발급사 식별 번호 (Issuer Identification Number)
다른 명령
발급사 식별 번호(Issuer Identification Number, IIN)는 결제 카드 번호의 앞부분에 해당하는 식별 번호로, 카드를 발급한 기관을 식별하고 결제 거래를 적절한 결제 네트워크와 발급기관으로 연결하는 데 사용되는 정보다. IIN은 국제표준화기구(ISO)와 국제전기기술위원회(IEC)의 ISO/IEC 7812 표준에 따라 관리된다. 과거에는 주로 BIN(Bank Identification Number)이라는 용어가 사용되었으나, 카드 발급기관이 반드시 은행에 한정되지 않는다는 점을 반영하여 IIN이라는 용어가 사용된다.
- 결제 카드 번호의 앞부분에 위치하며 발급기관을 식별하는 데 사용되는 번호 체계
- 국제표준 ISO/IEC 7812에 따라 관리되는 카드 식별 체계
- 기존 6자리 중심의 BIN 체계에서 8자리 IIN 체계로 확장됨
- 결제 승인, 거래 라우팅, 카드 상품 식별 및 부정거래 탐지 등에 활용됨
식별 체계 및 구조
IIN은 ISO/IEC 7812에 따라 발급되며, 카드 번호 체계에서 발급기관을 식별하는 역할을 한다. 일반적으로 카드 번호의 앞부분에 위치하며, 나머지 카드 번호와 결합되어 개별 계정이나 카드를 식별하는 전체 번호 체계를 구성한다.
IIN의 첫 번째 숫자는 MII(Major Industry Identifier)로 불리며, 카드 발급기관이 속한 산업 또는 카드 번호 체계의 범주를 나타내는 데 사용된다. 예를 들어 4는 금융기관이 발급하는 카드 번호 체계에서 사용되며, 5 역시 금융 관련 카드 체계에서 널리 사용된다. 다만 MII 숫자만으로 특정 카드사나 은행을 직접 판단할 수 있는 것은 아니며, 전체 IIN 체계와 관련 결제 네트워크의 정보를 함께 고려해야 한다.
과거에는 카드 번호의 앞 6자리를 BIN으로 사용하는 방식이 널리 활용되었다. 그러나 카드 발급기관과 카드 상품이 증가하면서 식별 번호의 범위를 확대할 필요성이 커졌고, ISO/IEC 7812에서는 8자리 IIN 체계를 도입했다. 이에 따라 현재의 결제 인프라에서는 6자리 BIN과 8자리 IIN이 혼용되어 언급되기도 하지만, 표준상으로는 IIN이라는 용어가 사용된다.
IIN은 개별 카드 소유자의 신원을 직접 식별하는 번호가 아니다. 특정 IIN을 통해 카드의 발급기관이나 카드번호 체계와 관련된 정보를 확인할 수 있지만, 카드 소유자의 이름이나 계좌 잔액 등의 개인정보를 IIN 자체가 포함하고 있는 것은 아니다.
결제 과정에서의 활용
카드 결제가 이루어지면 결제 네트워크는 카드번호 등의 거래 정보를 바탕으로 해당 거래를 처리할 경로를 결정한다. 이 과정에서 IIN은 카드 발급기관과 관련된 정보를 식별하는 데 활용될 수 있으며, 거래 승인 요청이 적절한 발급기관으로 전달되는 데 필요한 기초 정보 중 하나로 사용된다.
다만 IIN이 결제 승인 과정에서 모든 라우팅을 단독으로 결정하는 것은 아니다. 실제 결제 처리는 카드 브랜드, 결제 네트워크, 매입사, 발급사 및 가맹점의 거래 환경 등 여러 요소가 결합되어 이루어진다. IIN을 결제 시스템의 '주소'에 비유할 수는 있지만, 실제 거래 라우팅은 단순히 카드번호 앞자리만을 확인하여 결정되는 단일 단계의 과정은 아니다.
금융 및 결제 인프라에서의 활용
IIN은 카드 결제와 관련된 다양한 금융 시스템에서 기초적인 분류 정보로 활용된다. 카드 발급기관을 식별함으로써 거래 처리 시스템이 적절한 발급기관과 결제 네트워크를 연결하는 데 도움을 줄 수 있으며, 카드 상품이나 발급기관별 거래 특성을 분석하는 데에도 활용될 수 있다.
부정거래 탐지 분야에서도 IIN 관련 정보가 활용될 수 있다. 예를 들어 특정 발급기관이나 카드 상품에서 비정상적인 거래 패턴이 반복적으로 나타나는 경우, 결제 시스템은 거래 지역, 금액, 거래 빈도, 기기 정보 등 다른 위험정보와 함께 IIN 관련 정보를 활용하여 거래의 위험도를 평가할 수 있다.
또한 결제사업자나 금융기관은 IIN을 활용하여 카드의 발급 국가, 발급기관 또는 카드 유형과 관련된 정보를 분류할 수 있다. 이러한 정보는 해외 거래 처리, 거래 분석 및 결제 서비스 운영 등에 활용될 수 있다.
