最近、アプリケーション・プログラミング・インターフェース（API）を通じた個人情報流出事故が相次いでいる。オンラインファッションモールからファンダム・美容医療プラットフォームまで業種を問わず、ハッカーがプラットフォーム連動機能であるAPIの脆弱性を突いているためだ。これにより業界全般でAPIセキュリティの重要性が高まっている。
◇ B2Cプラットフォーム、相次ぐAPI攻撃で個人情報流出事故
8日、セキュリティ業界によれば、美容医療プラットフォーム「カンナムオンニ」の運営会社である힐링페이퍼は4日、相談履歴照会APIに異常なアクセスが発生し、一部顧客の個人情報が流出したと明らかにした。会社は異常アクセスを捕捉し次第、当該経路を遮断したが流出は発生しており、翌日に同一攻撃者が別の経路で再度アクセスを試みた状況を確認した。6日には攻撃者を特定できる状況を確保し、所轄警察署に捜査を依頼した。
今回の事故で韓国利用者約16万人と日本利用者約4万8000人をはじめ、台湾・タイ・中国など国内外の顧客21万9665人の情報が流出した。流出項目には氏名や連絡先などの基本情報に加え、相談登録写真、予約希望時間、相談動機、施術医師識別値、実際の施術および決済関連情報などが含まれた。
ファンダムプラットフォーム「Weverse」は6日の告知で、アカウントID基準で42万2584件の個人情報が流出したと明らかにした。Weverse Companyは3日、KISAからサービスのセキュリティ脆弱性に関する通報を受け、自主点検した結果、流出事実を確認した。流出項目には会員登録過程で生成される内部識別情報と決済手段、決済代行業者（PG）名、決済通貨、購入・取消金額および時点などが含まれた。
化粧品情報プラットフォーム「Hwahae」は2日、外部行為者が一部顧客の個人情報に異常アクセスした事実を確認し、韓国インターネット振興院（KISA）に通報した。流出項目は一部会員のイベント配送先情報と、レビュー投稿に公開された会員情報だ。パスワードと決済・金融情報、住民登録番号などは流出していないと把握された。
MUSINSAが運営するオンラインファッションモール「29CM」では先月27日、注文情報照会APIに外部からの異常アクセスが発生し、顧客個人情報15万9852件が流出した。会社は事故を確認後、当該アクセス経路を遮断し、KISAに個人情報流出事実を自主申告した。流出項目を見ると、13万8841人は氏名が、2万1011人は氏名とメールアドレス、携帯電話番号、配送情報が外部へ流出した。決済情報とID・パスワードなどのログインアカウント情報は流出していないと把握された。
◇ API権限検証・反復呼び出しの隙を狙う…「AIエージェント拡散でAPI呼び出し増」
相次ぐAPI流出事故に関して、セキュリティ業界では、外部サービスとの連動が多いB2Cプラットフォームでデータ交換の通路であるAPIがサイバー攻撃の脆弱地点となっていると指摘する。APIは異なるプログラムやサービスが定められた規則に従いデータと機能をやり取りするために設けた接続通路だ。例えばショッピングアプリが注文管理システムから注文履歴を取得したり、金融アプリが銀行システムから残高・取引履歴を呼び出す際に使われる。
APIのセキュリティ事故は、サーバーがログインの有無だけを確認して個別情報へのアクセス権限を検証しなかったり、大量・反復呼び出しを制限しない時に発生する。攻撃者はAPIリクエストに含まれる会員番号や注文番号といった識別値を変更し、他の利用者情報を照会する「オブジェクトレベル認可の脆弱性（BOLA）」を狙ったり、呼び出しを自動化して情報を大量収集する。管理されていない「シャドーAPI」や、サービス改編後も残存する「ゾンビAPI」を迂回経路として悪用することもある。これらのリクエストは形式上、正常なサービス利用と似ており、既存のファイアウォールだけでは悪性行為の判別が難しい。
これを受け、個人情報保護委員会は7月、APIを通じた個人情報流出の予防措置を強化するよう要請した。個人情報委は、サービスに不要な個人情報はAPI応答から除外し、リクエストごとに情報の照会・修正権限を確認するよう勧告した。利用者・管理者・提携社別にアクセス権限を差等付与し、大量・反復呼び出しを制限する一方で、不要なAPIと長期間未使用のキー・トークンは削除・回収すべきだと強調した。未明時間の接続や大量照会など異常行為を探知するため、接続記録の点検も求めた。
専門家は、AIエージェントの拡散でAPI呼び出しが急増するだけに、企業は認証・認可体制と異常行為の探知を強化すべきだと指摘する。キム・ミョンジュ・ソウル女子大学情報保護学科教授は「AIサービスがエージェント基盤に変わりつつあり、API呼び出しは増えざるを得ない」と述べ、「利用者の身元を確認し、アクセス可能なデータと機能の範囲を定める認証・認可手続きを綿密に設計すべきだ」と語った。
続けて「利用者が当初許容された範囲を超えて複数のデータやシステムを連続して照会するなど、平時と異なる使用パターンを示せば、異常兆候と判断すべきだ。APIを開放する段階から利用行動とログをリアルタイムで分析しなければ、情報流出後にようやく事故を認知することになる」とし、「APIを開くだけにとどめず、セキュリティ投資とモニタリング、管理人員を拡充すべきだ」と強調した。