폭증하는 금융 API, 아카마이 “보안 사각지대, 전 생애주기 관리 필요”
데이터 중심·런타임 탐지·사전 점검 등 API 보안 4대 원칙 제시
금융 산업의 디지털 전환이 가속화되면서 ‘애플리케이션 프로그래밍 인터페이스(API)’가 보안의 핵심 과제로 떠올르고 있다. 임무권 아카마이코리아 부장은 26일 바이라인네트워크 주최로 열린 ‘2025 금융 테크 컨퍼런스’에서 “마이데이터, 오픈뱅킹, 핀테크 확산으로 금융권의 API 호출량은 폭발적으로 늘었지만, 관리와 방어 체계는 여전히 취약하다”며 “API 전 생애주기를 아우르는 보안 접근이 필요하다”고 강조했다.
폭증하는 API 사용량
아카마이에 따르면, 마이데이터 제도 출범 직후 두 달 만에 API 호출이 125억건 발생했으며, 최근 2년간 금융권 데이터 전송 건수는 3800억건에 달했다. 임무권 부장은 “사용자 맞춤형 서비스와 개방형 플랫폼이 늘수록 API는 필수 기반이 된다”며 “그만큼 공격 표면도 넓어지고 있다”고 지적했다.
임 부장은 “기존의 웹방화벽(WAF)이나 API 게이트웨이로는 보안에 대응하기에 충분하지 않다“며 “API는 정상적인 인증 과정을 거쳐 내부로 유입된 뒤 악용될 수 있어 경계 방어만으로는 한계가 있다”고 설명했다. 실제 델(Dell)에서는 파트너 계정 검증이 부실해 4900만건의 고객 데이터가 3주간 유출됐고, 구글플러스는 API 취약점으로 3억5000만달러(약4600억원)의 합의금을 지불한 바 있다.
또한 최근 공격자들이 생성형 AI를 활용해 정상 사용자인 것처럼 API 구조를 유출한 사례도 소개됐다. 그는 “AI 프롬프트를 교묘하게 활용해 API 정보를 빼낸 사례도 있었다”며 “공격 속도가 과거보다 훨씬 빨라지고 있다”고 경고했다.
API, 태어나서 없어질 때까지 관리해야
임 부장은 “API는 단순한 기술 인터페이스가 아니라, 이제는 금융 서비스의 심장”이라며 “처음 만들어질 때부터 없어질 때까지 전 생애주기를 관리하지 않으면 보안은 불가능하다”고 강조했다. 그러면서 API 보안의 네 가지 원칙을 차례로 제시했다.
먼저는 무엇을 갖고 있는지부터 아는 것이다. 임 부장은 “회사 안에 API가 몇 개 있는지도 모른 채 보안이 가능하겠느냐는 말처럼, 실제 금융사마다 수백 개에서 수천 개까지 돌고 있는 API를 제대로 목록화하지 못하면 그림자처럼 숨어 있는 ‘섀도우 API’, 방치된 ‘좀비 API’가 공격 통로가 된다”며 “개발팀이 바쁘게 새 서비스를 만들고 지워도 보안팀이 이를 모른다면 관리 자체가 불가능하다”고 설명했다.
두 번째는 그 안에서 어떤 데이터가 오가는지 들여다보는 일이다. 단순 호출 횟수가 아니라, API마다 개인정보·비밀번호·인증 토큰 같은 민감 정보가 담겨 있는지, 어떤 규제와 연결되는지까지 확인해야 한다. 임 부장은 “데이터 중심의 시각으로 바꾸지 않으면 결국 구멍이 난다”고 했다.
세 번째는 실시간으로 움직이는 API를 계속 살펴보는 것이다. 그는 “공격자는 정상 사용자로 들어온 뒤 내부에서 데이터를 빼간다”며 델과 구글플러스의 유출 사례를 짚었다. 로그인·조회·결제 같은 정상 흐름을 따르지 않고 우회하는 요청이나, 짧은 시간 수천 건의 트래픽을 쏟아내는 ‘크리덴셜 스터핑’은 바로 탐지해야 한다. 경계선에서 막는 것보다, 내부에서 벌어지는 행위를 잡아내는 런타임 통제가 중요하다는 설명이다.
마지막은 서비스를 내놓기 전에 한번 더 점검하는 것이다. 개발 단계에서 자동 스캐닝을 거쳐 취약점을 개선하고, 협업 도구로 이슈를 추적해 수정하는 절차를 거치면 큰 사고가 날 가능성을 줄일 수 있다. 임 부장은 “운영에 배포하기 전 반드시 보안 점검을 거쳐 최소 기준을 충족해야 한다. 이런 절차가 비용을 줄이고 신뢰를 지키는 지름길”이라고 강조했다.
아카마이는 이 같은 원칙을 기반으로 API 보안을 ▲자산 식별 ▲설정·취약점 관리 ▲런타임 보호 ▲개발 단계 테스트 등 네 가지 축으로 운영한다. 임 부장은 “자동으로 API를 분류하고 데이터 속성을 표시하며, 취약점이 어떤 규제(ISO 27001, PCI DSS, NIST 등)에 위배되는지도 보여준다”고 설명했다.
실시간 방어 기능도 소개됐다. 임 부장은 “API 호출 흐름을 추적해 정상 절차를 거치지 않은 접근을 탐지하고, 개발 단계에서는 몇 분 안에 취약점을 스캐닝해 수정할 수 있다”며 “보안팀에 공유되지 않는 변경 사항도 자동 감지해 섀도우 API를 줄일 수 있다”고 덧붙였다.
이 같은 기능은 아카마이 API 시큐리티 솔루션을 기반으로 제공된다. 해당 솔루션은 온프레미스, 서비스형 소프트웨어(SaaS), 하이브리드 환경 모두 지원하며 내부 관제 시스템과 개발 관리 툴과도 연동돼 자동화된 대응이 가능하다.
API 보안이 금융 보안의 성패 좌우
임 부장은 “경계 보안에서 데이터·API 중심 보안으로 패러다임이 이동하고 있다”며 “기업이 API 자산을 얼마나 정확히 인식하고, 전사 차원의 표준을 세워 실시간으로 대응하느냐가 향후 금융권 보안의 성패를 가를 것”이라고 강조했다.
아카마이는 글로벌 콘텐츠 전송 네트워크(CDN)와 클라우드 보안 서비스 기업으로, 금융·제조·공공 분야에서 API 보안 솔루션과 제로트러스트 네트워크 접근(ZTNA) 등 클라우드 기반 보안 서비스를 제공하고 있다.
글. 바이라인네트워크
<곽중희 기자> god8889@byline.network
