다크웹 클로드 계정, 진짜 표적은 비밀번호가 아니라 API 키

출처: 티에프미디어: AI 모델 탈취 'LLM 재킹' 급증 · 2026-10-05; PYMNTS: AI Access Becomes New Commodity for Cybercriminals · 2026-10-05; Google Cloud Blog (GTIG): From Prompting to Autonomy · 2026-10-05; Claude 고객센터: Managing your active sessions · 2026-10-05

무슨 일이 있었나: 월 200달러짜리가 몇 달러에

PYMNTS는 9월 27일 자 FT 보도를 인용해, 다크웹 시장에서 AI 모델 이용권이 정상가보다 최대 97% 싸게 팔리고 있다고 전했습니다. 챗GPT와 클로드의 최상위 구독은 사용자 1인당 월 200달러에 이릅니다. 구글 위협분석그룹의 존 헐트퀴스트 수석 분석가는 FT에 '언더그라운드에서 AI 접근권을 둘러싼 경제가 커지고 있다'고 말했습니다. 티에프미디어 보도에 따르면 판매자들은 처음 판 계정이 차단되면 추가 비용 없이 새 로그인 계정을 주겠다고까지 약속합니다. 같은 보도는 범죄 조직과 국가 배후 공격자들이 남의 클라우드 서버를 해킹해 자기 AI 작업을 돌린다고 전했습니다. 중국 사이버 스파이 조직이 연루된 사례도 있다고 합니다.

출처: PYMNTS: AI Access Becomes New Commodity for Cybercriminals · 2026-10-05; 티에프미디어: AI 모델 탈취 'LLM 재킹' 급증 · 2026-10-05

근거가 된 구글 보고서는 9월 9일 공개됐고, 기사보다 수치가 더 구체적입니다. 2026년 GTIG가 추적하는 지하 포럼에서는 AI 계정을 사려는 사람과 파는 사람이 모두 늘었습니다. 구매 수요는 클로드와 제미나이 계정에 크게 몰렸고, 커서 프로(Cursor Pro)나 데빈(Devin) 같은 자율 코딩 도구 계정 수요도 함께 늘었습니다. 그 결과 계정당 평균 거래 가격은 2026년에 두 배 넘게 올랐습니다. 구글은 고급 모델 이용료와 고성능 컴퓨팅 비용이 공격자에게 큰 장벽이라서 AI 계정 탈취와 판매가 늘었다고 분석했습니다. 기업 클라우드를 장악해 연산 자원을 가로채는 것을 'LLM 재킹'이라고 부릅니다.

출처: Google Cloud Blog (GTIG): From Prompting to Autonomy · 2026-10-05

털리는 건 비밀번호가 아니라 설정 파일이다

개인 사용자가 눈여겨볼 대목은 따로 있습니다. 구글에 따르면 판매되는 계정 정보를 수집하는 주요 수단은 여전히 널리 퍼진 정보 탈취형 악성코드(인포스틸러)입니다. LUMMAC.V2, STEALC.V2, VIDAR, ACRSTEALER 같은 인포스틸러의 운영자들은 브라우저 프로필을 넘어 AI 개발 도구 설정까지 노렸습니다. 구글은 2026년 5월 ACRSTEALER 운영자들이 Cline(옛 이름 Claude Dev)의 secrets.json과 Continue의 config.yaml 파일을 겨냥한 수집 규칙을 배포한 것을 확인했습니다. 이 파일에는 API 키가 평문으로 저장될 수 있어, 피해자가 돈을 낸 모델 사용량을 공격자가 그대로 쓸 수 있습니다. 4월에는 노출된 GitHub 개인 액세스 토큰(PAT)으로 피해자 클라우드에 들어가 AI 인프라를 몰래 띄우고 GPU 할당량 증설까지 요청한 사례도 있었습니다.

출처: Google Cloud Blog (GTIG): From Prompting to Autonomy · 2026-10-05

제 생각에 '97% 할인'은 과대평가된 헤드라인이고, '가격이 두 배로 뛰었다'는 과소평가된 신호입니다. 97% 할인은 장물이니까 싼 겁니다. 반면 장물 시세가 1년 사이 두 배가 됐다는 건 클로드·제미나이 계정을 훔칠 이유가 그만큼 커졌다는 뜻입니다. 그리고 이번에 가장 크게 노출된 사람은 비밀번호를 대충 정한 일반 사용자가 아닙니다. API 키를 코딩 도구 설정 파일에 넣어 두고 잊어버린 개발자입니다. 'AI 코딩 도구 깔고 키 붙여 넣기'가 유행처럼 퍼진 지금, 그 설정 파일이 곧 지갑입니다.

