[한국투자증권] 개발자 플랫폼 'KIS 디벨로퍼스' 타인 계정 접속 오류 논란_2026년 06월

한국투자증권의 오픈API 개발자 지원 플랫폼 'KIS 디벨로퍼스'에서 로그인 중 이용자가 타인의 계정으로 접속되는 오류가 발생했다. 회사 측은 "비밀번호·금융정보 유출은 없었다"는 입장이나, 실제 오류를 발견한 이용자는 로그아웃 전까지 타인 계정의 이름·휴대폰번호·이메일 주소가 노출된 것을 확인했다고 제보해 회사 해명과 배치되는 정황이 드러났다.

 

□  개요 

   2026년 06월 08일 한경비즈니스 단독 보도에 따르면, 한국투자증권 개발자센터 'KIS 디벨로퍼스'에서 타인의 개인정보에 접근할 수 있는 계정 오접속 문제가 발생했다.
    KIS 디벨로퍼스는 국내외 주식 시세 확인과 거래 주문 등 한국투자증권의 트레이딩 서비스를 오픈API로 제공하는 플랫폼으로, 혁신금융 생태계 조성을 목적으로 운영돼 왔다. 이용자 A씨는 지난 6월 1일 API 인증키(API KEY)를 발급받기 위해 로그인하는 과정에서 자신의 계정이 아닌 타인 계정에 접속됐으며, 로그아웃하기 전까지 해당 계정에 담긴 정보를 확인할 수 있었다.
오류를 발견한 이용자는 "로그아웃을 하기 전까지 타인 계정에 있는 이름과 휴대폰 번호, 이메일 주소 등이 노출된 것을 확인했다"고 제보했다. 다만 개인정보 중 일부는 가려진 상태였던 것으로 알려졌다. 이 이용자는 증권사가 운영하는 플랫폼에서 이런 오류가 나타났다는 점에 불안감을 느꼈다며 "내 계정 역시 다른 사람에게 보여질 수 있는 것 아니냐"고 우려를 표했다.
한국투자증권 관계자는 "KIS 디벨로퍼스에서 접속 오류가 발생한 건 맞다"면서도 "그걸(접속 오류) 통해서 타인의 개인정보에 접근할 수 있었던 건 아니다"라고 해명했다. 회사 측은 "기술적인 오류로 문제가 발생한 것은 맞다"며 "확인 후 바로 조치했고 현재는 재발하지 않도록 했다"고 설명했다. 회사는 현재까지 확인된 사례는 1건이며, 비밀번호나 금융계좌 정보 등 민감 정보가 유출된 정황은 없다고 강조했다.
해당 사이트는 개발자 지원 목적의 플랫폼으로 금융거래가 직접 이뤄지는 구조는 아니며, 이용자 정보는 회원정보 수정 단계에서 추가 비밀번호 인증이 필요하고 휴대전화 번호와 이메일 주소도 일부 마스킹 처리돼 표시되는 것으로 알려졌다. 다만 로그인 이후 타인의 계정 화면으로 연결됐다는 점은 계정 인증과 세션 관리 과정에서 문제가 발생했을 가능성을 시사하며, 금융정보 노출 여부와 별개로 이용자 신뢰에 영향을 줄 수 있는 사안이라는 평가가 나온다. 업계에서는 최근 금융권의 보안 사고에 대한 경계심이 높아진 만큼 단순 오류로 끝내기보다 원인 분석과 재발 방지 대책을 강화해야 한다는 지적이 제기됐다.

