【드래곤 스포츠】 보증업체놀이터추천홍보 : 프로그램제작판매제작의뢰 : 스포츠분석 : 무료스포츠중계tv : 섹시bj움짤 : 뉴스 : 안구정화

로그인

글쓰기

[IT뉴스]연결 통로가 해킹 ‘구멍’으로… API 보안 허점서 개인정보 줄줄 샌다

온카뱅크관리자

2026-10-06 06:07:26

<div id="layerTranslateNotice" style="display:none;"></div>  
        <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> 
         <section dmcf-sid="9Cx1vuwa5e">
          <figure class="figure_frm origin_fig" contents-hash="fa69cc5117d30f1643070abccb26cd94f653e2d08b12d05e72920c29e23b13db" dmcf-pid="2hMtT7rNtR" dmcf-ptype="figure">
           <p class="link_figure"><img alt="일러스트=챗GPT" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/06/chosun/20261006060215469vpds.jpg" data-org-width="1536" dmcf-mid="KskVUxHlYd" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/06/chosun/20261006060215469vpds.jpg" width="658"></p>
           <figcaption class="txt_caption default_figure">
            일러스트=챗GPT
           </figcaption>
          </figure>
          <p contents-hash="b8645488348ecbe4107793f615bb10baf4b4ccf14a622b103bde018f53758687" dmcf-pid="Vk9TrZgR5M" dmcf-ptype="general">응용 프로그램 인터페이스(API)를 악용해 개인정보를 빼내는 해킹 공격이 연이어 발생하고 있다. 최근 침해 사고가 발생한 패션 플랫폼 무신사(29CM)와 미용·성형 정보 플랫폼 강남언니, 팬 플랫폼 위버스도 이 수법으로 개인 정보를 털렸다. 기업들이 서비스와 시스템을 연결하기 위해 API 사용을 늘리는 사이, 해커들이 개인정보가 오가는 통로 자체를 노리기 시작했다는 분석이 나온다.</p>
          <p contents-hash="d6cb324d0042f9196655d83d89712da7fe05277ecaa1d49b8072d8512c61a8cf" dmcf-pid="fE2ym5aetx" dmcf-ptype="general"><strong>◇‘통로’가 정보 새는 ‘구멍’으로</strong></p>
          <p contents-hash="09130084c61a347e0b7f40e16de77c985ce76cd23af594499aa74ddf5c36de91" dmcf-pid="4DVWs1Nd5Q" dmcf-ptype="general">API는 프로그램과 시스템 사이에서 필요한 정보를 대신 주고받는 창구이자 소통하는 대화 규칙이다. 예컨대 이용자가 쇼핑 앱에서 ‘주문내역’을 누르면 앱이 서버에 “이 사람의 주문 정보를 보여달라”고 API를 통해 요청하고, 서버는 필요한 정보를 앱으로 보내주는 식이다. 문제는 이 창구의 문을 열 수 있는 권한과 열람되는 정보의 범위를 제대로 관리하지 않으면 API에 요청을 보내는 해커도 정상 이용자처럼 정보를 확인할 수 있다.</p>
          <p contents-hash="c7f9bc0870a240174acbedcf70b725ba771bd77e27175e1c5d8ab37aef612ab7" dmcf-pid="8wfYOtjJYP" dmcf-ptype="general">실제 무신사에서는 지난달 27일 주문 정보를 조회하는 API에 비정상적인 접근이 발생해 약 15만9000건의 개인정보가 유출됐다. 이 중 2만여 건에는 이메일·휴대전화 번호·배송 정보 등이 포함됐다. 강남언니에서도 상담 내역을 조회하는 API가 지닌 취약점이 공격당해 약 22만명의 개인정보가 유출됐다. 위버스는 결제 관련 API를 통한 개인정보 유출 가능성이 제기돼 당국이 조사하고 있다.</p>
