* 출처는 안랩입니다.
내 정보만 보여야 할 서비스에서 다른 사람의 개인정보까지 조회된다면, 내 정보도 안전하다고 장담할 수 없다. 기업들은 서비스와 시스템 간 데이터를 주고받기 위해 API(Application Programming Interface)를 사용하며, 이 과정에서 이름·연락처·주소 등 개인정보도 처리한다. 하지만 API가 요청자의 접근 권한을 제대로 검증하지 않으면 회원번호와 같은 식별자를 바꾸는 것만으로 타인의 정보를 무단 조회하거나 변경할 수 있다.
최근 금융권을 비롯해 패션·뷰티 플랫폼 등 다양한 업계에서 개인정보 유출 사고가 잇따르면서 API 접근통제의 중요성이 커지고 있다. API의 어떤 보안 허점이 개인정보 유출로 이어지는지, 이를 예방하기 위해 기업이 점검해야 할 보안 조치를 살펴보자.
API 권한 검증의 허점
로그인에 성공했다고 해서 모든 정보에 접근할 권한이 주어지는 건 아니다. 하지만 일부 API는 로그인 여부만 확인하고 개별 데이터에 대한 접근 권한은 제대로 검증하지 못한다.
이때 발생할 수 있는 대표적인 취약점이 BOLA(Broken Object Level Authorization, 객체 수준 권한 검증 미흡)다. 여기서 ‘객체’란 회원 정보나 문서처럼 API가 다루는 개별 데이터를 의미하며, 회원 번호나 UID, 문서 번호 등은 이를 구분하기 위한 식별자다.
공격자는 이런 취약점을 악용해 다른 사용자의 개인정보를 무단으로 조회하거나, API가 제공하는 기능에 따라 데이터를 변경하고 삭제할 수도 있다. 또한 노출된 정보와 서비스 구조에 따라 추가적인 계정 탈취 공격으로 이어질 가능성도 있다.
BOLA 외에도 내부용 회원 조회 API나 관리자용 API가 적절한 접근통제 없이 외부에 노출된 경우, 개인정보 유출과 서비스 침해 위험이 더욱 커질 수 있다.
API 보안을 위협하는 4가지 요인
* 전체내용은 아래에서 확인하세요.
반
줄
