Chapter 02비밀번호를 맡기던 방식이 바뀐 이유

스크래핑에서 API로

예전 자산관리 앱은 내 인증서와 비밀번호를 받아 두고, 내 이름으로 금융회사 사이트에 들어가 정보를 긁어 왔습니다. 2022년 1월 5일부터 마이데이터 사업자는 이 방식을 쓸 수 없습니다. 정보가 이제 어떤 길로 오가는지, 정보를 보는 권한과 돈을 빼는 권한이 왜 다른지 살펴봅니다.

읽는 시간 4분선행 챕터 01(전송요구권)핵심 개념 3개

열쇠를 맡기던 방식: 스크래핑

1장에서는 무엇이 옮겨지는지 보았습니다. 이 장에서는 그 정보가 어떤 길로 오가는지 봅니다.

마이데이터가 법으로 자리 잡기 전에는 이용자의 인증서·비밀번호를 받아 두고, 이용자 이름으로 금융회사 사이트에 들어가 정보를 읽어 오는 방식입니다.이라는 방법을 썼습니다.[4] 이름 그대로 화면을 ‘긁어 오는’ 방식입니다. 앱이 내 인증서와 비밀번호를 받아 둡니다. 그리고 내 이름으로 금융회사 사이트에 들어가 보이는 정보를 읽어 옵니다.[2]

법은 마이데이터 사업자가 이렇게 정보를 모으지 못하게 합니다.[1] 인증서·비밀번호 같은 인증서, 비밀번호, 생체정보처럼 전자금융거래에서 나를 확인하는 데 쓰는 수단입니다.를 맡아 두고 내 이름으로 열람하는 방식은 금지됩니다.[2][3] 금융위원회는 2022년 1월 5일 16시부터 스크래핑을 전면 금지했습니다.[4] 그 뒤로 마이데이터 사업자는 프로그램끼리 정보를 주고받기로 미리 정해 둔 방식입니다. 방식으로만 서비스합니다.[4]

쉽게 말하면

스크래핑은 집 열쇠를 맡겨 두고 남이 대신 우편함을 열어 보게 하는 것과 비슷합니다. API는 우체국 창구가 내가 신청한 우편물만 골라 정한 사람에게 보내 주는 것에 가깝습니다. 열쇠가 인증서·비밀번호이고, 창구가 API이며, 신청서가 1장의 전송요구입니다. 창구는 정해진 우편물을 보내 줄 뿐, 우편함 안의 돈을 꺼내 가게 하지는 않습니다.

정해진 창구, 표준 API

API는 프로그램끼리 정보를 주고받기로 미리 정해 둔 방식입니다.[5] 이제는 내가 요구하면 정보를 가진 금융회사가 사업자에게 직접 보냅니다.[1] 보낼 때는 미리 정한 방식으로, 서로를 확인하고, 암호화해서 보내야 합니다.[2] 작은 곳은 금융결제원 같은 중계기관을 거쳐 보낼 수도 있습니다.[1][2]

두 그림에서 열쇠가 어디에 있는지를 보세요. 스크래핑은 내 인증서와 비밀번호가 앱으로 넘어가고, 표준 API는 내가 전송요구만 하고 정보는 그것을 가진 금융회사가 직접 보냅니다.

인증도 편해졌습니다. 한 번의 본인인증으로 여러 금융회사에 한꺼번에 전송요구를 할 수 있습니다.[4] 옛 공인인증서뿐 아니라 사설인증서도 쓸 수 있게 되었습니다.[4]

금융위원회는 API 방식의 좋은 점을 이렇게 설명했습니다.[4] 한꺼번에 조회하는 속도는 스크래핑의 약 10배입니다.[4] 원하는 정보만 골라 보내 달라고 할 수 있습니다. 유출 같은 사고가 나면 누구 책임인지 분명해집니다.

개인정보 분야도 같은 방향입니다. 개인정보 보호법에서 내 정보를 전문기관 같은 다른 곳으로 보내 달라고 요구하는 것입니다.전송요구권이 옮기는 것 챕터에서 보기에서는 인증서나 생체정보를 맡아 두는 방식으로 정보를 모을 수 없습니다.[6]

오픈뱅킹: 여러 은행을 잇는 공동 창구

마이데이터가 정보를 옮기는 길이라면, 금융결제원이 운영하며, 여러 금융회사의 조회·이체 기능을 한 가지 방식으로 쓸 수 있게 한 공동 플랫폼입니다.은 조회와 이체를 함께 잇는 길입니다. 오픈뱅킹은 2019년 12월 18일에 전면 시행되었습니다.[7]