출처: Anthropic Consumer Terms of Service · 2026-10-05

이 조항이 중요한 이유는 두 가지입니다. 첫째, 앤트로픽 약관은 로그인 정보나 API 키를 남과 공유하거나 계정을 넘기는 것 자체를 금지합니다. 다크웹이든 오픈채팅이든 '싸게 파는 공유 계정'을 사면 출처와 상관없이 약관 위반입니다. 둘째, 같은 약관은 계정에서 일어나는 모든 활동을 이용자 책임으로 두고, 무단 접근이 생기면 support@anthropic.com으로 즉시 알리도록 하고 있습니다. 내 계정이 털려 남이 쓰더라도 신고는 내가 먼저 해야 한다는 뜻입니다.

출처: Anthropic Consumer Terms of Service · 2026-10-05

그래서 이 문제에 대한 제 입장은 분명합니다. 싼 공유 계정은 사용량 제한을 푸는 해법이 아니라 장물 거래입니다. 판매자가 '차단되면 새 계정으로 바꿔 준다'고 약속할 수 있는 건 털린 계정이 계속 공급되기 때문입니다. 즉 그 계정 한 개 한 개 뒤에 피해자가 있습니다. 이런 불법 사용이 늘수록 AI 회사들은 신규 가입 심사, 이상 사용 탐지, 계정 정지를 더 강하게 할 수밖에 없습니다. 그 비용과 불편은 결국 돈 내는 정상 구독자에게 돌아올 가능성이 큽니다.

지금 5분 안에 할 수 있는 클로드 계정 점검

1. 활성 세션 확인하기웹에서 왼쪽 아래 프로필 아이콘을 누르고 설정 > 계정으로 들어간 뒤 '활성 세션'까지 내려갑니다. 세션마다 기기·브라우저, IP 기반 대략적인 위치, 마지막 활동 시각이 표시됩니다.
2. 모르는 세션 종료하기모르는 세션이 있으면 점 세 개(⋮) 메뉴에서 '종료(Terminate)'를 누르고 확인합니다. 종료된 기기는 다시 로그인해야 계정에 들어올 수 있습니다.
3. 모든 기기에서 로그아웃하기모든 기기에서 한 번에 로그아웃하려면 웹의 설정 > 계정에서 로그아웃 버튼을 누릅니다. 이 옵션은 현재 iOS·안드로이드 앱에서는 쓸 수 없습니다.
4. API 키 정리하기클로드 콘솔에서 키별 사용 내역과 로그를 확인하세요. 유출이 의심되는 키는 API 키 페이지에서 바로 삭제합니다. 앤트로픽은 키를 정기적으로 새로 만들어 교체하라고 권하고, 지출 한도를 설정해 두면 키가 털렸을 때 피해를 줄일 수 있다고 안내합니다.
5. 무단 접근 신고하기본인이 아닌 접속 흔적이 있으면 약관에 따라 support@anthropic.com으로 즉시 알립니다. 로그인이 안 되면 고객센터 페이지 오른쪽 아래 메시지 아이콘으로 지원팀에 연락할 수 있습니다.

출처: Claude 고객센터: Managing your active sessions · 2026-10-05; Claude 고객센터: How do I log out of all active sessions? · 2026-10-05; Claude 고객센터: API Key Best Practices · 2026-10-05; Anthropic Consumer Terms of Service · 2026-10-05

출처: Claude 고객센터: API Key Best Practices · 2026-10-05; Google Cloud Blog (GTIG): From Prompting to Autonomy · 2026-10-05

누가 신경 써야 할까요? 웹에서 대화만 하는 일반 구독자라면 세션 점검과 이메일 보안이면 충분합니다. 반면 클로드 코드, Cline, 커서 같은 도구에 API 키를 연결해 쓰는 사람이라면 이번 뉴스의 직접 대상입니다. 오늘 설정 파일을 열어 키를 정리하고 교체하세요. 몇 달러짜리 다크웹 계정이 끌린다면, 그 계정의 원래 주인이 내가 될 수도 있다는 점을 떠올려 보세요.

(선택 쇼핑) 클로드 이용권 판매처 목록 보기: 판매자 리스팅이며 공식 접근 경로나 추천을 뜻하지 않습니다. 이 링크에는 파트너 코드 Sk52g가 붙어 있어, 이 링크로 구매하면 이 사이트를 통한 구매로 집계됩니다. 프로모션 코드 UPD3S.

Claude · 가격·이용 조건 비교 →