유출된 API 키는 어디로 가는가

유출된 API 키는 남의 매출이 되고 우리 회사의 청구서가 됩니다. 공격자가 키를 복사하면 직접 모델을 호출하거나 다른 사람에게 접근권을 팔 수 있습니다. 구매자에게는 저렴한 AI API가 제공되고 원래 키를 가진 회사에는 사용료가 쌓입니다.

앞선 Railway 사고 글 이후 Cremit은 이 시장의 판매 정황을 확인했습니다. 2026년 11월 12일 한국 시각 기준으로 공개 판매 사이트 두 곳을 직접 열어 상품 설명, 모델별 요금, 결제 안내를 확인하고 화면을 보존했습니다. 지하 포럼의 API 키 판매 광고와 탈취 키의 실제 악용 사례도 함께 대조했습니다.

AI 모델 접근권을 판매하는 사이트는 공개적으로 운영되고 있습니다. Railway는 탈취 키의 무단 사용 비용을 약 74만 달러로 추산했습니다. 국내에서도 최근 Cremit의 사고 대응 과정에서 자격증명의 실제 악용이 보고됐습니다.

외부 플랫폼이 복구된 뒤에도 복제된 키는 살아 있을 수 있습니다. 그 시간 동안 공격자는 요청을 보내고 접근권을 유통할 수 있습니다. 기업이 찾아야 할 것은 키의 복사본, 현재 유효성, 실제 사용 흔적입니다. 대응이 늦어지는 시간만큼 공격자가 쓸 수 있는 시간이 늘어납니다.

Railway 상세 보고서가 더한 사실

Railway는 11월 10일 상세 사고 보고서를 공개했습니다. 공격자는 빌드 환경의 격리 결함으로 내부 자격증명을 확보한 뒤 빌드 이력과 내부 소스에 접근했습니다. 이후 잘못 설정된 OIDC 신뢰 관계를 통해 클라우드 자격증명을 얻고 환경변수 복호화에 필요한 권한까지 확보했습니다.

Railway가 제시한 잠재적 영향 범위의 상한은 최대 1.85%, 약 10만 워크스페이스입니다. 보고서는 빌드 이력 353건에 대한 접근, 사용자 1,852명의 연동 토큰 영향, 탈취 키로 발생한 약 74만 달러의 무단 사용 추정액을 제시했습니다.

공격자가 실행한 쿼리는 AI 제공사 이름에 해당하는 환경변수를 골랐습니다. 사후 확인된 무단 요청에는 코딩 에이전트와 AI 학습 관련 작업이 포함됐습니다. Railway는 이를 접근권 중계·재판매와 일치하는 양상으로 설명했습니다.

여기서 기술적으로 살펴볼 부분은 암호화와 권한의 관계입니다. 저장된 값이 암호화돼 있어도 공격자가 암호문을 읽는 경로와 복호화를 요청하는 경로를 함께 확보하면 보호 경계가 무너집니다. 짧게 발급된 클라우드 자격증명도 더 오래 쓸 수 있는 비밀을 꺼낼 권한이 있으면 피해를 장기화할 수 있습니다.

따라서 보안 검토는 저장 방식에서 한 단계 더 나아가야 합니다. 어떤 워크로드가 비밀을 읽고 복호화할 수 있는지, 그 워크로드에 누가 접근할 수 있는지, 그 안에서 다시 어떤 키를 얻을 수 있는지까지 확인해야 합니다. 이 연결을 놓치면 개별 구성 요소는 적절해 보여도 여러 권한이 결합한 결과를 보지 못합니다.

OpenCode에서도 노출 대상은 고객이 맡긴 키였습니다

OpenCode는 10월 17일 UTC 기준 공식 공지에서 외부 제공사를 연결한 Console 사용자 1.4%가 영향을 받았다고 밝혔습니다. Anthropic·OpenAI·Google과 대응 중이라고 설명했습니다. 사고 대상은 고객이 외부 제공사 키를 연결하는 호스팅 서비스 Console입니다.

BYOK(Bring Your Own Key)는 이미 발급받은 모델 제공사 키를 다른 도구에 연결하는 방식입니다. 편리하지만 키의 보관처와 실제 권한을 판단하는 주체가 달라집니다. 도구가 키를 저장하고 있어도 키를 사용하지 못하게 만드는 최종 권한은 발급처에 남아 있습니다.