보안 및 개인정보 측면의 유의사항
IIN 자체는 카드 전체 번호나 카드 인증정보와 동일한 수준의 비밀정보는 아니다. 그러나 IIN은 카드번호의 일부이므로 다른 카드정보와 결합하여 사용될 경우 보안상 주의가 필요하다.
특히 온라인 결제 환경에서는 공격자가 특정 IIN을 이용하여 실제로 존재하지 않는 카드번호를 대량으로 생성하고 유효성을 확인하려는 이른바 BIN 공격(BIN Attack)이 발생할 수 있다. 이러한 공격은 결제 승인 시스템에 반복적인 인증 요청을 보내 유효한 카드번호를 찾아내거나 도난 카드정보를 검증하는 방식으로 이루어질 수 있다. 이에 따라 카드사와 결제사업자는 단순히 IIN만을 기준으로 거래를 판단하기보다는 거래 금액, 이용 지역, 거래 빈도, 디바이스 정보, 인증 결과 등 다양한 데이터를 종합하여 이상거래를 탐지한다.
철수와 영희의 결제 승인 이야기로 쉽게 이해하기
철수가 해외에서 신용카드를 사용하자 결제 시스템은 카드번호와 결제 관련 정보를 확인한다. 카드번호의 앞부분에 포함된 IIN 관련 정보는 해당 카드의 발급기관과 카드번호 체계를 식별하는 데 활용될 수 있다.
결제 네트워크는 이러한 정보를 포함한 여러 거래 데이터를 바탕으로 승인 요청을 적절한 경로를 통해 카드 발급기관에 전달한다. 발급기관은 카드의 유효성, 이용 가능 여부, 이상거래 여부 등을 확인한 뒤 승인 또는 거절 결과를 전달한다.
이 과정을 우편물에 비유한다면 IIN은 카드가 어느 발급기관과 연결되어 있는지를 파악하는 데 도움을 주는 주소 정보와 비슷한 역할을 한다. 다만 실제 결제 시스템에서는 IIN 외에도 여러 정보와 네트워크 규칙이 함께 사용된다.
실무 예시
온라인 결제 사업자가 해외 고객의 카드 결제를 처리한다고 가정할 수 있다. 결제 시스템은 카드번호와 관련된 IIN 정보를 활용하여 카드 발급기관 또는 카드번호 체계와 관련된 정보를 분류하고, 국가·카드 유형·거래 위험도 등을 판단하는 과정에 이를 활용할 수 있다.
예를 들어 동일한 결제 요청에서 카드 발급 국가와 실제 접속 지역이 크게 다르거나, 짧은 시간에 동일한 IIN 대역에서 비정상적으로 많은 승인 요청이 발생하는 경우 해당 거래를 추가적인 위험 분석 대상으로 분류할 수 있다. 다만 실제 부정거래 판단은 IIN 하나만으로 결정되는 것이 아니라 여러 거래정보와 보안 시스템의 분석 결과를 종합하여 이루어진다.
관련 개념
IIN은 신용카드 번호, 결제 네트워크, 거래 승인 및 가맹점 분류 코드(MCC) 등과 함께 카드 결제 시스템을 이해하는 데 중요한 개념이다.
IIN이 카드 발급기관과 관련된 식별 정보를 제공한다면, MCC는 카드 결제가 이루어진 가맹점의 업종을 분류하는 데 사용된다. 결제 시스템에서는 카드와 관련된 정보와 가맹점 관련 정보를 함께 활용하여 거래를 처리하고 위험을 평가할 수 있다.
출처
- ISO/IEC, ISO/IEC 7812-1:2017 Identification cards — Identification of issuers — Part 1: Numbering system, 제5판, 2017 — 카드 발급기관 식별을 위한 번호 체계와 발급사 식별 번호(IIN)·주 계좌번호(PAN)의 형식을 규정(2022년 검토 후 현행 유지). https://www.iso.org/standard/70484.html
- ISO/IEC, ISO/IEC 7812-2:2017 Identification cards — Identification of issuers — Part 2: Application and registration procedures, 제5판, 2017 — ISO/IEC 7812-1에 따른 IIN의 신청·등록 절차. https://www.iso.org/standard/70485.html
- Digital Transactions, ABA Formalizes BIN Administration Handoff to Long-Term Partner CUSIP, 2024년 2월 8일 — 미국은행협회(ABA)가 IIN 표준의 등록기관 지위를 유지하면서 일상 관리 업무를 CUSIP Global Services에 이관, BIN은 카드 발급기관을 고유하게 식별하는 8자리 번호. https://www.digitaltransactions.net/aba-formalizes-bin-administration-handoff-to-long-term-partner-cusip/
- 관할권: 국제 결제 시스템
- 기준일: 2026년
- 문서 성격: 신용카드·결제 인프라 용어 설명
- 주의사항: IIN의 구체적인 할당 및 관리 방식과 결제 네트워크의 거래 처리 절차는 관련 국제표준과 결제사업자의 운영정책에 따라 달라질 수 있다. 실제 결제 시스템에서는 IIN 외에도 다양한 거래정보와 보안정보가 함께 활용된다.