GPT API 키 무단 사용자를 찾는 방법 How to Trace Unauthorized GPT API Key Usage GPT APIキー不正利用者を追跡する方法

GPT API 키 무단 사용자를 찾는 방법 How to Trace Unauthorized GPT API Key Usage GPT APIキー不正利用者を追跡する方法 如何追查 GPT API 密钥的未授权使用者 찾을 가능성은 있지만, OpenAI Usage 화면만으로 범인의 이름이나 IP 주소가 바로 나오지는 않습니다. 지금까지 확인된 핵심 단서는 특정 API 키 하나에서 445회 요청과 약 334만 입력 토큰이 발생했고, 거의 대부분이 특정 하루에 집중됐다는 점입니다. 따라서 증거를 보존한 뒤 OpenAI 지원팀 + 본인 서버/PC 로그를 대조하는 방식이 가장 현실적입니다. 가장 먼저 해야 할 일은 이미 의심되는 키를 Revoke하고 새 키로 교체하는 것입니다. OpenAI도 API 키 유출이 의심되면 즉시 키를 폐기·교체하고, 무단 활동을 지원팀에 신고하라고 안내합니다. 그다음 아래 순서로 추적하세요. 증거를 삭제하지 마세요. 지금 가지고 있는 completions_usage_2026-08-06_2026-09-05.csv, Usage 화면 캡처, API Key ID, Project ID, 이상 사용 시간대를 따로 보관하세요. 특히 요청이 집중된 날짜와 한국시간 범위를 기록해 두는 것이 중요합니다. OpenAI Support에 무단 사용 신고를 하세요. 등록 이메일, 의심되는 API Key ID, Project ID, 발생 기간, 비정상 요금, Usage CSV와 스크린샷을 전달하고, 가능하다면 해당 요청의 접속 원본 IP·User-Agent·지역 정보 또는 보존 가능한 보안 로그가 있는지 조사해 달라고 요청하세요. OpenAI는 의심스러운 활동을 즉시 신고하라고 공식 안내하고 있습니다. 본인 서버 로그를 확인하세요. Korea Dating이 PHP 서버를 거쳐 OpenAI를 호출한다면 Apache/Nginx access log에서 문제 시간대의 요청을 확인합니다. 여기에는 보통 접속 IP, 시간, URL, HTTP 상태 코드, User-Agent가 남습니다. 특히 같은 IP가 짧은 시간 동안 AI 엔드포인트를 수백 번 호출했는지 확인하십시오. Android 앱에 키가 직접 들어갔는지 확인하세요. OpenAI는 API 키를 모바일 앱이나 브라우저 같은 클라이언트에 넣지 말라고 명시하고 있습니다. APK에 키가 포함됐다면 앱을 다운로드한 사람이 APK를 분석해서 키를 추출했을 가능성이 있습니다. GitHub와 소스코드 유출 여부를 확인하세요. .env, local.properties, gradle.properties, PHP 설정 파일, Java/Kotlin 코드, JavaScript에 sk-...가 들어 있었는지 검색하고, GitHub에 한 번이라도 커밋했다면 현재 파일에서 지웠더라도 Git 히스토리에 남아 있을 수 있습니다. OpenAI도 저장소에 키를 커밋하지 말고 환경변수를 사용하라고 권고합니다. 특히 확인해야 할 문자열은 다음 정도입니다: OPENAI_API_KEY sk- sk-proj- openai Authorization: Bearer koreadating251011 Windows PC라면 VS Code의 전체 검색(Ctrl+Shift+F) 으로 Korea Dating 프로젝트에서 먼저 찾아보는 것이 가장 빠릅니다. 또 하나 중요한 구분이 있습니다. API Key ID는 범인을 가리키는 ID가 아닙니다. 예를 들어 앞서 CSV에서 확인된 key_... 값은 “어떤 키가 사용됐는지”를 식별할 뿐, 실제 요청을 보낸 사람의 계정을 알려주는 것은 아닙니다. OpenAI의 /v1/me 같은 기능도 해당 API 키가 어느 OpenAI 사용자·조직 소유인지 확인하는 용도이지, 훔쳐 쓴 제3자의 신원을 밝히는 기능은 아닙니다. 범인을 실제로 특정할 수 있는 가장 좋은 증거 원본 접속 IP + 시간 + 서버 로그입니다. 예를 들어 서버 로그에서 아래처럼 나온다면: 2026-09-02 14:03:22 IP: 203.xxx.xxx.xxx POST /api/chat User-Agent: ... 그리고 동일 IP에서 수백 번 호출됐다면 상당히 강한 단서가 됩니다. 반대로 누군가 API 키를 직접 OpenAI에 사용했다면 내 서버를 전혀 거치지 않기 때문에 내 웹서버 로그에는 흔적이 없습니다. 이 경우에는 OpenAI가 보유한 요청 메타데이터가 있는지 지원팀에 문의하는 것이 핵심입니다. 또 IP가 발견되더라도 IP만으로 개인의 이름을 바로 알아낼 수는 없습니다. VPN, 프록시, 클라우드 서버일 수도 있고, 실제 가입자 정보는 일반적으로 수사기관의 적법한 절차가 필요한 영역입니다. 따라서 금액이나 피해가 크고 명백한 무단 사용이라면 증거를 보존한 상태에서 경찰 사이버수사 신고를 검토할 수 있습니다. 현재 상황에서는 “키가 어디서 새었는지”를 찾는 것이 범인 추적보다 먼저입니다. 특히 koreadating251011을 Android 앱 안에 직접 넣었는지, PHP 서버에만 넣었는지에 따라 유출 경로가 완전히 달라집니다.