2026.10.24 토요일
검색
'계정대여' 검색결과
기간검색
-
~
검색영역
검색어
-
"거래·출금 안 한다"는 말에 속지 마세요…두나무 API 키 주의보 [경제일보] 가상자산 거래소 계정을 노리는 사기 수법이 아이디·비밀번호를 직접 빼내는 방식에서 이용자에게 API 키를 넘기도록 유도하는 방식으로 확산하고 있다. 소셜미디어(SNS)에서는 '거래나 출금은 하지 않고 시장 데이터만 조회하겠다'며 업비트 계정이나 읽기 전용 API 키를 대여해 달라는 요구까지 등장했다. 10일 디지털자산 거래소 업비트를 운영하는 두나무에 따르면 최근 SNS를 중심으로 '원화(KRW) 마켓에 접근할 수 있는 업비트 계정'이나 '읽기 전용 API 키를 대여·구매한다'는 내용의 메시지가 확산하고 있다. 이들은 입출금이나 거래에는 관여하지 않고 시장 데이터 조회에만 사용한다며 계정이나 API 키 제공을 요구하는 것으로 알려졌다. 문제는 일반적인 시장 데이터 조회라면 애초에 이용자의 인증 API 키가 필요하지 않다는 점이다. 업비트의 시세·마켓 데이터는 인증 없이 접근할 수 있는 공개형 API를 통해 제공된다. 따라서 단순히 시장 데이터를 확인하기 위해 타인의 계정이나 인증 API 키를 요구한다는 설명은 정상적인 데이터 이용 목적과 맞지 않는다. API 키는 거래소 계정에 프로그램 방식으로 접근할 수 있도록 발급되는 인증정보다. 권한 설정에 따라 자산과 주문, 입출금 관련 정보를 조회하거나 거래 기능을 사용할 수 있어 아이디·비밀번호와 별개로 중요한 보안 수단으로 취급된다. 이용자가 이를 타인에게 넘길 경우 계정에 대한 통제권 일부를 외부에 넘기는 것과 마찬가지인 것이다. 특히 '읽기 전용'이라는 표현이 이용자의 경계심을 낮추는 수단으로 활용될 수 있다는 점이 문제로 꼽힌다. 거래나 출금 권한이 없다는 설명만으로 안전하다고 판단하기 쉽지만, 어떤 정보에 접근할 수 있는지와 해당 정보가 다른 공격으로 어떻게 활용될 수 있는지는 별개의 문제다. 공격자가 계정 정보나 거래 내역 등을 확보한 뒤 추가적인 피싱이나 사회공학 공격에 활용할 가능성도 배제하기 어렵다. 가상자산 거래에서 API 활용도가 높아지고 있다는 점도 공격자들이 API 키를 노리는 배경으로 분석된다. API는 자동매매 프로그램이나 자산관리 서비스, 거래 데이터 분석 등 정상적인 목적으로도 널리 사용된다. 이 때문에 일반 이용자 입장에서는 'API 키를 빌려달라'는 요구를 처음부터 사기나 해킹 시도로 인식하기 어려울 수 있다. 거래소 입장에서도 API가 새로운 보안 경계로 떠오르고 있다. 기존 계정 보안이 로그인 과정의 아이디·비밀번호와 다중인증 등을 중심으로 이뤄졌다면 API는 프로그램이 계정에 직접 접근하는 통로인 만큼 별도의 권한 관리와 호출 감시가 필요하기 때문이다. 두나무는 API를 통한 자산 접근 위험을 줄이기 위해 권한을 세분화하고 출금 기능에 추가적인 안전장치를 적용하고 있다. API 키에 '출금하기' 권한을 포함하더라도 기본적으로 출금을 차단하고, 이용자가 모바일 앱의 '더보기→보안인증→Open API 관리'에서 직접 출금 허용 기능을 활성화해야 실제 출금이 가능하도록 구현했다. 등록되지 않은 IP에서 API 호출이 발생했을 때 카카오톡 알림톡을 통해 이용자에게 알리는 기능도 제공한다. 이용자가 인지하지 못한 비정상적인 API 요청을 확인할 수 있도록 해 API 키가 외부에서 사용되는 상황을 조기에 파악할 수 있도록 한 것이다. 두나무는 API 키가 외부에 노출됐거나 유출이 의심되는 경우 해당 키를 즉시 삭제하고 새 키를 발급받을 것을 권고했다. 장기간 사용하지 않는 API 키 역시 삭제해 불필요한 접근 경로를 줄여야 한다고 강조했다. 계정 정보와 API 키를 타인에게 대여하거나 공유해서는 안 된다는 점도 재차 당부했다. 최근 큐싱(QR코드 피싱) 등 신종 사기가 이어지는 가운데 공격자들이 이용자에게 직접 인증정보를 넘기도록 유도하는 방식으로 수법을 넓히고 있다는 점도 주목된다. 