 

□  사고내용 요약  

    1. 회사명 : 한국투자증권('KIS 디벨로퍼스' 오픈API 개발자센터)
    2. 사고유형
        - 계정 인증·세션 관리 오류로 인한 타인 계정 오접속 사고
        -  회사 해명과 이용자 제보가 상충되는 논란형 사고
    3. 유출규모 : 회사 확인 1건(추가 피해 규모는 불확실)
    4. 유출(노출) 항목
        - 이름
        - 휴대폰 번호(일부 마스킹)
        - 이메일 주소(일부 마스킹)
         ※ 회사 측은 "비밀번호·금융정보는 미포함"이라는 입장

    5. 특이사항
        - 회사 측은 초기 "타인 개인정보 접근은 없었다"고 해명했으나, 실제 제보자는 이름·연락처·이메일이 노출됐다고 증언해 진술이 서로 배치
        - 금융거래가 직접 이뤄지지 않는 개발자 지원용 플랫폼에서 발생했으나, 증권사 운영 사이트라는 점에서 신뢰도에 타격
        - 회원정보 수정 시 추가 비밀번호 인증이 필요해 즉각적인 계좌·자산 피해로 이어지지는 않은 구조
        - 계정 인증·세션 관리 체계의 근본적 결함 가능성에 대한 업계의 재발방지 대책 강화 요구가 이어짐
        - 회사는 "확인된 사례 1건"이라고 밝혔으나, 다른 이용자에게도 유사 오류가 발생했을 가능성은 배제되지 않음

□  사고대응 타임라인  

    - 2026년 06월 01일
        . KIS 디벨로퍼스 로그인 과정에서 이용자 A씨, 타인 계정에 오접속(침해 발생)
        . 로그아웃 전까지 타인 계정의 이름·휴대폰번호·이메일 주소 확인 가능 상태
    - 사고 발생 이후(회사 대응)
        . 한국투자증권, 문제 확인 직후 조치 완료
        . 재발 방지를 위한 개선 작업 시행
    - 2026년 06월 08일
        . 한경비즈니스, 계정 오접속 문제 단독 최초 보도
    - 2026년 06월 09일
        . 더퍼블릭·뉴스W 등 후속 보도, 회사 측 공식 해명("타인 정보 접근은 아님") 확인
    - 2026년 06월 10일
        . 1코노미뉴스 등 "개인정보 유출은 막았지만 관리 구멍" 지적 보도
    - 2026년 06월 11일
        . 스페셜경제 등 "논란 일파만파" 보도로 재발방지 대책 필요성 재차 제기

□  대응내역  

    - 문제 확인 직후 접속 오류 조치 완료
    - 재발 방지를 위한 시스템 개선 작업 시행
    - 언론 문의에 대한 공식 해명("개인정보 접근 아님")
     ※ 개인정보보호위원회·금융감독원 등 관계기관 신고 여부, 전체 이용자 대상 통지 여부는 확인되지 않음

□ 재발방지대책(권고사항)   

    1. 기술적 조치
       - 계정 인증 및 세션 관리 체계 전면 재점검(세션 고정·크로스 세션 오류 방지)
       - 로그인 시 계정 식별값 검증 로직 강화
       - 동시 다발적 로그인 시나리오에 대한 부하·캐시 처리 점검
       - 개발자 플랫폼에도 다중인증(MFA) 등 인증 강화 검토

    2. 관리적 조치
       - 유사 오류 재발 여부에 대한 전체 이용자 대상 조사 및 투명한 공개
       - 금융권 서비스 특성을 고려한 개인정보 노출 사고 대응 매뉴얼 강화
       - 회사 해명과 이용자 제보 간 불일치 해소를 위한 투명한 사실관계 공개
       - 개발자 지원 플랫폼 등 비핵심 서비스에 대해서도 정기 보안 점검 확대

□  관련기사(출처)  

• "개발자 플랫폼 오류"…한국투자증권, 타인 계정 접속 논란 '일파만파' - 스페셜경제
• 단독 한국투자증권 개발자센터 일부 계정 접속 오류…즉시 조치 - 한경비즈니스
• 한국투자증권 'KIS 디벨로퍼스' 로그인 오류…"기술적 오류" 인정 왜? - 더퍼블릭
• 한국투자증권, 오픈 API서 오접속 오류…개인정보 유출우려 확산 - 뉴스W
• 한국투자증권, 개발자 플랫폼 오접속…개인정보 유출 막았지만 관리 구멍 - 1코노미뉴스

감사합니다.