뉴스 듣기 글자 크기 글자 크기 설정 가 보통 가 크게 가 아주 크게 기사 공유 기사공유 페이스북 엑스 카카오톡 이메일 주소복사 북마크 다크모드 프린트 네이버 채널구독 다음 채널구독 사회 사회일반 단독서버 해킹 않고 앱으로 정보탈취…구멍난 ‘API 보안’ [삼프로TV 사태로 드러난 맹점] 정상 로그인 뒤 API 반복 호출 권한 없는 타인 정보까지 조회 방화벽만으로는 해킹탐지 한계 글로벌 기업 87%가 “사고 경험” 개보위도 지난달 예방조치 권고 황동건 기자 입력 2026-08-21 17:46 수정 2026-08-21 23:40 지면 15면 구글 검색 선호 출처로 추가 사진은 해당 기사와 무관. 2023년 7월 서울 중구 동대문디자인플라자(DDP)에서 해커톤(프로그래밍 경진대회) 참가자들이 서비스를 개발하고 있다. 연합뉴스 웹사이트와 모바일 앱이 서버와 정보를 주고받는 통로인 응용프로그램인터페이스(API)가 개인정보 보안의 사각지대로 떠오르고 있다. 최근 삼프로TV 개인정보 유출 사고에서도 공격자는 서버에 직접 침입하지 않고 정상 로그인한 뒤 API를 반복 호출하는 방식으로 다른 회원의 정보를 무단 조회한 것으로 파악됐다. 인공지능(AI) 사용이 늘면서 API 활용도 확대되는 가운데 접근 권한과 반복 요청을 제대로 통제하지 못하면 대규모 개인정보 유출 경로로 악용될 수 있다는 지적이 나온다. 21일 개인정보보호위원회가 국회에 제출한 자료에 따르면 신원 미상의 공격자는 이달 초 삼프로TV 모바일 앱에 계정을 만든 뒤 정상 로그인해 권한 없이 API를 반복 호출했다. 이 과정에서 통합 회원 약 46만 명의 개인정보가 무단 조회됐다. 이름·전화번호·e메일은 물론 주소·계좌·신용카드 정보 등도 포함됐다. 운영사 이브로드캐스팅은 사고 인지 뒤 공격자의 접속 경로와 인터넷주소(IP)를 차단하고 외부 보안 업체 진단을 실시했다고 개보위에 보고했다. 개보위는 이달 10일 현장조사에 착수해 유출 경위와 개인정보보호법상 안전조치 의무 위반 여부 등을 들여다보고 있다. 보안 업계가 주목하는 점은 해커가 서버를 직접 장악하지 않고 정상적인 서비스 이용 절차가 공격에 악용됐다는 것이다. API는 이용자가 웹이나 앱에서 특정 기능을 실행할 때 서버에 필요한 정보를 요청하고 결과를 돌려받는 통로다. 서버가 로그인 여부만 확인하고 해당 정보에 접근할 권한을 제대로 검증하지 않으면 공격자가 API 요청을 반복해 다른 이용자의 정보까지 조회할 수 있다. 이 같은 방식은 대량 조회를 자동화하기 쉬운 반면 정상 이용자의 요청과 구분하기 어려워 기존 보안 시스템의 탐지가 까다롭다. 방화벽이나 침입 탐지 시스템만으로 악의적인 행위를 걸러내는 데 한계가 있을 수 있다는 의미다. 보안 업계의 한 관계자는 “특정 계정이나 IP에서 비정상적으로 많은 요청이 발생하거나 짧은 시간에 다수 이용자의 정보를 연속 조회하는 행위를 탐지할 수 있어야 한다”며 “API 단위의 권한 관리와 모니터링이 뒤처지면 보안 취약점으로 이어질 수 있다”고 말했다. 실제로 API를 악용한 보안 사고는 전 세계적으로 확산하는 추세다. 글로벌 보안 업체 아카마이테크놀로지스가 10개국 6개 산업 분야 보안 전문가 1840명을 대상으로 조사해 올해 5월 발간한 보고서에 따르면 응답자의 87%가 최근 1년 동안 최소 한 차례 이상 API 관련 보안 사고를 경험했다고 답했다. 