자격 증명 탈취

간단한 정의

자격 증명 탈취란 공격자가 속임수, 악성코드, 데이터 유출 또는 기타 방법을 통해 사용자의 로그인 자격 증명을 얻는 행위를 말합니다. 여기에는 사용자 이름, 비밀번호, 문자 인증번호, 일회용 인증번호, API 키, 거래 플랫폼 접근 토큰 등이 포함될 수 있습니다.

금융 및 거래 환경에서 자격 증명 탈취는 무단 로그인, 자금 이체, 보유 포지션의 임의 거래, 개인정보 오남용, API를 통한 비정상 주문 등으로 이어질 수 있습니다. 이는 투자 위험이 아니라 계좌 보안 및 사이버 보안 위험입니다.

자격 증명 탈취는 어떻게 발생하나

공격자는 보통 거래 시스템 자체를 직접 “해킹”하기보다, 사용자가 스스로 자격 증명을 입력하게 만들거나 사용자 기기, 이메일, 제3자 서비스에서 자격 증명을 훔치려 합니다. 일반적인 방식은 다음과 같습니다.

흔한 거래 상황 예시

1. 가짜 로그인 페이지

초보 트레이더가 “계좌 재인증이 필요하다”는 이메일을 받습니다. 이메일의 링크를 열면 실제 거래 플랫폼과 매우 비슷한 화면이 나타납니다. 사용자가 계정, 비밀번호, 인증번호를 입력하면 공격자는 이를 이용해 실제 계좌에 로그인하려고 시도할 수 있습니다.

확인 포인트: 화면의 외형만 보지 말고 도메인, 인증서, 저장해 둔 북마크, 공식 앱을 확인해야 합니다. 낯선 이메일이나 문자 링크를 통해 거래 계좌에 로그인하지 않는 것이 좋습니다.

2. 고객센터를 사칭해 인증번호 요구

공격자가 소셜미디어나 메신저에서 플랫폼 고객센터를 사칭하며 “계좌 복구”, “출금 처리”, “비정상 주문 취소”를 위해 인증번호가 필요하다고 말합니다. 인증번호는 일반적으로 로그인, 송금 또는 민감한 작업을 확인하는 데 쓰입니다. 타인에게 인증번호를 제공하는 것은 계좌 조작을 승인하는 것과 같을 수 있습니다.

확인 포인트: 정상적인 고객센터는 일반적으로 전체 비밀번호, 일회용 인증번호 또는 2단계 인증 코드를 요구하지 않습니다.

3. API 키의 실수 공개

일부 트레이더는 퀀트 도구나 제3자 소프트웨어를 이용해 거래 계좌에 연결합니다. API 키가 공개 코드 저장소, 스크린샷, 단체 채팅방 또는 신뢰할 수 없는 소프트웨어에 노출되면 공격자가 해당 키를 이용해 조회, 주문 또는 기타 작업을 수행할 수 있습니다. 가능한 작업 범위는 키에 부여된 권한 설정에 따라 달라집니다.

확인 포인트: API 키는 최소 권한 원칙에 따라 설정해야 합니다. 예를 들어 필요한 읽기 권한 또는 거래 권한만 부여하고, 출금 권한은 쉽게 열어두지 않는 것이 바람직합니다. 더 이상 사용하지 않는 키는 즉시 삭제해야 합니다.

초보 트레이더에게 중요한 이유

자격 증명 탈취의 영향은 단순히 “로그인당했다”는 수준에 그치지 않을 수 있습니다. 거래 계좌에서 공격자는 다음과 같은 행동을 할 수 있습니다.

• 개인 신원정보, 거래 기록, 잔고, 보유 포지션 조회;
• 이메일, 휴대전화 번호 또는 보안 설정 변경;
• 무단 주문, 포지션 청산 또는 고위험 거래 실행;
• 플랫폼 절차와 보안 통제에 따라 자금 또는 자산 이전 시도;
• 계좌를 사기, 자금세탁 또는 기타 위법·부정 활동에 이용.

플랫폼, 지역, 계좌 유형에 따라 보호 규정은 다릅니다. 손실을 회복할 수 있는지는 플랫폼 약관, 현지 법률, 계좌 보안 설정, 신고 및 이의 제기 자료 등 여러 요인에 달려 있습니다. 자금이 반드시 복구되거나 거래가 취소될 것이라고 가정해서는 안 됩니다.

