ドゥナム「照会用APIキーの貸与も危険」 SNS詐欺に警鐘

Upbitの運営会社ドゥナムは、市場データの照会を名目にアカウントやAPIキーの貸与を求める新手の詐欺への注意を呼びかけた。

ドゥナムは10月8日、SNS上でUpbitのウォン市場にアクセスできるアカウントや、読み取り専用のAPIキーを貸与・購入したいとするメッセージが多数見つかったと明らかにした。投稿者は、売買や入出金は行わずデータ照会にだけ使うと説明しているが、一般的な相場や市場情報は認証不要の公開APIで確認できるため、キーを提供する理由はないと指摘した。

APIキーは、付与された権限に応じて資産や注文、入出金履歴を照会したり、取引機能にアクセスしたりできる認証情報を指す。ドゥナムは、照会権限しかないキーでも詐欺や不正利用に悪用される恐れがあるとして、アカウントのログイン情報やAPIのアクセスキー、シークレットキーを他人に渡してはならないと強調した。

キーの露出や流出が疑われる場合は、直ちに削除し、必要に応じて再発行しなければならない。使っていないキーや今後利用する予定のないキーも削除するよう勧めた。不審な勧誘行為や被害の兆候は、Upbitのカスタマーセンターに通報できる。

Upbitは、APIキーに出金権限があっても、初期設定では出金を遮断している。利用者がモバイルアプリの「Open API管理」で出金許可機能を直接有効にした場合に限り、出金できる仕組みだ。事前登録していないIPアドレスからAPI呼び出しが試みられた場合は、カカオトークの通知メッセージで案内する。利用者は異常なリクエストを確認したうえで、当該キーを削除できる。

ドゥナムは、虚偽・誇大広告でアカウントやAPIキーの提供を求める行為への対応を強化する方針だ。不当に貸与されたり、不審な行為に使われたりしたアカウントは利用を停止し、疎明資料の提出を求める。必要に応じて捜査当局に告発する計画だ。

ドゥナムの関係者は「単なる照会用という言葉に惑わされて自分のアカウント情報やAPIキーを他人に渡すのは、自分の金庫の鍵を見知らぬ相手に握らせるのと同じだ」と述べた。投資家保護に向けたモニタリングも強化するとした。