스크린 스크래핑이란 — 내 아이디·비밀번호를 맡겨 대신 로그인하는 방식, 은행들이 AI 에이전트를 막는 이유
Screen scraping means handing a third party your login credentials so its software can sign in as you and read or act on the screen. Korea banned it for licensed financial MyData services from 4 p.m. on January 5, 2022, moving 33 providers to APIs. In October 2026, Schwab and JPMorgan said they block AI agents that use customer credentials or browser automation, the AI-era version of the same practice.
스크린 스크래핑은 내 아이디·비밀번호를 제3자에게 맡겨, 그 프로그램이 나인 척 로그인해 화면을 읽거나 버튼을 누르게 하는 방식이다. 한국은 2022년 1월 5일 오후 4시부터 금융 마이데이터 사업자의 스크래핑을 금지하고 API 방식으로 바꿨다. 2026년 10월 슈왑·JP모건이 막은 '브라우저 자동화 AI 에이전트'도 같은 구조다
3줄 요약
- 정의 — 비밀번호를 넘겨받은 프로그램이 사람처럼 로그인해 화면을 읽고 조작
- 대안 — API: 비밀번호 대신 범위·기간이 정해진 권한 토큰으로 필요한 데이터만
- 지금 — 한국 마이데이터는 2022년 금지, 미국은 규칙이 소송으로 멈춤, 은행은 AI 에이전트 차단
핵심 질문
- 스크래핑 뜻 금융
- **고객의 로그인 정보로 금융사 화면에 대신 접속해 정보를 긁어 오는 방식이다.** | 항목 | 내용 | |---|---| | 필요한 것 | 고객 아이디·비밀번호(또는 인증서) | | 하는 일 | 로그인 → 화면 읽기 → 필요 시 버튼 조작 | | 금융사 입장 | 고객과 구별 불가 | | 대체 기술 | 오픈 API |
- 스크래핑 API 차이
- **스크래핑은 열쇠를 통째로 맡기고, API는 정해진 문만 여는 출입증을 준다.** | 구분 | 스크래핑 | API | |---|---|---| | 넘기는 것 | 비밀번호 | 권한 토큰 | | 범위 | 계정 전체 | 동의한 항목만 | | 철회 | 비밀번호 변경 | 토큰 해지 | | 금융사 인지 | 고객인지 대리인지 모름 | 누가 접근하는지 앎 | | 화면 바뀌면 | 고장 | 영향 없음 |
- 마이데이터 스크래핑 금지
- **2022년 1월 5일 오후 4시부터 금융 마이데이터 사업자의 스크래핑이 금지됐다.** | 항목 | 내용 | |---|---| | 시범 서비스 | 2021년 12월 1일(API 방식) | | 전면 시행 | 2022년 1월 5일 16시 | | 참여 | 마이데이터 사업자 33곳 | | 핵심 | 사업자·정보제공자 모두 API 의무 사용 |
스크린 스크래핑은 '내 집 열쇠 꾸러미를 통째로 남에게 맡기는 것'이다. 아이디와 비밀번호를 넘겨받은 프로그램이 나인 척 금융사 사이트에 로그인하고, 화면에 뜬 잔액·거래 내역을 읽어 오거나 버튼을 대신 누른다. 가계부 앱이 여러 은행 잔액을 한 화면에 모아 보여 주던 초기 방식이 이것이었다.
이 오래된 단어가 2026년 10월 다시 등장했다. 미국 증권사 찰스 슈왑과 JP모건이 "고객의 로그인 정보나 브라우저 자동화로 들어오는 외부 AI 에이전트"를 막는다고 밝혔다(「슈왑·JP모건, 외부 AI 에이전트 차단」). 화면을 보고 클릭하는 AI 에이전트는 AI 시대의 스크린 스크래핑이다.
1. 어떻게 작동하나 — 스크래핑과 API
| 단계 | 스크린 스크래핑 | 오픈 API |
|---|---|---|
| 1. 연결 | 고객이 앱에 비밀번호 입력 | 고객이 금융사 화면에서 직접 동의 |
| 2. 접속 | 앱이 고객인 척 로그인 | 금융사가 앱에 권한 토큰 발급 |
| 3. 데이터 | 화면 글자를 긁어 옴 | 정해진 형식으로 필요한 항목만 받음 |
| 4. 범위 | 계정에서 할 수 있는 모든 것 | 동의한 항목·기간만 |
| 5. 중단 | 비밀번호를 바꿔야 끊김 | 토큰만 해지하면 끝 |
| 6. 화면 개편 시 | 고장 | 영향 없음 |
비유하면 API는 택배 기사에게 주는 공동현관 출입번호다. 현관만 열 수 있고, 언제든 바꿀 수 있다. 스크래핑은 집 열쇠 꾸러미를 통째로 주는 것이다. 현관도 안방 금고도 다 열린다.