이 구조에서 외부 도구의 연결을 해제하는 조치와 발급처에서 키를 폐기하는 조치는 별개입니다. 복제된 키를 가진 사람이 제공사에 직접 요청하면 기존 도구의 사용량 화면을 거치지 않을 수 있습니다. 사고가 난 도구의 대시보드만 보고 무단 사용 여부를 판단하면 이런 요청이 조사에서 빠질 수 있습니다.

직접 확인한 모델 API 판매와 결제 화면

Cremit은 공개 판매 사이트 두 곳의 상품 설명, 가격표, 결제 안내를 직접 확인했습니다. 모델 목록과 개발자 문서, 잔액 충전 절차까지 갖춘 화면이었습니다. 키를 수익으로 바꾸는 유통망은 평범한 온라인 서비스의 모습을 하고 있습니다.

LLM Routing 공식 가격의 절반 수준이라는 광고

llm-routing[.]com은 OpenAI·Claude·Gemini를 하나의 API로 이용할 수 있다고 안내했습니다. 첫 화면에는 공식 가격의 절반 수준이라는 문구가 있었고 요금 영역에는 자체적으로 표시한 공식 참고 가격과 판매 가격이 나란히 배치돼 있었습니다. 사용량에 따른 과금과 잔액 충전을 설명하고 USDT TRC20 결제 절차도 공개했습니다.

Xingjiabi 모델별 가격과 여러 공급 경로

xingjiabiapi[.]org도 공개 홈페이지와 요금 페이지를 운영하고 있었습니다. 조사 시점 요금 페이지는 활성 모델 87개를 표시했습니다. 모델마다 입력·출력 요금을 제시했고 공급 경로를 나타내는 그룹 이름에는 AWS·GCP·OpenRouter 등을 가리키는 문자열이 포함돼 있었습니다.

두 판매 운영과 연결된 인프라에서는 탈취된 기업 키를 검사한 흔적도 보고됐습니다. 공개 판매 제안과 유출 자격증명의 악용이 만나는 지점입니다.

지하 포럼에는 키 자체를 파는 광고도 있습니다

접근권을 중계하는 사이트 외에 API 키를 직접 판매하는 광고도 있습니다. 지하 포럼의 CyberThreat 계정은 OpenAI·Anthropic·xAI 키를 15달러부터 판매하고 대량 구매 할인을 제공한다고 광고했습니다. 게시 날짜는 2026년 3월 15일입니다.

VOLTIC 광고는 다중 AI 모델 접근권을 판매하며 상품 구간과 암호화폐 결제를 안내했습니다. 계정 등급에는 DarkForums가 표시돼 있습니다.

10월의 연속 침해 이전부터 키와 모델 접근권을 사고파는 시장이 형성돼 있었습니다. 공격자는 키를 확보한 뒤 이미 존재하는 판매 경로를 활용할 수 있습니다.

유통 경로도 다양합니다. 해킹 포럼과 텔레그램에서는 판매자가 구매자를 모으고, 공개 웹의 중계 사이트는 가격과 결제, 모델 호출을 제공합니다. 기업의 키는 이런 경로를 거치며 여러 이용자의 요청을 처리하는 자원으로 바뀔 수 있습니다.

공격자가 파는 것은 키 한 줄과 그 뒤의 사용 권한입니다

키 문자열을 넘기는 거래와 모델 호출을 대신 처리하는 서비스는 구매자가 받는 것이 다릅니다. 전자는 구매자가 키를 직접 보유합니다. 후자는 중계 운영자가 여러 키를 보유하고 구매자에게 별도 접근 토큰이나 계정을 줍니다. 구매자는 원래 키를 보지 않고도 그 키가 허용하는 자원을 소비할 수 있습니다.

여러 탈취 키를 모아 요청을 중계하는 불법 계층은 LLM Mixer로 불립니다. 침입과 수익화를 서로 다른 주체가 나눠 맡는 사례도 관측됐습니다. 탈취 키 기반의 jet-night[.]com과 접근권 재판매 생태계인 newapi[.]pro가 대표적인 조사 사례입니다. 일부 피해 조직에서는 차단 전 누적 비용이 100만 달러에 도달했습니다.

