최근 애플리케이션 프로그래밍 인터페이스(API)를 통한 개인정보 유출 사고가 잇따르고 있다. 온라인 패션몰부터 팬덤·미용의료 플랫폼까지 업종을 가리지 않고 해커들이 플랫폼 연동 기능인 API 취약점을 파고든 것이다. 이에 업계 전반에 API 보안의 중요성이 커지고 있다.
◇ B2C 플랫폼, 잇따른 API 공격으로 개인정보 유출 사고
8일 보안업계에 따르면 미용의료 플랫폼 강남언니 운영사 힐링페이퍼는 지난 4일 상담 내역 조회 API에 비정상적인 접근이 발생해 일부 고객의 개인정보가 유출됐다고 밝혔다. 회사는 비정상적인 접근을 포착한 즉시 해당 경로를 차단했으나 유출이 일어났으며, 다음 날 동일한 공격자가 다른 경로로 재차 접근을 시도한 정황을 확인했다. 지난 6일에는 공격자를 특정할 수 있는 정황을 확보해 관할 경찰서에 수사를 의뢰했다.
이번 사고로 한국 이용자 약 16만명과 일본 이용자 약 4만8000명을 비롯해 대만·태국·중국 등 국내외 고객 21만9665명의 정보가 유출됐다. 유출 항목에는 이름과 연락처 등 기본정보뿐 아니라 상담 등록 사진, 예약 희망 시간, 상담 동기, 시술 의사 식별값, 실제 시술 및 결제 관련 정보 등이 포함됐다.
팬덤 플랫폼 위버스는 지난 6일 공지를 통해 계정 ID 기준 42만2584건의 개인정보가 유출됐다고 밝혔다. 위버스컴퍼니는 지난 3일 KISA로부터 서비스 보안 취약점에 관한 제보를 전달받아 자체 점검한 결과 유출 사실을 확인했다. 유출 항목에는 회원 가입 과정에서 생성되는 내부 식별정보와 결제 수단, 결제대행업체(PG)명, 결제 통화, 구매·취소 금액 및 시점 등이 포함됐다.
화장품 정보 플랫폼 화해는 지난 2일 외부 행위자가 일부 고객의 개인정보에 비정상적으로 접근한 사실을 확인해 한국인터넷진흥원(KISA)에 신고했다. 유출 항목은 일부 회원의 이벤트 배송지 정보와 리뷰 게시글에 공개된 회원 정보다. 비밀번호와 결제·금융 정보, 주민등록번호 등은 유출되지 않은 것으로 파악됐다.
무신사가 운영하는 온라인 패션몰 29CM에서는 지난달 27일 주문정보 조회 API에 외부의 비정상적인 접근이 발생해 고객 개인정보 15만9852건이 유출됐다. 회사는 사고를 확인한 뒤 해당 접근 경로를 차단하고 KISA에 개인정보 유출 사실을 자진 신고했다. 유출 항목을 보면 13만8841명은 이름이, 2만1011명은 이름과 이메일 주소, 휴대전화번호, 배송정보가 외부로 빠져나갔다. 결제정보와 아이디·비밀번호 등 로그인 계정정보는 유출되지 않은 것으로 파악됐다.
◇ API 권한 검증·반복 호출 허점 노려… "AI 에이전트 확산에 API 호출↑"
잇따른 API 유출 사고들과 관련해 보안업계에서는 외부 서비스와의 연동이 많은 B2C 플랫폼에서 데이터 교환 통로인 API가 사이버 공격의 취약 지점이 되고 있다고 지적한다. API는 서로 다른 프로그램이나 서비스가 정해진 규칙에 따라 데이터와 기능을 주고받도록 만든 연결 통로다. 가령 쇼핑 앱이 주문관리 시스템에서 주문내역을 받아오거나 금융 앱이 은행 시스템에서 잔액·거래내역을 불러오는 데 사용된다.
API 보안사고는 서버가 로그인 여부만 확인하고 개별 정보에 대한 접근 권한을 검증하지 않거나 대량·반복 호출을 제한하지 않을 때 발생한다. 공격자는 API 요청에 포함된 회원번호, 주문번호 같은 식별값을 바꿔 다른 이용자 정보를 조회하는 '객체 수준 인가 취약점(BOLA)'을 노리거나, 호출을 자동화해 정보를 대량으로 수집한다. 관리되지 않는 '섀도 API'나 서비스 개편 후에도 남아 있는 '좀비 API'를 우회 경로로 악용하기도 한다. 이들 요청은 형식상 정상적 서비스 이용과 비슷해 기존 방화벽만으로 악성 행위를 구분하기 어렵다.
이에 개인정보보호위원회는 지난 7월 API를 통한 개인정보 유출 예방 조치를 강화하라고 당부했다. 개인정보위는 서비스에 불필요한 개인정보를 API 응답에서 제외하고, 요청마다 정보 조회·수정 권한을 확인하도록 권고했다. 이용자·관리자·제휴사별 접근 권한을 차등 부여하고 대량·반복 호출을 제한하는 한편, 불필요한 API와 장기간 사용하지 않은 키·토큰은 삭제·회수해야 한다고 강조했다. 새벽 시간 접속이나 대량 조회 등 이상행위를 탐지하기 위한 접속기록 점검도 주문했다.
전문가들은 AI 에이전트 확산으로 API 호출이 급증하는 만큼 기업이 인증·인가 체계와 이상행위 탐지를 강화해야 한다고 지적한다. 김명주 서울여대 정보보호학과 교수는 "AI 서비스가 에이전트 기반으로 바뀌면서 API 호출은 늘어날 수밖에 없다"며 "이용자 신원을 확인하고 접근 가능한 데이터와 기능의 범위를 정하는 인증·인가 절차를 촘촘하게 설계해야 한다"고 말했다.
이어 "이용자가 당초 허용된 범위를 넘어 여러 데이터나 시스템을 연속으로 조회하는 등 평소와 다른 사용 패턴을 보이면 이상 징후로 판단해야 한다. API를 개방할 때부터 이용 행태와 로그를 실시간으로 분석하지 않으면 정보가 유출된 뒤에야 사고를 인지할 수 있다"며 "API를 열어주는 데 그치지 않고 보안 투자와 모니터링, 관리 인력을 확대해야 한다"고 강조했다.