🪪 전자금융 보안 모의해킹 · 거래 시 소유주 검증 (금융 IDOR)

어디가 달라졌나

이 취약점은 오늘날 OWASP API Security Top 10 의 1위(BOLA, Broken Object Level Authorization) 입니다. API 우선 아키텍처에서 더 위험해진 이유는 엔드포인트가 화면이 아니라 자원 단위이기 때문입니다 — /accounts/{id}/transactions 는 화면 흐름과 무관하게 누구나 직접 호출할 수 있습니다.

현대 스택에서의 조치

• 게이트웨이는 이 검증을 못 합니다. JWT 의 sub 는 알지만 "이 계좌가 그 사람 것인지"는 도메인 지식이라, 반드시 서비스 계층에서 확인해야 합니다.
• GraphQL 이라면 노드 단위 인가가 필요합니다. 리졸버마다 소유권을 확인하지 않으면 중첩 쿼리로 우회됩니다.
• 오픈뱅킹/마이데이터는 동의 범위(scope)와 계좌 목록을 서버가 보관하고, 요청 계좌가 그 목록에 있는지 매 호출 확인합니다.

# FastAPI — 의존성으로 강제해 "빠뜨릴 수 없게" 만든다
async def owned_account(account_id: str, user=Depends(current_user)) -> Account:
    acc = await repo.get(account_id)
    if acc is None or acc.owner_id != user.id:
        raise HTTPException(404)     # 403 이 아니라 404 — 계좌 존재 여부도 숨긴다
    return acc

@router.get("/accounts/{account_id}/transactions")
async def txns(acc: Account = Depends(owned_account)): ...