그 전에는 핀테크 회사가 은행마다 따로 제휴해야 했습니다. 오픈뱅킹에서는 금융결제원의 오픈뱅킹센터에 표준 API로 요청하면 됩니다.[8] 센터가 금융회사들이 서로 이체와 조회를 주고받도록 이어 둔 공동 전산망입니다.을 거쳐 각 은행에 요청을 전달합니다.[8] 쓸 수 있는 기능은 잔액·거래내역 같은 조회와, 입금·출금 같은 이체입니다.[8] 가장 많이 쓰인 것은 잔액조회로, 2021년 11월 기준 이용의 68%였습니다.[7]

앱이 내 계좌를 쓰려면 먼저 내가 계좌를 등록해야 합니다. 등록은 앱이 띄우는 오픈뱅킹 계좌등록 페이지에서 합니다.[9] 앱이 내 계좌번호를 직접 받아 등록하는 길은 없습니다.[9] 등록을 마치면 앱은 계좌번호 대신 오픈뱅킹에 계좌를 등록하면 앱이 계좌번호 대신 받는 24자리 번호입니다.와 사용자가 동의한 뒤 앱이 받는 출입증으로, 정해진 기간과 범위 안에서만 쓸 수 있습니다.을 받습니다.[9]

접근 토큰은 할 수 있는 일이 정해진 출입증입니다. 잔액을 볼 때는 조회용 토큰(inquiry)을 씁니다.[10] 돈을 뺄 때는 이체용 토큰(transfer)이 따로 있어야 합니다.[11] 그것도 내가 등록하고 출금에 동의한 계좌에서만 뺄 수 있습니다.[11]

두 갈래는 같은 길을 지나지만 들고 가는 출입증이 다릅니다. 조회 토큰으로는 돈을 뺄 수 없고, 이체는 따로 받은 이체 권한과 출금 동의가 있어야 합니다.

회사가 내 계좌에서 돈을 끌어가기 전에 미리 받아야 하는 나의 동의입니다.는 오픈뱅킹이 따로 만든 절차가 아닙니다. 전자금융거래법이 요구하는 절차입니다.[12] 회사가 내 계좌에서 돈을 끌어가려면 미리 내 동의를 받아야 합니다.[12] 이 동의는 원칙적으로 출금 기록이 끝나기 전까지 거둘 수 있습니다.[12]

조회 권한과 이체 권한은 다르다

정보를 옮기는 권한과 돈을 옮기는 권한은 뿌리부터 다릅니다.

구분	정보를 옮기는 일(조회)	돈을 옮기는 일(이체)
법의 뿌리	신용정보법의 회사가 가진 내 정보를 나나 법이 정한 곳으로 보내 달라고 요구할 수 있는 권리입니다.전송요구권이 옮기는 것 챕터에서 보기[13]	전자금융거래법의 전자자금이체[3]
내가 하는 일	받는 곳·정보·주기를 정해 전송요구[13]	이체를 지시하거나, 끌어가는 이체에 출금 동의[3][12]
오픈뱅킹의 출입증	조회용 토큰(inquiry)[10]	이체용 토큰(transfer)과 출금 동의한 계좌[11]
마이데이터	전송·조회 기능[14]	실제 거래에는 추가 탐색·인증·신청 절차[14]

금융위원회도 지금의 마이데이터는 전송·조회 기능에 그친다고 설명합니다.[14] 실제 거래를 하려면 따로 인증하고 신청하는 절차를 거쳐야 합니다.[14] 그래서 한 화면에 잔액과 송금 버튼이 나란히 있어도, 둘은 서로 다른 동의 위에 서 있습니다.

두 개의 문

정보의 문: 전송요구로 열립니다. 금융회사가 API로 내가 고른 정보만 보내고, 돈은 움직이지 않습니다.[1][13]
돈의 문: 이체 지시나 출금 동의로만 열립니다. 오픈뱅킹에서는 이체용 토큰이 따로 필요합니다.[11][12]
두 문 모두 앱이 내 열쇠를 직접 쥐지 않게 짜여 있습니다.[2][9]

이 문을 남의 손으로 열게 만드는 사칭 사기의 수법은 디지털 금융 사기 코스에서 봅니다.

흔한 착각

“오픈뱅킹과 마이데이터는 같은 것이다”라는 말은 틀립니다. 마이데이터는 허가받은 사업자가 전송요구로 받은 정보를 모아 보여 주는 일입니다.[14] 오픈뱅킹은 금융결제원이 운영하는 공동 플랫폼으로, 조회와 이체를 함께 제공합니다.[8] 한 앱이 둘을 함께 쓰면 한 화면에 섞여 보일 뿐, 뿌리와 권한은 따로입니다.