방어자는 키의 수집부터 소비, 차단 이후의 후속 접근까지 연결해 봐야 합니다.

기업의 이름을 검색해도 아무것도 나오지 않을 수 있습니다. 접근권을 중계하는 서비스가 원래 키 소유자의 이름을 광고할 이유는 없기 때문입니다. 특정 회사 이름이 붙은 판매 게시물을 찾지 못했다는 사실만으로 그 회사의 키가 유통되지 않았다고 판단할 수는 없습니다.

실제 악용은 어디에서 확인해야 할까

판매 광고는 판매자의 주장입니다. 키가 작동한다는 결과는 특정 시점의 상태입니다. 권한 정책은 가능한 접근 범위를 보여줍니다. 실제 사용 기록은 이미 일어난 행위의 근거입니다. 각각 답하는 질문이 다릅니다.

저장소에서 발견한 키가 현재도 유효하고 낯선 IP에서 모델 호출까지 발생했다면 긴급 대응 대상입니다. 노출 위치와 확인 시각을 기록하고 발급처에서 접근을 차단하며 사용 기록으로 피해 범위를 추적해야 합니다.

발급처의 사용 로그가 무단 호출을 보여주면 즉시 대응해야 합니다. 판매 경로를 추적하는 동안에도 활성 키의 차단을 진행할 수 있습니다.

로그를 볼 때에는 성공한 요청만 찾지 않는 편이 좋습니다. 사용하지 않던 모델이나 리전의 요청, 권한 거부, 할당량 확인, 이후의 성공 호출이 같은 시간대에 나타나는지 살펴봅니다. 다만 이런 이벤트는 정상 애플리케이션과 운영 도구에서도 발생할 수 있으므로 배포 이력, 담당자의 작업, 기존 호출 패턴과 대조해야 합니다.

기록이 없다는 판단도 수집 범위 안에서 내려야 합니다. 모델 호출이 기록되는 로그가 켜져 있었는지, 조사 기간의 데이터가 남아 있는지, 비용 집계에 지연이 있는지부터 확인합니다. 키 관리 이벤트만 수집한 시스템으로 모델 사용 내역까지 조사했다고 볼 수는 없습니다.

인포스틸러가 수집하는 자료에는 AI 서비스 세션과 유효한 API 키도 포함됩니다. 공격자는 이미 인증된 세션이나 키를 가져가 새 로그인 없이 접근을 이어갈 수 있습니다. 계정 로그인 보호와 함께 세션·API 키의 노출을 관리해야 하는 이유입니다.

국내 사고 대응에서도 확인해야 했던 질문

최근 Cremit의 국내 사고 대응 과정에서도 자격증명의 실제 악용이 보고됐습니다. 해외 플랫폼의 사고 공지에서 보던 문제가 국내 운영 환경에서도 현실적인 대응 과제가 되고 있습니다.

현장에서 필요한 판단은 구체적입니다. 어떤 자격증명이 외부에 알려졌는지, 공격자가 사용할 당시 유효했는지, 그 권한으로 어디까지 접근할 수 있었는지, 차단 이후에도 다른 경로가 남아 있는지를 확인해야 합니다.

새 키의 배포와 이전 키의 폐기를 각각 확인해야 합니다. 같은 환경에 저장됐던 다른 비밀도 조사 대상입니다. 외부 플랫폼의 침해 공지가 나오면 해당 플랫폼에 맡긴 키 목록과 실제 운영 서비스의 연결 관계를 대조해야 합니다.

기술기업으로서 Cremit이 이 문제를 다루는 이유도 여기에 있습니다. 사고 기사에서 유출된 비밀의 종류를 읽는 일과 우리 조직에서 해당 키를 찾아 조치하는 일 사이에는 간격이 있습니다. 평소에 발견 위치, 유효성, 권한, 담당자, 처리 기록을 연결해 두면 사고 때 새로 만들어야 하는 목록을 줄일 수 있습니다.

키 교체가 끝났다고 말하기 전에

대응 중에는 새 키 발급, 애플리케이션 설정 변경, 배포 완료, 이전 키 폐기가 하나의 작업처럼 기록되기 쉽습니다. 실제로는 서로 다른 상태입니다. 다음은 조직의 사고 대응 절차에 넣을 수 있는 확인 항목입니다.