사고로 기업 한 곳이 입은 피해액은 평균 70만 달러에 달했다. 반면 민감한 데이터에 접근하는 API를 파악하고 있는 기업은 4곳 중 1곳에도 미치지 못했다. 개보위도 지난달 API 권한 관리 미흡에 따른 개인정보 유출 사고가 잇따르고 있다며 예방 조치를 권고한 바 있다. 서비스에 필요한 범위를 넘어 개인정보가 노출되지 않도록 하고 이용자의 정보 접근 권한과 대량·반복 호출을 관리해야 한다는 취지다. 전문가들은 AI 확산과 외부 서비스 연계 증가로 기업이 관리해야 할 API가 더 빠르게 늘어날 것으로 보고 있다. 서비스에 필요한 최소한의 정보만 반환하도록 설계하고 사용하지 않는 API를 정리하는 등 관리 체계 강화가 필요하다는 지적이다. 양종헌 S2W 통합분석실장은 “AI 발전으로 내외부에서 사용하는 API가 더 많아질 가능성이 높다”며 “개발자 보안 교육과 이상 행위 탐지·모니터링을 강화하고 외주 업체와 사용하는 라이브러리 등 공급망 영역까지 함께 점검해야 피해를 줄일 수 있다”고 강조했다. 황동건 기자 +구독 연세대 캠퍼스서 ‘나체·복면’ 성추행…경찰 추적 ‘좀비마약’ 국내 유통 정황…전자담배형 에토미데이트도 확산 조짐 이 기사를 추천합니다. 좋아요 ⓒ 서울경제신문, 무단 전재-재배포, AI 학습 및 활용 금지 많이 본 뉴스 1 영상햄버거에 커피까지 샀는데 “4000원입니다”…직장인들 점심마다 몰려가는 이유 기업 2 영상일본이 어쩌다 이렇게까지 됐나…‘세계 최악 빚더미’ 오명 썼는데 금리까지 오른다 국제 3 영상‘2만닉스’ 전원주 “1주도 안 팔았다, 더 기다릴 것”…40조 푼 하이닉스 주가 방향은 마켓시그널 4 ‘직원 복지’라던 100억 콘도…직원은 못 쓰고 오너가 누렸다 경제 5 영상“부장님, 전 회식 안 가겠습니다”…요즘 사람들 술 정말 안 마시더니 생긴 일 기업 6 영상“PC 점검하겠습니다” 믿었는데…여교사 사진 빼돌려 딥페이크 만든 직원, 결국 사회 7 단독광명시 공공임대 추가 요구에…철산·하안 재건축연합회 “즉각 철회” 반발 확산 집슐랭 8 전문가 65% “8월 인상”… 국채 금리 급등에 속도 조절론도 경제 9 영상시원하다고 목에 마사지건 ‘드르륵’ 했다간…전문가가 말리는 이유 기업 10 강남 다음은 여의도…시범 156㎡ 호가 40억까지 내려왔다 집슐랭 오늘의 연재 더 많은 연재 김혜란의 FX 기사 355개 금통위 앞두고 원화·채권 강세…씨티 “내년 국고채 물량 더 늘어” 원·달러 환율 6일째 하락…‘원화 강세 베팅’에 연저점 또 경신 원·달러 환율 5거래일 연속 하락…“원화 강세, 국민연금 환헤지 향방이 변수” 시그널 기사 1,073개 교보생명 신종자본증권, 수요예측서 4460억 쇄도 한국투자공사, 차기 CIO 공개모집…다음 달 7일 마감 한국투자공사, 경남 남부권 수해복구 성금 기탁 오늘의 이슈 더 많은 이슈 # 불안한 환율 기사 684개 금통위 앞두고 원화·채권 강세…씨티 “내년 국고채 물량 더 늘어” # 롤러코스터 코스피 기사 1,862개 코스피, 삼전 8%대 급락에 낙폭 확대…SK하닉도 하락 전환 # 로보 인사이트 기사 39개 “비상 상황! 연기 감지” 덕수궁에 순찰로봇 떴다