개인정보위 “API 통한 개인정보 유출 막아야”…사업자에 권한관리 당부

개인정보보호위원회가 웹·앱 서비스와 플랫폼·제휴 서비스 연동 과정에서 활용이 늘고 있는 응용프로그램 인터페이스(API)의 개인정보 유출 위험을 경고하고 사업자들에게 보호조치 강화를 당부했다.

개인정보위는 8일 API를 통한 개인정보 처리가 확대됨에 따라 개인정보를 처리하는 사업자는 권한 관리, 개인정보 최소 전송, 운영 중인 API 점검 등을 강화해야 한다고 밝혔다. API는 서로 다른 서비스나 시스템이 데이터를 주고받도록 연결하는 통로로, 서비스 화면에 표시되지 않는 개인정보까지 함께 전송될 수 있어 관리가 부실하면 대규모 유출로 이어질 수 있다. 트래픽 관리 서비스 클라우드플레어 처리 트래픽 기준으로도 API가 차지하는 비중은 57%에 달한다.

개인정보위는 최근 국내외에서 권한 관리가 미흡한 API를 통한 개인정보 유출 사고가 잇따르고 있다고 설명했다. 실제 한 업체는 권한 관리가 제대로 이뤄지지 않은 API에 비정상 접근이 발생해 약 3700만 명의 이름, 주소, 이메일, 전화번호, 생년월일 등이 유출됐다. 다른 업체는 이용자 휴대전화번호 대신 안심번호만 전송하도록 정책을 바꿨지만 실제 API에서는 휴대전화번호가 함께 전송됐고, 타사 시스템에 약 13만5000명의 개인정보가 보관된 사실이 확인됐다. 최신 API에는 다중 인증 방식(MFA)을 적용했지만 과거 API를 방치해 별도 권한 확인 없이 고객 데이터 조회가 가능했던 사례도 있었다.

개인정보위는 사업자가 API 설계 단계부터 개인정보 최소화 원칙을 적용해야 한다고 권고했다. 이용자 화면에 보이지 않거나 서비스 제공 목적에 필요하지 않은 정보는 API 응답 데이터에서도 제외하고, 대규모 정보 조회나 반복 호출은 제한해야 한다는 것이다.

또 이용자용, 관리자용, 제휴 협력사용 등 주체별로 접근 가능한 API와 개인정보 범위를 최소한으로 차등 부여하고, 인증·권한이 없거나 정책에 맞지 않는 요청은 기본적으로 차단해야 한다고 강조했다. 모든 API 요청에 대해서는 해당 이용자가 개인정보를 조회하거나 수정할 권한이 있는지 서버에서 확인해야 한다.

운영 중인 API 목록을 지속적으로 식별·현행화하는 것도 필요하다. 기능 개선이나 테스트 완료, 서비스 개편 이후 외부에서 호출 가능한 API가 남아 있는지 확인하고, 장기 미사용 API 키·토큰·계정 등 자격증명은 즉시 회수해야 한다. 새벽 시간 접속, 대량 조회 등 이상행위에 대한 접속기록 점검도 병행해야 한다.

API를 제공받아 서비스를 운영하는 사업자도 응답 데이터에 서비스와 무관한 개인정보가 포함돼 있는지 확인하고 불필요한 개인정보는 즉시 제거해야 한다. 양청삼 개인정보위 사무처장은 “API는 서비스 화면에 표시되지 않는 개인정보도 함께 전송할 수 있으므로 서비스 제공에 필요한 최소한의 개인정보만 처리되도록 설계하고 운영해야 한다”고 말했다.

국내에서도 공공·금융 데이터를 중심으로 API 활용은 빠르게 늘고 있다. 행정안전부에 따르면 공공데이터포털 개방 데이터는 지난해 1월 기준 10만2000건을 넘어섰고, 이 가운데 오픈API는 1만1859건으로 집계됐다. 공공데이터를 활용해 만들어진 모바일 앱·웹 서비스도 직방, 굿닥 등 3131개에 달한다.

구혁 기자