2. 왜 위험한가
| 위험 | 내용 |
|---|---|
| 비밀번호 집중 | 수많은 고객의 금융 비밀번호가 한 회사 서버에 모임 — 털리면 한꺼번에 |
| 구별 불가 | 금융사는 접속한 게 고객인지 대리 프로그램인지 모름 → 이상 거래 탐지 어려움 |
| 과다 권한 | 잔액만 보려 했는데 송금 권한까지 넘어감 |
| 책임 공백 | 사고가 나면 고객·대리업체·금융사 중 누구 책임인지 불분명 |
| 약관 위반 | 많은 금융사가 비밀번호 제3자 공유를 약관으로 금지 |
AI 에이전트는 여기에 하나를 더한다. 판단을 한다는 것이다. 정해진 화면만 읽던 스크래퍼와 달리, 에이전트는 상황을 해석해 버튼을 누른다. 잘못 해석하면 잘못 누른다. 웹페이지에 숨긴 문구로 AI를 조종하는 공격(간접 프롬프트 인젝션)도 있다. 비밀번호를 한곳에 모아 둔 서비스가 뚫리면 어떻게 되는지는 같은 주 「오픈코드 API 키 유출」 사건이 보여 줬다.
3. 나라별로 어디까지 왔나
| 나라 | 조치 | 시점 | 현황 |
|---|---|---|---|
| 한국 | 금융 마이데이터 스크래핑 금지, API 의무화 | 2022년 1월 5일 16시 | 사업자 33곳 API 전환으로 출발 |
| 미국 | CFPB '1033조' 개인 금융데이터 권리 규칙(API 전환 유도) | 2024년 최종 규칙 | 은행권 소송·법원 집행 정지, CFPB 재작성 중 — 준수 기한 사실상 보류 |
| 미국 민간 | 슈왑·JP모건, 로그인 정보·브라우저 자동화 에이전트 차단 | 2026년 10월 | 읽기 전용 공유는 유지 |
한국은 이 문제를 4년 전에 법으로 정리한 셈이다. 금융위원회는 2021년 12월 1일 API 방식 시범 서비스를 거쳐 2022년 1월 5일 오후 4시부터 마이데이터 사업자의 스크래핑을 금지했다. 시행 당일 일부 금융사와 연결이 안 되는 문제도 있었지만, 지금은 마이데이터 앱이 비밀번호 대신 금융사 인증 화면을 거쳐 연결된다.
미국은 아직 진행 중이다. 소비자금융보호국이 2024년 금융사에 API 제공을 의무화하는 규칙을 냈지만 은행권 소송으로 법원이 집행을 막았고, 당국이 규칙을 다시 쓰고 있다. 그 공백에서 은행들이 직접 선을 긋기 시작한 것이 이번 AI 에이전트 차단이다.
4. FAQ와 확인되지 않은 것
| 질문 | 답 |
|---|---|
| 지금 쓰는 가계부 앱도 스크래핑인가 | 금융 마이데이터 인가 사업자라면 2022년부터 API 방식이다. 비밀번호를 직접 받는 앱이라면 확인이 필요하다 |
| AI 비서에게 은행 비밀번호를 줘도 되나 | 권하지 않는다. 약관 위반일 수 있고, 사고 시 보상이 어려울 수 있다 |
| AI 에이전트는 앞으로 금융을 못 쓰나 | 금융사가 만든 API·자체 AI 비서를 통해 '보기'부터 열리는 중이다 |
| 스크래핑 자체가 불법인가 | 업종·나라·약관마다 다르다. 금융 마이데이터 영역은 한국에서 금지 |
| 카드번호 없이 AI가 결제하는 방법은 | 일회용 토큰 방식 — 「AI 에이전트 결제란」 참고 |
- 미국 규칙 현황: 1033조 규칙의 최신 상태는 2차 추적 자료 기준이며 법원 기록으로 직접 확인하지 못했다.
- 한국 AI 에이전트: 국내 금융사가 브라우저 자동화 AI 접속에 대해 낸 공식 방침은 찾지 못했다.
- 관련 개념: AI에 도구를 공식 통로로 연결하는 표준은 「MCP란」, 사람 대신 일하는 AI의 신원 확인은 「AI 에이전트 신원 증명이란」에서 다뤘다.