악성 링크를 클릭하게 만드는 기존 피싱과 달리 API 키 대여 방식은 이용자에게 금전적 대가를 제시하거나 정상적인 데이터 사업처럼 설명할 수 있어 피해자가 위험성을 인지하기 어렵다는 특징이 있다. 두나무는 검증되지 않은 서비스를 내세워 계정이나 API 키를 요구하거나 허위·과장 광고로 이용자를 현혹하는 행위에 대해 강력하게 대응할 방침이다. 의심 행위에 이용됐거나 부당하게 대여된 계정은 이용을 정지하고 소명자료를 요구하며, 필요할 경우 수사기관 고발까지 진행한다는 계획이다. 두나무 관계자는 "단순 조회용이라는 말로 현혹하더라도 본인의 계정 정보나 API 키를 타인에게 넘기는 것은 자신의 금고 열쇠를 낯선 이에게 쥐여주는 것과 같다"며 "업비트는 앞으로도 투자자 보호를 최우선으로 삼고 모니터링을 강화해 악의적인 사기 행위로부터 회원의 자산을 안전하게 지키는 데 최선을 다하겠다"고 말했다.2026-10-10 15:00:00
-
빗썸, 80대 고객 이용하려면 영상통화…명의도용·계정대여 막는다 [경제일보] 빗썸이 80대 이상 고객을 대상으로 영상통화 방식의 추가 본인확인 절차를 도입했다. 디지털 금융 이용이 익숙하지 않은 초고령층의 명의로 계정을 만들거나 계정을 넘겨받아 가상자산 투자사기와 자금세탁 등에 이용하는 범죄를 사전에 막기 위한 조치다. 빗썸은 지난 4월 1일부터 80대 이상 회원이 새로 가입하거나 기존 고객확인(KYC) 정보를 갱신할 때 고객센터와 영상통화를 진행하고 있다고 23일 밝혔다. 영상통화에서는 신분증과 개인정보를 대조하는 데 그치지 않고 계정 명의자가 실제 이용자인지, 회원가입과 가상자산 거래 사실을 알고 있는지, 직접 서비스를 이용할 의사가 있는지도 확인한다. 본인 여부와 이용 의사가 확인되면 정상적으로 거래할 수 있다. 명의자가 직접 사용하는 계정이 아닌 것으로 판단되면 즉시 로그인을 차단한다. 영상통화가 연결되지 않으면 최대 4차례까지 통화를 시도하며, 최종적으로 확인되지 않을 경우 고객 자산 보호를 위해 원화 출금과 가상자산 출고 기능을 일시적으로 제한한다. 이후 정상적인 본인확인 절차를 마치면 제한을 해제한다. 실제 금융사고를 막은 사례도 나왔다. 빗썸은 최근 한 초고령 회원과 영상통화로 본인확인을 진행하던 중 해당 고객이 자신의 명의로 개설된 계정과 거래 내역을 전혀 알지 못한다는 정황을 포착했다. 이에 계정 거래를 제한하고 추가 보호 조치를 진행해 명의도용이나 제3자 이용으로 발생할 수 있는 피해를 차단했다. 이번 절차는 현행법상 의무 사항은 아니다. 가상자산 거래소는 자금세탁 방지를 위해 고객 신원과 거래 목적 등을 확인해야 하지만, 특정 연령층을 대상으로 영상통화까지 시행하도록 규정돼 있지는 않다. 빗썸이 고위험 고객군에 대해 자체적으로 검증 단계를 추가한 것이다. 비대면 금융이 확산하면서 고령층 명의를 이용한 계정 개설과 대포통장·대포계정 거래, 가족이나 지인을 사칭한 투자 권유 등도 늘고 있다. 특히 가상자산은 거래가 완료되면 자금을 되찾기 어렵고 해외 지갑으로 빠르게 이전할 수 있어 피해 발생 전 차단이 중요하다. 다만 연령만을 기준으로 절차를 강화하면 정상적인 고령 이용자의 접근성이 낮아질 수 있다는 점은 과제다. 영상통화 연결을 돕는 상담 지원과 명확한 제한 해제 절차, 개인정보 보호 장치를 함께 운영해야 금융취약계층 보호와 이용 편의성을 동시에 확보할 수 있다. 빗썸 관계자는 “법적 의무를 넘어 고령층 대상 금융범죄를 예방하고 회원 자산을 보호하기 위해 마련한 안전장치”라며 “금융취약계층이 안심하고 이용할 수 있는 거래 환경을 강화하겠다”고 말했다.2026-07-23 10:38:25
많이 본 뉴스
영상
Youtube 바로가기
![[데스크칼럼] 거제 조선소의 은퇴 풍경, 숙련이 떠나면 제조업 미래도 흔들린다](https://image.ajunews.com/content/image/2026/10/23/20261023102610396990_518_323.png)