모든 사고를 API 취약점으로 설명할 수는 없다. 그러나 외부 업무 채널이 내부 시스템과 고객 데이터에 어떻게 접근하는지 살펴볼 때 API는 우선 점검 대상이다. 이번 사고들을 계기로 어떤 API가 운영되고 있으며 누가 어떤 권한으로 데이터를 이용하는지, 관리 체계 전반을 재정비할 때다.
외부 업무지원 시스템을 둘러싼 사고가 던지는 질문은 분명하다. 고객 데이터에 접근할 수 있는 모든 경로가 조직의 보안 관리 범위에 포함돼 있는가 하는 것이다. API는 웹·모바일 서비스와 내부 업무시스템, 외부 협력사, AI 서비스를 연결한다. 서비스가 늘어나고 시스템이 복잡해지면 실제 운영 중인 API와 자산 목록 사이에 차이가 생기기 쉽다.
최근 금융권에서 잇따라 발생한 침해사고 중 일부에서 직원·대출모집인용 외부 업무지원 시스템을 통한 정보 유출이 확인되면서, 외부 접속 관리 강화가 필요하다는 지적이 나온다. 외부 업무시스템에서 고객정보가 유출된 사례로는 신한은행의 대출모집인용 조회서비스, KB국민은행의 직원용 모바일 업무지원시스템, 하나은행의 영업지원시스템(ODS)이 있다. 금융위원회는 지난 14일 발표한 금융권 전반의 보안점검 결과에서도 대외 시스템의 인증·인가 누락과 다중인증 미도입 등을 주요 미흡사항으로 꼽았다.
엔터프라이즈 솔루션 전문기업 영림원소프트랩(대표이사 권영범)이 KB국민은행과 함께 ERP와 금융 서비스를 연계해 기업 고객의 자금관리 편의성과 업무 효율성을 높이기 위한 업무협약(MOU)을 체결했다고 20일 밝혔다.
개인정보보호위원회(이하 개인정보위)가 개인정보 유출 예방을 위해 기업에 사용하지 않는 애플리케이션 프로그래밍 인터페이스(API)와 계정을 정리하고 인증정보를 점검할 것을 권고했다. 개인에게는 2단계 인증과 계정정보 유출 여부 확인 등 생활 속 보호수칙을 당부했다. 개인정보위(위원장 송경희)는 개인정보 유출과 2차 피해를 줄이기 위해 국민과 기업·기관이 실천해야 할 보호수칙을 19일 안내했다고 밝혔다.
소프트프릭(대표 김동철)은 인공지능(AI) 모델의 프라이버시 취약점을 진단하는 기술과 AI 게이트웨이의 보안 제어 기술에 관한 특허 2건을 등록했다고 12일 밝혔다.
최근 금융권에서 잇따라 발생한 침해사고에서 인공지능(AI)은 새로운 공격기법을 만들어냈다기보다 기존 공격의 속도와 규모를 키우는 역할을 했다는 분석이 나왔다. SK쉴더스는 최근 금융권 침해사고와 AI 기반 공격 도구 ‘아르텍스(ARTEX)’를 분석한 ‘AI 자동화 공격 시대, 섀도우 IT를 노린 침해사고 분석 및 대응 가이드’를 8일 공개했다.
소프트프릭이 인공지능(AI) 시대에 필요한 ‘애플리케이션 프로그래밍 인터페이스(API)’ 보안의 핵심으로 ‘API 거버넌스’를 제시했다. 공격 트래픽을 차단하는 데 그치지 않고 기업 안에 어떤 API가 존재하는지 찾은 뒤, 누가 어떤 권한으로 사용하고 어떤 데이터가 오가는지까지 지속적으로 관리해야 한다는 전략이다. 소프트프릭은 AI 에이전트 확산으로 API 보안의 중요성이 더 커지고 있다고 봤다. 기존에는 사용자나 애플리케이션이 개별 API를 호출했다면, AI 에이전트는 사용자의 요청을 해석한 뒤 필요한 API를 스스로 선택하고 여러 API를 연속으로 호출한다.
오픈AI가 최근 장기 실행 에이전트를 위한 실행 체계(하네스)를 API로 제공하기 시작했다. 코덱스, 챗GPT 등에 사용되는 오픈AI의 AI 에이전트 런타임을 API로 제공함으로써, AI 에이전트를 구축할 때 필요한 복잡한 프레임워크 구축과 인프라 관리 부담을 줄인다. AI 기업 간 경쟁이 모델 자체에서 에이전트 실행을 위한 인프라 플랫폼으로 옮겨가는 양상이다.
비인간 신원(NHI) 보안기업 크리밋은 유출된 애플리케이션 프로그래밍 인터페이스(API) 키와 클라우드 자격증명 사고에 대응하는 플레이북 ‘블라스트 래디어스(Blast Radius)’를 공개했다고 4일 밝혔다.
아이덴티티·접근관리(IAM)·통합인증(SSO) 전문기업 넷츠는 API 보안 전문기업 소프트프릭의 경영권 인수를 완료했다고 11일 밝혔다.
일레븐랩스, 새로운 AI 더빙 모델 ‘더빙 v2’ 출시
정부의 창업 지원 플랫폼 ‘모두의창업’에서는 암호화된 비공개 정보와 이를 풀 수 있는 암호키가 같은 애플리케이션 프로그래밍 인터페이스(API)를 통해 함께 유출됐다. 중소벤처기업부(이하 중기부)는 지난달 31일 1차 조사 결과를 발표하며, 일부 API에 비공개 정보와 암호키가 함께 포함된 것이 유출 사고의 원인이라고 설명했다. 펜타시큐리티는 암호키를 애플리케이션 코드나 설정파일, 데이터베이스에 고정값으로 입력하는 경우도 있다고 설명했다. 이를 ‘하드코딩’이라고 한다. 별도 키관리 체계가 없는 경우, 애플리케이션 서버에서 암·복호화를 처리하는 구조에서도 데이터와 키가 함께 노출될 수 있다는 분석이다.
모델컨텍스트프로토콜(MCP) 표준이 탄생 후 가장 큰 변화를 맞는다. 오는 28일 출시되는 MCP의 새로운 사양은 상태 비저장 방식을 채택하는 등 단순 API 변경을 넘어 기본 철학 자체를 바꾸는 변화다. 새로운 MCP 사양은 대규모 분산 배포 환경에 맞게 재설계돼 기존의 확장성 문제 해결을 시도한다.
아카마이테크놀로지스(한국 대표 이경준)는 아시아태평양 지역 커머스 기업을 겨냥한 봇 활동과 애플리케이션 프로그래밍 인터페이스(API) 공격이 증가했다는 내용의 ‘인터넷 현황 보고서’를 23일 발표했다.
End of content
End of content