얼굴 없는 사람이 작은 창구 앞에 서 있고, 창구 받침 위로 종이 한 장이 밀려 나와 있다. 그 오른쪽에는 닫힌 둥근 문이 있고, 문 옆 고리에 그 문만을 위한 큰 열쇠가 따로 걸려 있다. — 정보의 창구와 돈의 문은 나란히 있어도 여는 방법이 다릅니다. 창구는 전송요구에 따라 정해진 종이만 내보내고, 돈의 문은 이체 권한과 출금 동의라는 별도의 열쇠로만 열립니다.

마지막 장에서는 이 두 문을 둘러싼 흔한 착각을 하나씩 따져 봅니다.

용어 정리

스크래핑: 이용자의 인증서·비밀번호를 받아 두고, 이용자 이름으로 금융회사 사이트에 들어가 정보를 읽어 오는 방식입니다.
API: 프로그램끼리 정보를 주고받기로 미리 정해 둔 방식입니다.
접근매체: 인증서, 비밀번호, 생체정보처럼 전자금융거래에서 나를 확인하는 데 쓰는 수단입니다.
오픈뱅킹: 금융결제원이 운영하며, 여러 금융회사의 조회·이체 기능을 한 가지 방식으로 쓸 수 있게 한 공동 플랫폼입니다.
금융공동망: 금융회사들이 서로 이체와 조회를 주고받도록 이어 둔 공동 전산망입니다.
접근 토큰: 사용자가 동의한 뒤 앱이 받는 출입증으로, 정해진 기간과 범위 안에서만 쓸 수 있습니다.
출금 동의: 회사가 내 계좌에서 돈을 끌어가기 전에 미리 받아야 하는 나의 동의입니다.
핀테크이용번호: 오픈뱅킹에 계좌를 등록하면 앱이 계좌번호 대신 받는 24자리 번호입니다.

용어 사전 전체 보기

이해도 점검

정답 0 / 4

Q1법이 마이데이터 사업자에게 금지한 정보 수집 방식은 무엇입니까?

Q2오픈뱅킹으로 내 계좌 잔액을 보여 주던 앱이 같은 계좌에서 돈을 빼려면 무엇이 필요합니까?

Q3오픈뱅킹에서 핀테크 앱의 요청이 은행에 닿는 경로로 맞는 것은 무엇입니까?

Q4마이데이터와 오픈뱅킹의 차이를 바르게 말한 것은 무엇입니까?

이 챕터의 요약

스크래핑은 내 비밀번호를 맡겨 내 이름으로 들어가 읽는 방식이라, 마이데이터에서는 금지되었습니다.
오픈뱅킹은 금융결제원이 여러 은행을 잇는 공동 창구입니다.
정보를 보는 권한과 돈을 빼는 권한은 서로 다른 출입증과 동의를 거칩니다.

진도는 이 브라우저에 저장되고, 로그인하면 다른 브라우저에서도 이어집니다.