1. 노출된 키와 발급처를 식별합니다. 키 원문을 일반 티켓에 복사하는 대신 발급처의 키 식별자와 접근이 제한된 증거 위치를 사용합니다. 여러 키를 구별할 정보가 부족하면 담당자와 함께 확인합니다.
2. 현재 무단 사용을 차단합니다. 악용 중인 키는 서비스 영향과 긴급 대응 절차에 따라 발급처에서 비활성화하거나 폐기합니다. 조사가 끝날 때까지 사용 가능한 상태로 두지 않습니다.
3. 새 키를 배포한 위치를 확인합니다. 운영·개발·배치·CI 등 기존 키를 사용하던 워크로드를 확인하고 필요한 곳에 새 값을 반영합니다. 설정 파일 수정과 실행 중인 프로세스 반영을 구분합니다.
4. 이전 키가 더 이상 쓰이지 않는지 확인합니다. 새 키를 만들었다는 기록에 이전 키의 폐기 결과와 확인 시각을 더합니다. 폐기 상태 확인은 승인된 계정과 발급처가 제공하는 방법을 사용합니다.
5. 남은 복사본과 추가 접근을 조사합니다. 저장소 이력, 문서, 메시지, 빌드 산출물 등 승인된 범위에서 사본을 찾습니다. 같은 노출 경로에 있던 다른 자격증명과 사고 중 새로 만들어진 접근 수단도 검토합니다.
6. 피해와 종료 근거를 기록합니다. 발급처의 사용·감사·청구 기록으로 확인한 행위와 조회하지 못한 범위를 남깁니다. 비용 환불과 자격증명 차단은 별도로 관리합니다.

발급처마다 키 제한과 사용량 통제 방식이 다릅니다. 예산 알림이 실제 호출 차단까지 수행하는지, 제한 단위가 조직·프로젝트·키 중 무엇인지도 확인해야 합니다. 알림이 도착하는 것과 지출이 멈추는 것은 다른 동작입니다.

Cremit이 연결하는 탐지 이후의 작업

자격증명 보호 제품의 가치는 발견 이후의 작업까지 이어져야 합니다. 키가 보였다는 알림을 받은 다음 담당자가 어느 화면을 열고 어떤 근거로 조치할지까지 연결돼야 현장에서 쓸 수 있습니다.

코드와 협업 도구에 남은 복사본을 찾습니다

Cremit의 시크릿 스캐닝은 GitHub·GitLab·Bitbucket 같은 저장소와 GitHub Packages, AWS S3, Google Drive, Jira, Confluence, Notion, Slack 등 연결한 소스를 검사합니다. 지원하는 자격증명 유형은 1,000종 이상입니다. 실제 검사 범위는 연동 권한과 소스별 지원 범위에 따라 달라집니다.

예를 들어 사고 대응 중 새 키를 발급한 뒤 설정 예시를 Slack에 공유하고 같은 값을 Jira 티켓에도 붙였다면 두 협업 도구가 추가 보관처가 됩니다. 저장소만 검사하는 절차로는 이 사본을 놓칠 수 있습니다. 연결 소스를 넓히는 이유는 개발팀이 쓰는 업무 경로를 함께 확인하기 위해서입니다.

등록된 자산 바깥의 공개 노출은 외부 노출 스캐닝에서 다룹니다. 등록한 도메인이나 GitHub 조직을 출발점으로 공개 자산의 발견 근거를 확인하고 범위 밖 대상을 제외합니다. 외부 노출 스캐닝은 Enterprise 범위에서 검토합니다.

탐지한 키의 현재 상태와 확인 시각을 함께 봅니다

살아 있는 키를 먼저 처리할 수 있어야 합니다. Cremit은 자동 검증을 지원하는 유형에 대해 발급처 기준의 유효성을 확인하고 수동 검토가 필요한 결과를 구분해 대응 우선순위를 정할 수 있게 합니다.

활성 키의 재검증은 이전 결과 이후 상태 변화를 확인하는 데 활용합니다. 조사자는 검증 방법과 마지막 확인 시각을 보고 발급처의 사용 감시와 긴급 차단을 이어갑니다.

