한국인터넷진흥원은 이번 주 인증 오픈 API 운영자에게 2027년 3월 1일부터 청구·결제 상태 웹훅에 HMAC 서명과 재전송 방지 타임스탬프를 달라고 통보했다. 여름 4,200건 이상의 위조 콜백이 발신 키를 검증하지 않은 중간 집계사로 추적된 뒤 나온 조치다.

무엇이 깨졌나

공격자는 유사 상인 도메인을 등록하고 합법 국세청 전자세금계산서 메타데이터를 파트너 포털로 가져온 뒤 회계 SaaS에 가짜 “지급 완료” 웹훅을 밀어 넣었다. 경기·대구 소형 제조사는 사람이 세무 포털을 열기 전 자동 대사 도구가 공급자 배치를 풀어 급여 계좌가 빠져나갔다. KISA 사건 집계는 380억 원 이체 시도, 은행이 창구에서 약 3분의 2를 막았다고 한다.

로그인 쿠키를 노리는 피싱과 달리, 이 사기 체인은 핀테크가 “실시간 부가세 매칭”으로 마케팅한 기계 간 파이프 신뢰를 악용했다. 미들웨어가 침해 후 로테이션된 서명 비밀을 확인하지 않고 JSON을 전달한 경우가 많다고 조사관이 인증 제공자에 배포한 briefing note에 적었다.

KISA가 명령하는 것

개정 오픈 API 보안 가이드에 모든 웹훅은 KISA 인증 등록부 비밀로 keyed hash를 포함하고 7일간 저장되는 단조 이벤트 ID로 재생을 막아야 한다. 제공자는 12월까지 Java·Node 검증 라이브러리를 게시하고 3월 전 침투 재시험을 완료해야 한다. 비인증 통합사는 국내 운영은 가능하나 신뢰 마크·금융결제원 즉시결제 레일 연결은 불가.

KISA는 규칙이 금융위 강력 고객 인증이 이미 다루는 소비자 결제 버튼이 아닌 청구 상태에 적용된다고 강조했다. VAT 콜백이 “백오피스” 트래픽으로 이전 서명 요건에서 제외된다고 가정한 ERP 벤더에게 중요한 구분이다.

책임은 누가 지나

세 곳의 상장 핀테크 법무팀은 InfoHandle에 서명 검사 실패 집계사에 breach 통지 의무가 upstream으로 옮겨질 것이라고 말했다. 개인정보보호위원회는 위조 콜백이 사업자등록번호 무단 처리에 해당하는지 병행 검토 중이며, 추석 전 guidance letter가 예상된다.

은행은 서명이 의무화된 뒤 이중 통제를 무시한 기업에 환불하지 않겠다고 했다. 신한·우리는 웹훅 기반 출금도 5천만 원 초과는 2차 승인이 필요하다고 기업 고객에 상기했다.

벤더 총동원

판교 중형 API 게이트웨이는 공지 후 재시험 backlog가 세 배로 늘었다고 했다. 여러 곳은 11월 샌드박스 서명, 1월 프로덕션 키, 해시 불일치는 경고만 하고 막지 않는 read-only 모니터링 주를 계획한다. 회계 SaaS는 Windows Server 업그레이드 없이 새 crypto 라이브러리를 못 올리는 레거시 온프레미 설치에 유예를 KISA에 요청했다.

중소기업이 지금 할 일

KISA는 제공자가 컴플라이언스를 증명할 때까지 웹훅 성공 플래그만으로 자동 지급 규칙을 끄길 권한다. 세무사는 전환 중 NTS 포털과 매일 대사하고 웹훅 비밀은 가능하면 HSM에 보관하라고 했다. 지역 중소기업 센터에 배포된 교육 슬라이드는 7월 시범 공격의 replay 시도 신호인 중복 event ID를 찾는 법을 안내한다.

일정과 정치

국회 과방위는 오픈 API 사기를 자율 규제 실패 증거로 든 야당 의원들 뒤 9월 청문을 잡았다. 정부는 인증 벤더에게 3월이 현실적이라고 하면서 명절 시즌 사기가 급증하면 시한을 앞당길 여지를 남겼다. 지금은 강제 서명이 한국 중소 제조의 모든 위조 콜백을 보험하는 것보다 싸다고 보는 것이다.

국제적 함의

한국 세금계산서 미들웨어는 베트남·인도네시아로 수출된다. 파트너는 서울이 국경 간 서명 키를 상호 인정할지 물었다. KISA는 3월 범위 밖이라고 해 다국적은 관할별 검증 스택을 따로 돌려야 한다. 부산 수출 기업 CFO들이 2027 예산에 넣지 않은 컴플라이언스 비용이다.

감사 기대

상장 핀테크를 감사하는 외부 감사인은 InfoHandle에 2026부터 연말 검토에서 웹훅 로그를 샘플링하고 의무화 전에도 미서명 이벤트를 통제 결함으로 볼 것이라고 했다. KISA는 키 로테이션, 시계 skew 허용, 24시간 내 사고 보고를 다룬 CIO 체크리스트를 게시했다. 위조 콜백이 분기 공시에 나타나기 전까지는 형식적이어 보이는 세부다.

데스크톱 회계만 쓰는 가족 공장을 위해 지역 세무서는 9월 토요일 클리닉으로 이중 승인 설정을 안내할 계획이다. KISA 메시지는 직설적이다. 서명은 파이프를 고치지만 급여를 보내는 버튼 주인은 여전히 사람이다.