예방 핵심 사항

아래 조치가 위험을 완전히 없애지는 못하지만, 자격 증명 탈취와 계좌 오남용 가능성을 크게 낮추는 데 도움이 될 수 있습니다.

1. 고유하고 강력한 비밀번호 사용: 거래 계좌, 이메일, 은행 계좌에 같은 비밀번호를 사용하지 않습니다.
2. 다중 인증(MFA) 활성화: 인증 앱, 하드웨어 보안 키 등을 우선 고려합니다. 문자 인증은 MFA가 없는 것보다 낫지만, SIM 스와핑 같은 위험이 있을 수 있습니다.
3. 도메인과 앱 출처 확인: 공식 웹사이트, 공식 앱스토어 또는 저장된 북마크를 통해 로그인하고 낯선 링크 클릭을 피합니다.
4. “긴급” 표현 경계: “계좌가 곧 동결됩니다”, “즉시 인증해야 합니다”, “놓치면 출금할 수 없습니다” 같은 압박성 메시지에 주의합니다.
5. 이메일 계정 보호: 이메일은 거래 계좌 비밀번호 재설정에 자주 사용되므로, 이메일이 탈취되면 거래 계좌까지 장악될 수 있습니다.
6. API 권한 제한: 필요한 권한만 부여하고, 플랫폼이 지원한다면 IP 화이트리스트를 설정하며, 사용하지 않는 키는 정기적으로 교체하거나 삭제합니다.
7. 로그인 및 작업 기록 확인: 낯선 기기, 이상한 IP, 알 수 없는 주문, 보안 설정 변경이 보이면 즉시 조치합니다.
8. 기기 보안 유지: 출처가 불분명한 거래 소프트웨어, 크랙 플러그인, 의심스러운 브라우저 확장 프로그램 설치를 피합니다.

자격 증명 탈취가 의심될 때 할 일

거래 계좌 자격 증명이 유출되었다고 의심되면 가능한 한 빨리 다음 조치를 취해야 합니다.

• 공식 채널을 통해 즉시 로그인한 뒤 비밀번호 변경;
• 의심스러운 기기, 세션, API 키 폐기;
• 다중 인증 활성화 또는 재설정;
• 최근 주문, 자금 이체, 출금 주소, 개인정보 변경 내역 확인;
• 플랫폼 공식 고객센터 또는 보안팀에 연락하고 이메일, 문자, 링크, 스크린샷, 시간 기록 보관;
• 자금 손실이나 신원정보 도용이 관련된 경우, 거주지 법률과 플랫폼 요구사항에 따라 관련 기관에 신고하거나 민원을 제출.

확인되지 않은 “고객센터”나 커뮤니티 구성원에게 새로운 인증번호, 신분증 사진 또는 전체 계좌 정보를 보내서는 안 됩니다.

관련 용어

• 피싱: 신뢰할 수 있는 기관처럼 위장해 사용자가 정보를 노출하도록 유도하는 공격 방식.
• 다중 인증: 비밀번호 외에 일회용 인증번호, 하드웨어 키, 생체인증 등 추가 인증 요소를 사용하는 방식.
• 크리덴셜 스터핑: 공격자가 이미 유출된 계정·비밀번호 조합을 이용해 다른 웹사이트나 플랫폼에 대량 로그인 시도를 하는 행위.
• 계좌 탈취: 공격자가 계좌 통제권을 확보한 뒤 정보를 변경하거나 데이터를 조회하거나 작업을 실행하는 행위.
• API 키: 프로그램 방식으로 거래 플랫폼에 접근하는 데 쓰이는 자격 증명. 유출될 경우 자동화된 작업 위험이 발생할 수 있음.

참고 자료

• https://consumer.ftc.gov/articles/how-recognize-and-avoid-phishing-scams
• https://www.cisa.gov/MFA
• https://www.sec.gov/oiea/investor-alerts-and-bulletins/ib_safeguardingaccount
• https://www.nist.gov/itl/smallbusinesscyber/guidance-topic/phishing
• https://www.finra.org/investors/insights/cybersecurity-and-your-brokerage-account