‘정상 조회 기능’이 유출 통로가 된다 — API 대량조회 이상행위, 어떻게 막나

최근 국내에서 ‘해킹 도구’가 아니라 평소 쓰던 정상 조회 기능(API)이 대량 개인정보 유출의 통로가 된 사고가 잇따랐습니다. 오늘은 왜 이런 일이 반복되는지, 기업 보안 담당자가 지금 무엇을 점검해야 하는지 짧게 정리합니다.

핵심 요약: 정상적인 조회 API가 외부의 비정상적 ‘대량 요청’에 악용되면, 방화벽·백신을 통과한 채로 대규모 유출이 일어납니다. 방어의 핵심은 계정·시스템별 접근 범위 통제와 짧은 시간의 비정상 대량 조회를 탐지·차단하는 것입니다.

무슨 일이 있었나

패션·라이프스타일 플랫폼 29CM에서 총 15만9,852건의 고객 개인정보가 유출됐습니다. 회사는 8월 27일 주문정보를 조회하는 연동 기능(API)에 외부의 비정상적 접근이 있었던 것을 발견해 경로를 차단하고 한국인터넷진흥원(KISA)에 자진 신고했습니다. 비슷한 시기 한 백오피스 대행사에서도 자동화 도구로 조회 화면에 비정상 요청을 반복 전송하는 방식의 유출이 확인됐습니다.

왜 지금 주목해야 하나

두 사고의 공통점은 ‘취약점을 뚫은 해킹’이 아니라 정상 기능의 오남용이라는 점입니다. 인증을 통과한 요청이거나 정상 화면을 통한 조회이기 때문에, 경계 방어(방화벽·IPS)만으로는 걸러내기 어렵습니다. 유출 규모가 커지는 것도 ‘짧은 시간에 대량으로 반복 조회’하기 때문입니다.

기업·보안 담당자에게 미치는 영향

• 정상 계정·정상 API로도 대량 유출이 가능하므로, 계정·시스템별 접근 범위를 좁혀 두지 않으면 피해가 걷잡을 수 없이 커집니다.
• 사후에 “누가·언제·무엇을·얼마나 조회했는가”를 접속기록으로 빠르게 규명하지 못하면, 통지·신고 대응도 늦어집니다.
• 대량 조회·이상 패턴을 실시간 탐지·차단하지 못하면, 발견 시점에는 이미 유출이 끝나 있습니다.

지금 확인·대비할 것

• 조회성 API·화면에 대해 계정별·업무별 접근 범위와 조회 한도가 설정돼 있는가
• ‘짧은 시간의 비정상 대량 조회’를 탐지·차단하는 이상행위 탐지 체계가 있는가
• 개인정보 처리시스템의 접속기록이 누락 없이 남고, 필요 시 신속히 조회·감사할 수 있는가
• 위탁·연동(API) 대상의 접근권한이 최소 권한으로 관리·회수되는가

PNPSECURE는 개인정보 접속기록 관리·이상행위 탐지(INFOSAFER)와 데이터베이스·시스템 접근통제(DBSAFER) 영역의 솔루션을 제공합니다. 적용 범위는 환경에 따라 다르므로 도입 전 확인이 필요합니다.

정상 기능이 유출 통로가 되는 위험을 점검하고 싶으시다면 PNPSECURE에 상담을 문의해 보세요.

작성일 2026-08-31 · 사실 근거: 29CM 15만9,852건 유출·API 비정상 접근·KISA 자진신고(전자신문, 2026-08-30), 백오피스 대행사 자동화 대량조회 유출(디일렉, 2026-08-28). 피해 규모·세부 사항은 관계기관 조사 및 각 사 공지로 최종 확인하시기 바랍니다. 본 글은 일반 정보 제공용입니다.