          <p contents-hash="8ae7f13ccd5b60a5a80aab816110f0fac5002fffdadab11bfa865bded9050992" dmcf-pid="6r4GIFAiY6" dmcf-ptype="general">API 공격이 치명적인 이유는 한 번의 접근으로 여러 이용자의 정보가 한꺼번에 노출될 수 있기 때문이다. 특히 로그인 여부만 확인하고 정보를 조회할 권한까지 제대로 검증하지 않거나, 한 번의 요청으로 필요 이상의 개인정보를 제공하도록 설계된 경우가 많다. 사용하지 않는 API를 그대로 방치하거나 퇴직·전보 직원의 접근 권한을 정리하지 않는 것도 공격의 빈틈이 될 수 있다.</p>
          <p contents-hash="059596f357580ea22f0093f15fca4000d07f7ef6ec9f5337d5e38ef14d6a8278" dmcf-pid="Pm8HC3cnZ8" dmcf-ptype="general"><strong>◇AI 확산, API 의존도 높여</strong></p>
          <p contents-hash="1fc2619bc09dc003f0144cf75df84e8a7e54961b94fa09d1d12e35459f0a6840" dmcf-pid="Qs6Xh0kLX4" dmcf-ptype="general">최근 산업계 전반으로 확산하고 있는 AI(인공지능)는 API 의존도를 키우고 있다. 생성형 AI 서비스를 다른 프로그램에 연결하거나 AI 에이전트가 외부에서 검색·예약·결제 같은 작업을 수행하려면 보통 API를 거쳐야 한다. 이 과정에서 API 키와 액세스 토큰 같은 인증 정보가 사용된다. AI가 더 많은 서비스와 연결될수록 API와 인증 정보가 탈취됐을 때 접근할 수 있는 데이터와 시스템의 범위도 커질 수 있다.</p>
          <p contents-hash="27e419fa671147171dad503028883be54570116eb4340371e423013d36c9c4b8" dmcf-pid="xOPZlpEo1f" dmcf-ptype="general">반대로 AI가 해커의 공격 자동화에 활용될 가능성도 커지고 있다. 금융보안원은 지난달 금융권 보안 담당자들이 참석한 세미나에서 최근 금융권을 겨냥한 AI 에이전트 기반 공격 시도를 탐지했다고 밝혔다. 공격자가 AI 에이전트를 활용하기 시작하면서 데이터와 시스템을 연결하는 API가 주요 공격 표적으로 떠오르고 있다는 것이다. 기관 측은 API 보안키 노출 여부와 인증·권한 관리 등을 점검할 것을 주문했다.</p>
          <p contents-hash="d8f2bf28ca3971bfd3684052c883b2436bf912dfb0779248b097edd0ffa2a666" dmcf-pid="y2vi8jztHV" dmcf-ptype="general">API를 호출하는 데 쓰이는 인증 정보도 주요 공격 표적이다. API 키나 액세스 토큰이 탈취되면 공격자가 정상적인 시스템이나 사용자처럼 접근할 수 있기 때문이다. 깃허브 등 개발 협업 도구의 소스코드에서 클라우드 접근 키와 API 키가 노출되는 사례도 확인됐다. 인증정보가 소스코드와 설정파일, 개발환경 등에 흩어져 있으면 하나의 시스템이 뚫렸을 때 여러 서비스의 인증 정보가 함께 노출될 수 있다.</p>
          <p contents-hash="762d1964e3ef98aace2398c98dc1b4df43680e43ebe48e2379eda79f2a627d77" dmcf-pid="WVTn6AqFH2" dmcf-ptype="general">API를 악용한 유출을 예방하려면 설계 단계부터 필요한 개인 정보만 주고받도록 하고 최소한의 권한만 부여해야 한다. 개인정보보호위원회는 사업자들에게 운영 중인 API를 빠짐없이 파악해 정기적으로 점검하고, 서비스와 무관한 개인 정보가 응답 데이터에 포함돼 있다면 제거할 것을 권고한다. 장기간 쓰지 않은 API 키와 토큰을 회수하는 것도 사고 예방에 도움이 된다.</p>
         </section> 
        </div> 
        <p class="" data-translation="true">Copyright © 조선일보. 무단전재 및 재배포 금지.</p>

댓글 총 0개

이번주 포인트랭킹

매주 일요일 밤 0시에 랭킹을 초기화합니다.

14,000상품권
23,000상품권
32,000상품권

업체홍보/구인 더보기

지식/노하우 더보기

판매의뢰 더보기

포토 더보기