02 자금은 어디에 있는가
저희에게 있지 않습니다.
이 페이지에서 가장 중요한 대목이자, 업계에서 가장 흔히 오해받는 대목입니다.
분리 보관
고객 잔액은 발행 전자화폐기관이 보유한 분리 보관 계좌에 놓이며, 저희 자기자금과 떨어져 있습니다. 설령 BuyVirtualCards이 내일 사업을 접더라도 그 자금은 저희 자산에 포함되지 않습니다. 고객의 것으로 남습니다.
암호자산을 보관하지 않습니다
충전은 수령 시점에 환전됩니다. 고객의 비트코인이 잠들어 있는 BuyVirtualCards 지갑은 존재하지 않으며, 따라서 훔쳐 갈 자금 더미도 없습니다. 보물을 도둑맞지 않는 가장 좋은 방법은 애초에 보물을 쌓지 않는 것입니다.
시장 위험 없음
잔액은 전자화폐로 표시됩니다. 충전 이후 비트코인이 하락해도 영향을 받지 않습니다. 반대로 상승해도 이득이 되지 않습니다. 이것은 투자 상품이 아니며, 그런 척하지도 않습니다.
03 고객의 계좌
2차 인증은 필수
인증 앱(TOTP) 또는 실물 보안키(WebAuthn). 문자메시지는 단독 수단으로 제공하지 않습니다. 유심 탈취가 너무 흔해서, 그것으로 지켜진다고 말할 수 없기 때문입니다.
비밀번호는 scrypt로 해시
OWASP 권고에 맞춘 파라미터, 계좌마다 무작위 솔트, 일정 시간 비교. 저희는 고객의 비밀번호를 읽을 수 없고, 내부의 누구도 읽을 수 없습니다.
서명된 세션
HttpOnly, SameSite=Lax, 운영 환경에서는 Secure, HMAC-SHA256으로 서명한 쿠키. 페이지의 자바스크립트로는 접근할 수 없으므로 스크립트 주입의 사정거리 밖에 있습니다.
민감한 작업 알림
낯선 기기에서의 로그인, 비밀번호 변경, 은행 계좌 추가. 각 사건마다 즉시 차단 링크가 담긴 이메일이 발송됩니다.
04 카드 정보
카드 번호를 저장하지 않습니다.
전체 번호, 유효기간, 보안코드는 발행기관이 PCI-DSS 인증 환경에서 보관합니다. 고객 페이지에서 표시하실 때는 그때그때 가져와 격리된 프레임 안에 그립니다. 저희 애플리케이션 서버를 거치지도, 로그에 기록되지도 않습니다.
저희가 보관하는 것은 마지막 네 자리, 네트워크, 유효기간, 카드 상태입니다. 목록에 표시하기에는 충분하지만 그것으로 결제할 수는 없습니다.
각 주체가 보는 것
- BuyVirtualCards
- 잔액, 거래 내역, 각 카드의 마지막 네 자리.
- 발행기관
- PCI-DSS 환경에서의 완전한 카드 정보. 그것이 이 기관의 업무이자 규제상의 책임입니다.
- 결제 사업자
- 청구 금액과 입금 주소. 카드 정보는 없고 잔액에 접근할 권한도 없습니다.
- 가맹점
- 어떤 카드든 결제 시 전달하는 정보. 일회용 카드라면 두 번 다시 통하지 않는 번호입니다.
05 취약점 신고
책임 있는 공개
취약점을 발견하시면 [email protected]으로 연락 주십시오. 48시간 이내에 접수를 알려 드리고, 수정될 때까지 연구자에게 진행 상황을 전해 드립니다. 옆의 기준을 지키는 분을 저희가 문제 삼는 일은 없습니다. 공개 전에 90일을 주시면 감사하겠습니다.
기준
- 본인 계좌에서만 시험할 것
- 서비스 거부 공격을 하지 않을 것
- 타인의 데이터에 접근하거나 반출하지 않을 것
- 저희 임직원이나 고객을 상대로 사회공학 기법을 쓰지 않을 것
- 취약점이 확인되는 즉시 멈추고 신고할 것
06 의심하십시오, 저희도 포함해서
사기를 알아보는 법.
‘암호화폐에서 카드로’라는 분야에는 사기꾼이 많이 모입니다. 다음은 자리를 떠야 할 신호입니다. 저희에게도 같은 잣대를 대 보십시오.
대리 권한이 없는 은행의 이름으로 카드를 발급할 수 있는 자는 없습니다. 요청에 따라 Revolut, BNP Paribas, Bank of America 카드를 ‘생성’해 준다는 사이트는 파는 것에 대해 거짓말을 하고 있습니다. 암호화폐로 결제하시고, 되찾을 방법도 없으며, 쓸 수 있는 것은 아무것도 받지 못하십니다.
제대로 된 결제 서비스는 카드를 발급하는 기관의 이름을 밝히고 인가 번호를 공개합니다. 그 정보를 찾을 수 없다면 뒤에 기관이 없다는 뜻입니다.
저절로 올라가는 고객 카운터, 같은 주에 몰아서 올라온 칭찬 일색의 후기, 대응하는 기사가 없는 언론사 로고, 석 달 전에 등록한 도메인에 적힌 ‘2018년부터’. 이런 연출은 한 시간이면 만들 수 있고, 얻은 적 없는 신뢰를 빌리는 데에만 쓰입니다. whois로 도메인의 등록 시점을 확인하십시오.
저희가 Telegram, WhatsApp, Discord로 먼저 연락하는 일은 결코 없습니다. 비밀번호나 일회용 코드를 묻지도, 계좌를 ‘해제’하기 위한 입금을 요구하지도 않습니다. 이런 요청은 모두 사기이며, 보낸 사람의 표시 이름이 무엇이든 달라지지 않습니다.