하룻밤새 요금 폭탄, API 키 하이재킹이 남긴 경고

저녁 5시 42분, 방 안에 짧은 한 문장이 올라왔다. 자신이 만들지도 않은 프로젝트에서 벌어진 요금 폭주 사고를 전하는 글이었다.

관찰 — 자고 있던 사이 벌어진 사고

한 참여자는 "요금이 하루만에 급등해서 무슨 이유인가 봤더니 하이재킹으로"라며 자신이 만들지 않은 프로젝트에서 API 키가 유출된 사고를 공유했다. 곧이어 "제가 생성하지 않은 프로젝트에서 API KEY가 유출된거에요"라고 상황을 다시 짚었다. 평소 관리하던 프로젝트가 아닌 낯선 곳에서 벌어진 일이라, 유출 사실을 알아챈 시점도 대응도 늦을 수밖에 없었다.

"git에도 .env 항상 이그노어 해놨는데 생성하지 않은 프로젝트 접근도 안되고 API 미친듯이 돌려서 토큰 폭주하니까 구글에서 자체적으로 막기는 했는데 자고 있는사이에 요금 폭탄 맞았어요"

.env를 깃에 올리지 않는 기본적인 수칙은 지켰다는 설명이었다. 그런데도 사고를 막지 못한 건, 애초에 본인이 만들지 않은 프로젝트였기 때문이다. 구글 쪽 자동 차단이 작동해 토큰 폭주 자체는 멈췄지만, 그 차단이 걸리기까지의 시간 동안 요금은 이미 쌓인 뒤였다.

해석 — 후불 결제의 구조적 위험

이 참여자는 "API 후불 결재는 그래서 위험한거 같아요 선불 결재로 해놓으면 탈취되도 그 선에서 끝나는데"라며 "후불은 무한정으로 요금 폭탄을 맞으니"라고 정리했다. 선불 결제였다면 충전된 한도 안에서 피해가 그쳤겠지만, 후불 구조에서는 사용량에 상한이 없어 차단이 걸리기 전까지의 시간이 고스란히 청구서로 돌아온다는 것이다.

자동 차단 장치가 있어도 유출 시점과 차단 시점 사이의 공백은 막지 못한다는 점에서, 이번 사고는 결제 방식 선택 자체가 피해 규모를 가른다는 것을 시사한다. 본인이 만들지 않은 프로젝트에서까지 키가 새어 나갈 수 있다는 사실은, API 키 관리가 자기 코드 안의 문제만은 아니라는 것을 보여준다.