출처와 신뢰도

A신용정보의 이용 및 보호에 관한 법률 제22조의9 (본인신용정보관리회사의 행위규칙) · 법제처 국가법령정보센터현행 조문(2026. 9. 11. 시행)입니다. 접근매체 등을 사용·보관하는 방식으로 정보를 모으지 못하게 한 제3항, 정보제공자가 안전한 방식으로 본인신용정보관리회사에 직접 전송하게 한 제4항, 중계기관을 통한 전송을 허용한 제5항을 가져왔습니다.본문으로
A신용정보의 이용 및 보호에 관한 법률 시행령 제18조의6 (본인신용정보관리회사의 행위규칙 등) · 법제처 국가법령정보센터현행 조문(2026. 9. 11. 시행)입니다. 접근수단을 보관하거나 권한을 확보해 신용정보주체 이름으로 열람하는 방식을 금지한 제3항, 전송 방식의 요건(미리 정한 방식, 상호 식별·인증, 상호 확인, 암호화)을 정한 제7항, 금융결제원 등 중계기관을 정한 제9항을 가져왔습니다.본문으로
A전자금융거래법 제2조 (정의) · 법제처 국가법령정보센터현행 조문(2026. 10. 2. 시행)입니다. 접근매체를 전자식 카드, 전자서명생성정보와 인증서, 이용자번호, 생체정보, 비밀번호로 정한 제10호와, 전자자금이체를 지급인의 지급지시나 수취인의 추심지시(추심이체)에 따른 이체로 정한 제12호를 가져왔습니다.본문으로
A새해부터 흩어진 내 금융정보를 더욱 안전하고 빠르고 편리하게 관리할 수 있게 됩니다 (보도자료, 2022. 1. 4.) · 금융위원회마이데이터 소관 부처의 발표입니다. 2022년 1월 5일 16시부터 스크래핑을 전면 금지하고 API 방식으로만 서비스하게 한 것, 한 번의 본인인증으로 여러 정보제공자에게 전송요구하는 통합인증(사설인증서 포함), 스크래핑 대비 통합조회 속도 약 10배, 원하는 정보만 골라 전송요구할 수 있고 사고 때 책임 소재가 분명해진다는 설명을 가져왔습니다.본문으로
A마이데이터 전 분야로 확대, 국민이 직접 본인정보를 관리한다 (보도자료, 2026. 2. 10.) · 개인정보보호위원회 (정책브리핑 게재)제도 소관 기관의 발표입니다. API를 소프트웨어끼리 통신하도록 정한 명세나 인터페이스로 풀이한 각주를 가져왔습니다.본문으로
A개인정보 보호법 시행령 제42조의6 (개인정보 전송의 기한 및 방법 등) · 법제처 국가법령정보센터현행 조문(2026. 9. 11. 시행)입니다. 제3자전송에서 정보주체의 인증서·식별자·생체정보를 보관하거나 권한을 확보하는 방식의 수집을 금지한 제9항을 가져왔습니다.본문으로
A오픈뱅킹 시행 2년이 만든 디지털 금융혁신 성과 (보도자료, 2021. 12. 21.) · 금융위원회오픈뱅킹 소관 부처의 발표입니다. 오픈뱅킹 전면 시행일 2019년 12월 18일과, 2021년 11월 기준 API 이용 비중(잔액조회 68%)을 가져왔습니다.본문으로
A오픈뱅킹 서비스 소개 · 금융결제원 오픈 API 통합포털운영기관의 공식 안내입니다. 오픈뱅킹이 참여기관 공동의 표준 API와 거래중계를 제공하는 개방형 금융결제 플랫폼이라는 정의, 이용기관·오픈뱅킹센터(금융결제원)·금융공동망·참가기관으로 이어지는 구성, 조회·이체 API 목록을 가져왔습니다.본문으로
A오픈뱅킹 OAuth 인증 · 금융결제원 오픈API 개발자사이트운영기관의 기술 문서입니다. 사용자 인증과 계좌등록을 오픈뱅킹 계좌등록 페이지에서 하며 이용기관이 계좌번호를 직접 수집해 등록할 수 없다는 것, 접근 토큰(Access Token)과 24자리 핀테크이용번호를 가져왔습니다.본문으로
A오픈뱅킹 잔액조회 API · 금융결제원 오픈API 개발자사이트운영기관의 기술 문서입니다. 잔액조회 API를 조회 범위(scope = inquiry)의 접근 토큰으로 호출한다는 명세를 가져왔습니다.본문으로
A오픈뱅킹 출금이체 API · 금융결제원 오픈API 개발자사이트운영기관의 기술 문서입니다. 출금이체 API가 사용자가 등록하고 출금동의한 계좌에서 자금을 출금하며, 이체 범위(scope = transfer)의 접근 토큰으로 호출한다는 명세를 가져왔습니다.본문으로
A전자금융거래법 제15조 (추심이체의 출금 동의) · 법제처 국가법령정보센터현행 조문입니다. 금융회사나 전자금융업자가 추심이체 전에 미리 지급인의 출금 동의를 얻어야 한다는 제1항과, 원칙적으로 출금 기록이 끝나기 전까지 동의를 철회할 수 있다는 제2항을 가져왔습니다.본문으로
A신용정보의 이용 및 보호에 관한 법률 제33조의2 (개인신용정보의 전송요구) · 법제처 국가법령정보센터현행 조문입니다. 전송요구권이 보유한 개인신용정보를 정한 곳으로 전송하게 하는 권리라는 제1항과, 요구할 때 받는 곳·정보·주기를 특정하게 한 제5항을 가져왔습니다.본문으로
AAI 시대 국민의 일상과 생업을 잇는 마이데이터 발전방안을 추진합니다 (보도자료, 2026. 8. 25.) · 금융위원회마이데이터 소관 부처의 발표입니다. 현행 마이데이터 서비스는 신용정보의 전송·조회 기능에 그쳐 실제 금융거래를 하려면 추가적인 탐색·인증·신청 절차를 거쳐야 한다는 설명을 가져왔습니다.본문으로