권한 분석으로 조사 순서를 정합니다

모델 호출만 허용하는 키와 다른 비밀을 읽거나 접근 권한을 변경할 수 있는 키는 피해 범위가 다릅니다. Cremit은 필요한 연동을 통해 AWS 액세스 키와 GCP API 키의 권한·제한 정보를 분석하고 조사에 필요한 맥락을 제공합니다.

권한이 넓은 키라면 관련 서비스와 다른 자격증명까지 조사 범위를 확장해야 합니다. 권한 분석으로 우선순위를 정하고 발급처 로그에서 실제 사용 행위를 추적합니다.

인벤토리와 관계 정보에서 조치 대상을 좁힙니다

자격증명 인벤토리는 스캔으로 발견한 키, 시크릿 매니저에서 동기화한 항목, 수동 등록한 자산을 출처에 따라 구분해 보여줍니다. 발견 위치와 확인 가능한 관계 정보를 보면 같은 자격증명이 여러 업무 도구에 남아 있는지 조사할 수 있습니다.

발견 위치와 작성자, 디렉터리 정보를 현재 운영 책임자와 연결하는 작업도 필요합니다. Cremit의 관계 정보는 담당자가 실제 사용처를 확인하고 조치할 사람을 지정하는 데 활용됩니다.

이 관계가 정리돼 있으면 외부 플랫폼 공지가 나왔을 때도 대응 질문을 바꿀 수 있습니다. 모든 팀에 같은 안내를 보내는 데서 더 나아가 해당 플랫폼과 연결된 키, 그 키가 발견된 위치, 처리할 담당자를 구체적으로 확인할 수 있습니다. 플랫폼 연결 관계가 기록되지 않은 부분은 별도 조사로 채워야 합니다.

알림을 담당자의 조치와 종료 기록으로 연결합니다

Cremit은 Slack·Webhook·Telegram·Email 알림과 인시던트 관리, MTTD·MTTR 지표를 지원합니다. 발견 사실을 전달하고 담당자와 처리 상태를 관리하는 흐름입니다. 조직은 이 흐름 안에 발급처 차단, 서비스 복구, 이전 키 확인 결과를 남길 수 있습니다.

SAML·OIDC SSO와 SCIM 디렉터리 동기화, 퇴사자와 연결된 자격증명 표시는 계정 정리 이후 남은 기계 접근을 검토하는 데 활용할 수 있습니다. 퇴사자가 만들거나 사용하던 키의 유효성과 사용처를 확인하고 인계·폐기로 연결합니다.

시크릿 매니저에 넣은 뒤의 상태도 살펴봅니다

AWS Secrets Manager의 상태 점검은 저장된 시크릿의 유효성, 미사용 여부, 코드 중복 노출을 검토하는 데 활용합니다. 안전한 보관소를 사용하더라도 같은 값이 과거 코드나 문서에 복사돼 있다면 그 위치도 관리해야 하기 때문입니다.

인벤토리에서 볼트 동기화 항목과 스캔 발견 건을 대조하면 승인된 보관소 밖에 남은 복사본을 추적할 수 있습니다. 보관 상태와 노출 상태를 함께 관리하는 방식입니다.

값의 보관과 공유에 접근 통제를 적용합니다

발견한 사본을 지우는 작업과 함께 비밀을 전달하는 방식을 바꿀 수 있습니다. Cremit Vault는 프로젝트·환경별 시크릿 값을 암호화해 보관하고 값 열람에 접근 요청과 패스키 승인을 적용합니다. 기존 AWS Secrets Manager·Parameter Store·HashiCorp Vault는 읽기 전용으로 연결해 인벤토리에서 확인하는 방식도 지원합니다. Cremit의 보관·공유 기능

팀에 조사 정보를 전달할 때에는 발견 위치·판정·담당자 같은 정보를 공유하고 값 자체는 제외할 수 있습니다. 값 전달이 필요한 경우에는 조직 정책에서 별도로 허용하는 값 직접 공유를 사용합니다. 수신자를 지정하고 만료 기간과 총 열람 횟수를 정하며 필요할 때 회수할 수 있습니다. 받는 사람의 계정 확인도 거칩니다. 시크릿 공유 사용자 가이드

장애 대응 채팅방에 운영 토큰을 붙여 넣는 대신 승인된 조직 구성원에게 제한된 시간과 열람 횟수로 전달하는 절차를 만들 수 있습니다. 노출이 의심되는 키는 발급처에서 폐기하고 이후의 전달 경로에도 접근 통제를 적용합니다.

