내 은행 계좌를 금융 앱에 연결하는 게 안전할까요?

은행 계좌를 금융 앱에 연결하는 것이 걱정되시나요? 연결할 때 정확히 무슨 일이 일어나는지, 어떤 데이터에 접근하는지, 그리고 그 앱이 믿을 만한지 어떻게 알 수 있는지 여기서 알려드릴게요.

이 질문 많이 받습니다. 이해해요 — 특히 미국으로 이민 와서 몇 달에 걸쳐 조심스럽게 거기서의 금융 존재감을 쌓아온 분들로부터요. 은행 계좌를 열고, 첫 신용카드를 받고, 직접 입금을 설정하고. 모든 게 취약하게 느껴집니다. 마지막으로 하고 싶지 않은 일이 이걸 어떤 앱에 넘겨버리는 것이죠.

그래서 마케팅용 답이 아니라 직설적으로 말씀드릴게요.

내부에서 실제로 일어나는 일

은행을 YPA Finance에 연결할 때, 저희에게 비밀번호를 주는 게 아닙니다. 그렇게 작동하지 않아요.

저희는 Plaid를 사용합니다. Venmo, Robinhood, Coinbase 그리고 수천 개의 다른 앱들이 쓰는 은행 연결 서비스예요. Plaid가 실제로 하는 일은 이렇습니다: 미국의 대부분 주요 은행과는, 당신 은행 자체의 로그인 화면을 열어주고(저희 화면이 아니라) 거기서 직접 인증하게 합니다 — 이걸 OAuth라고 부릅니다. 당신의 자격 증명은 당신의 은행으로 갑니다. 저희는 절대로 보지 못하고, 절대로 저장하지 않습니다. 저희가 받는 것은 읽기 전용 토큰입니다 — 본질적으로 "이 사람이 당신에게 잔액과 거래 내역을 읽을 권한을 주었습니다"라고 말하는 제한된 허가증이에요.

그 토큰은 돈을 움직일 수 없습니다. 이체를 시작할 수도 없어요. 데이터를 읽게 해주는 것 외에는 아무것도 할 수 없어요 — 당신이 직접 로그인했을 때 보게 되는 것과 똑같은 데이터입니다.

언제든 취소할 수 있습니다. 저희 앱에서, 또는 은행의 보안 설정에서 직접요.

저희가 실제로 보는 것

연결하시면 YPA Finance는 다음에 접근할 수 있습니다:

그게 전부입니다. 저희는 전체 계좌 번호, SSN이나 ITIN, 또는 로그인 자격 증명을 보지 않습니다. 저희에게는 돈을 움직이거나 인출할 능력이 없습니다. 절대로요.

구체적으로 말씀드리고 싶습니다. 왜냐하면 이게 바로 대부분의 앱들이 개인정보 보호 정책 속에 묻어두는 종류의 세부사항이기 때문이에요.

금융 앱이 믿을 만한지 확인하는 법

저희 자체 인프라에 쓸 서드파티 도구를 검토할 때 제가 쓰는 것과 같은 체크리스트를 적용할 거예요:

실제 은행 연결 제공업체를 사용하나요? Plaid, MX, Finicity — 이것들은 규제받고 감사받는 서비스입니다. 앱이 당신의 실제 은행 자격 증명을 직접 요구한다면, 닫으세요.

연결이 읽기 전용인가요? 예산 앱이 이체를 시작할 정당한 이유는 전혀 없습니다. 그런 권한을 요구하고 있다면 뭔가 잘못된 겁니다.

보안 페이지를 공개하나요? "저희는 보안을 중요하게 생각합니다" 같은 애매한 문단 말고 — 암호화 표준, 컴플라이언스 상태, 데이터 보관 정책이 담긴 실제 페이지요. 그게 없다면, 당신이 묻지 않기를 바라고 있는 거예요.

데이터를 판매하나요? 이건 명시적으로 밝혀야 합니다. "저희는 당신의 금융 데이터를 판매하지 않습니다." 개인정보 보호 정책이 이 부분에서 회피적이라면, 그게 답이에요.

어떤 암호화 표준? 저장 데이터는 AES-256, 전송 중에는 TLS 1.3. 미국의 주요 은행들이 쓰는 것과 같은 표준입니다.

YPA Finance에서 저희가 하는 일

전에도 말했고 계속 말할 겁니다: 핀테크에서 신뢰는 마케팅 슬로건이 아니라 아키텍처입니다. 실제로는 이렇게 보입니다:

저희는 Plaid의 읽기 전용 연결을 사용합니다. 당신의 자격 증명은 저희 시스템에 절대 닿지 않습니다. 데이터는 저장 및 전송 중에 AES-256으로 암호화됩니다. 저희는 당신의 SSN이나 ITIN을 저장하지 않습니다. 저희는 당신의 데이터를 판매하지 않습니다 — 광고주에게도, 데이터 브로커에게도, 누구에게도요. 저희 인프라는 제로 트러스트 아키텍처로 Google Cloud에서 돌아가며 24/7 모니터링됩니다.

저희는 현재 SOC 2 Type II 인증을 위해 작업 중입니다 — 그 과정이 진행 중이에요. 그동안 저희 보안 통제는 SOC 2 표준에 맞춰져 있습니다.

더 깊이 알고 싶다면 전체 그림은 저희 Security page에 있습니다.

결론

평판 좋은 앱에 은행을 연결하는 것은 안전합니다. 통계적으로는 호텔 WiFi에서 당신의 은행에 로그인하는 것보다 더 안전해요. 이 기술은 자격 증명 문제를 해결하기 위해 특별히 설계되었습니다.

위험은 연결하는 행위 자체에 있지 않습니다. 위험은 잘못된 앱에 연결하는 것에 있어요 — 당신의 자격 증명을 부주의하게 다루고, 제대로 암호화하지 않고, 또는 당신의 데이터를 제3자에게 판매하는 앱이요.

뭐든 연결하기 전에 그 앱의 보안 페이지에 2분을 쓰세요. 그게 없거나, 세 문장짜리 마케팅 문구라면, 그냥 지나치세요.

---

Svetlana Burninova는 YPA Finance의 공동 창업자이자 CTO입니다. 금융 시스템 분야에서 15년, 인프라 분야에서 7년의 경력을 가지고 있으며, AWS, CKA, CKAD, HashiCorp Terraform 자격증을 보유하고 있습니다.