인도의 중앙은행, 신뢰도 향상을 위해 .bank 도메인 사용 의무화… 하지만 레지스트리에서 민감 정보 유출

(theregister.com)

The Register2026년 6월 30일핀테크

인도의 중앙은행, 신뢰도 향상을 위해 .bank 도메인 사용 의무화… 하지만 레지스트리에서 민감 정보 유출

인도 중앙은행이 피싱 방지를 위해 도입한 .bank.in 도메인 등록 기관이 API 보안 취약점으로 인해 은행 직원들의 민감 정보를 유출하며, 보안 강화 조치가 오히려 대규모 공격의 빌미가 된 사례를 다룹니다.

이 글의 핵심 포인트

1인도 중앙은행(RBI)의 .bank.in 도메인 사용 의무화 조치 중 등록 기관(IDRBT)의 API 보안 사고 발생
233개 이상의 인증되지 않은 REST API 엔드포인트를 통해 은행 직원 5,576명의 민감 정보 유출
3유출 데이터에는 비밀번호 해시, 휴대전화 번호, 이메일, 접속 IP 및 기기 지문 포함
4등록된 도메인의 상당수가 DNSSEC나 DMARC와 같은 필수 보안 프로토콜을 사용하지 않음
5보안 취약점은 발견 후 수정되었으나, 일부 정보는 이미 공개된 GitHub 저장소를 통해 유출됨

이 글에 대한 공공지능 분석

왜 중요한가?

보안 강화를 위한 규제가 관리 부실로 인해 오히려 더 큰 보안 위협(Credential Leakage)으로 변질될 수 있음을 보여주는 전형적인 사례입니다. 특히 신뢰 기반의 금융 인프라에서 관리 주체의 API 취약점이 전체 생태계의 붕괴를 초래할 수 있다는 경고를 던집니다.

어떤 배경과 맥락이 있나?

인도 중앙은행은 피싱 및 사기 방지를 위해 특정 도메인 사용을 강제하는 강력한 규제를 도입했습니다. 그러나 이를 운영하는 등록 기관(IDRBT)이 보안 감사 없이 API를 공개하면서, 도메인 관리 권한을 가진 핵심 인력들의 정보가 노출되었습니다.

업계에 어떤 영향을 주나?

핀테크 및 금융 IT 기업들은 규제 준수(Compliance)만큼이나 데이터 처리 파이프라인과 외부 연동 API의 보안 검증이 필수적임을 인식해야 합니다. 또한, 도메인 기반의 보안 정책이 인프라 전반의 보안 성숙도(DNSSEC, DMARC 등)와 결합되지 않으면 무용지물이 될 수 있습니다.

한국 시장에 어떤 시사점이 있나?

금융당국의 강력한 규제 도입 시, 이를 뒷받침하는 기술적 운영 주체의 보안 역량이 핵심 리스크로 부상할 수 있습니다. 국내 핀테크 스타트업 역시 규제 대응 과정에서 발생할 수 있는 '보안의 역설'을 방지하기 위해 API 보안 및 공급망 보안에 집중해야 합니다.

이 글에 대한 큐레이터 의견

이번 사건은 '규제의 의도'와 '기술적 실행력' 사이의 극심한 괴리를 보여줍니다. 인도 중앙은행은 도메인 통제를 통해 피싱이라는 공격 표면을 줄이려 했으나, 정작 그 통제권을 관리하는 API를 무방비로 노출함으로써 공격자에게 더 강력한 무기(관리자 계정 정보)를 쥐여준 셈입니다. 이는 보안 강화 조치가 인프라 전반의 보안 성숙도와 동기화되지 않을 때 발생하는 '보안의 역설'을 극명하게 드러냅니다.

스타트업 창업자들은 규제 준수가 단순한 체크리스트 통과가 아님을 명심해야 합니다. 새로운 보안 표준이나 인증 체계를 도입할 때, 그 운영 프로세스 자체가 새로운 취약점이 될 수 있는 트레이드오프를 반드시 고려해야 합니다. 즉, '통제의 강화'가 가져올 '관리 복잡성 증가 및 새로운 공격 표면 생성'이라는 리스크를 계산에 넣어야 하며, 규제 대응을 위한 기술적 아키텍처 설계 시 API 보안과 같은 기본 원칙이 무너지지 않도록 자원을 배분해야 합니다.

원문 보기 →