지원하는 AWS 키는 단계별 승인을 받아 교체합니다

Cremit은 AWS Secrets Manager에 보관된 AWS IAM 사용자 키에 대해 별도 쓰기 역할을 연결하고 단계마다 승인을 받아 교체하는 흐름을 지원합니다. 지원 대상과 승인 조건

이 기능을 대응 절차에 넣을 때에도 새 키 생성과 보관소 반영, 실제 애플리케이션 전환, 이전 키 사용 중지의 관계를 확인해야 합니다. 승인하는 사람은 서비스의 전환 상태와 이전 키가 담당하던 작업을 알아야 합니다. 교체 기능과 운영팀의 배포·복구 절차가 연결돼야 서비스 영향을 관리하면서 노출된 권한을 회수할 수 있습니다.

하나의 사고 대응에 기능이 연결되는 방식

외부 개발 플랫폼에 모델 제공사 키와 클라우드 키를 저장한 조직이 침해 공지를 받았다면 다음 작업들이 연결돼야 합니다.

Cremit에서 조사 근거를 모으고 담당자가 조치 결과를 확인합니다. 지원 대상 AWS IAM 사용자 키에는 승인에 따른 교체 흐름을 활용하고 다른 키는 소유자가 발급처에서 교체합니다. 발견부터 노출된 접근의 종료까지 이어지는 대응입니다.

기업이 지금 준비할 수 있는 것

먼저 외부 서비스에 맡긴 키를 목록으로 만들어야 합니다. 키의 발급처, 사용 서비스, 보관 위치, 현재 담당자, 폐기 방법이 연결돼 있어야 사고 공지가 왔을 때 바로 움직일 수 있습니다. 모델 제공사에 직접 발급한 키와 클라우드 계정을 통해 모델을 호출하는 자격증명도 함께 검토합니다.

다음으로 키를 발급하는 단계에서 피해 범위를 줄입니다. 서비스와 환경별로 키를 나누고 지원되는 권한·네트워크·모델 제한을 적용합니다. 예산 경보와 실제 사용 제한을 구분해 설정하고 사용하지 않는 키를 정리합니다. 짧은 수명의 자격증명을 도입할 때에도 갱신 권한과 다른 비밀을 읽는 권한까지 함께 검토합니다.

그리고 한 번은 실제 대응 절차를 점검해야 합니다. 외부 도구가 중단돼도 발급처에서 키를 차단할 수 있는지, 야간에 누가 결정하는지, 새 키를 어디에 반영해야 하는지, 이전 키의 폐기를 무엇으로 확인하는지 살펴봅니다. 운영 서비스가 끊길 때의 복구 절차도 같은 계획 안에 있어야 합니다.

이번 조사에서 확인한 판매 사이트는 모델 목록, 가격표, 개발자 문서, 결제 안내를 갖추고 있었습니다. 기업이 보호해야 할 자격증명은 이런 서비스의 뒤에서 계속 소비될 수 있습니다. 공개 파일에서 키를 지우고 외부 플랫폼의 복구를 기다리는 대응만으로는 복제된 권한을 회수할 수 없습니다.

Cremit은 흩어진 자격증명을 찾고 현재 상태와 권한 맥락을 확인한 뒤 담당자의 조치로 연결하는 데 집중합니다. 노출 위치에서 시작해 유효성, 영향 범위, 담당자, 처리 결과까지 이어지는 기록을 만드는 일입니다. 자격증명의 유통 경로를 끝까지 밝혀내는 조사와 함께, 우리 조직의 키가 계속 쓰일 수 있는 시간을 줄이는 대응을 진행해야 합니다.

Cremit 시크릿 스캐닝과 자격증명 인벤토리에서 지원 범위를 확인할 수 있습니다. 연결 소스 스캔은 월 2GB 무료 플랜으로 시작할 수 있으며 카드 등록이 필요하지 않습니다. 외부 노출 스캐닝 등 Enterprise 기능은 조직의 자산 범위에 맞춰 별도로 검토합니다.

조사 기준일 2026년 11월 12일 KST.