 두고, 이후 달에 가맹점 쪽에서 다시 승인을 요청합니다. 이때 저장되는 값이 실물 번호인지, 가맹점, PG가 만든 결제 토큰인지는 사이트마다 다릅니다. 등록 흐름 자체는 카드 정기결제 등록 안내, 단건 승인과 저장형 승인의 차이는 정기결제와 단건 승인 차이에서 볼 수 있습니다.

일회용, 만료가 짧은 가상 번호를 구독 결제 수단으로 넣으면, 첫 달은 통과해도 다음 청구에서 ‘카드 만료, 정보 오류’로 실패하는 패턴이 흔합니다. 반대로 카드사가 ‘정기결제용 가상 번호’처럼 유효기간을 길게 주거나, 같은 가상 번호를 여러 번 쓰게 열어 둔 제품이라면 등록이 유지될 여지는 있습니다. 가능 여부는 앱 안내의 ‘재사용 가능’, ‘유효기간’, ‘자동결제 지원’ 문구와, 해당 가맹점의 카드 저장 정책을 함께 봐야 합니다. 불확실하면 장기 구독에는 실물 번호나 카드사가 안내한 장기 결제 수단을 쓰는 편이 실패를 줄입니다.

가상, 일회용 번호가 잘 맞는 장면은 대체로 이렇습니다. 한 번만 쓸 쇼핑몰, 처음 보는 해외 사이트, 카드 정보를 오래 보관할지 확신이 없는 이벤트 결제, 공용 PC, 카페 와이파이처럼 입력 환경이 불안할 때입니다. 실물 번호를 입력란에 직접 넣지 않아도 되어, 스크린샷, 키로거, 피싱 페이지에 원본이 남는 면적을 줄이는 데 도움이 될 수 있습니다. 피싱이나 스미싱으로 번호를 빼앗기는 유형은 카드 피싱 및 스미싱 대응과 겹쳐 보면 대응 순서가 잡힙니다.

잘 맞지 않는 장면도 분명합니다. 매달 자동 청구되는 OTT, 클라우드, 보험료, 통신비처럼 장기 저장이 전제인 결제, 항공, 호텔처럼 사전 승인(홀드) 후 며칠 뒤 확정 청구가 이어지는 유형, 렌터카, 보증금처럼 한 번 승인 후 추가 청구가 날 수 있는 유형입니다. 이런 곳에서는 짧은 수명 번호가 중간에 만료되거나, 추가 승인 금액이 번호 캡을 넘기며 거절될 수 있습니다. ‘보안을 위해 전부 일회용’이 항상 맞는 선택은 아닙니다. 결제 형태에 맞춰 수단을 나누는 쪽이 실무에 가깝습니다.

쓰기 전에 앱에서 확인할 항목만 짧게 모았습니다.

• 생성 메뉴 이름이 가상, 일회용, 안심결제 중 무엇인지, 재사용 가능 여부가 안내되어 있는지
• 유효기간 만료 시각(당일 자정인지, 생성 후 N시간인지)과 시차, 타임존 표기
• 건당, 일 합계 한도, 해외 결제 포함 여부, 할부 가능 여부
• 생성 후 번호, CVC를 화면 캡처로 남기지 않기(채팅, 클라우드 동기화 주의)
• 결제 직후 승인 알림, 명세 가맹점명이 맞는지 확인
• 남은 미사용 가상 번호가 앱 목록에 쌓여 있다면 만료, 삭제 메뉴가 있는지 확인

결제가 끝난 뒤에도 가맹점 마이페이지에 ‘기본 카드’로 저장됐는지 보면 좋습니다. 저장형 카드 목록에 만료 임박 가상 번호가 남아 있으면 다음 결제가 실패하거나, 갱신 안내 메일이 올 수 있습니다. 사용하지 않을 저장 카드는 가맹점 쪽에서 지우는 습관이 분쟁을 줄입니다.

• 여신금융협회 - 신용카드 이용 및 소비자 안내 (crefia.or.kr)
• 금융감독원 파인 - 카드 이용 및 분쟁 상담 안내 (fine.fss.or.kr)
• 각 카드사 앱 및 홈페이지 - 가상카드, 안심결제, 일회용 번호 메뉴 및 이용 약관(제품별 상이, 공식 페이지 확인)

가상 번호 메뉴 이름, 유효기간, 한도 캡, 정기결제 지원 여부는 카드사, 상품, 앱 버전에 따라 다릅니다. 이 글의 설명은 일반적 구조를 정보형으로 풀어 쓴 것이며, 개별 상품의 가능 범위를 보장하지 않습니다.