국내 대형 금융사 API 서버 해킹 — 고객 정보 230만 건 유출 우려

국내 대형 금융사의 API 서버가 해킹되어 고객 개인정보 최대 230만 건이 유출되었을 가능성이 있다고 금융감독원이 발표했습니다.

공격 경로는 인증이 미비한 내부 API 엔드포인트를 통한 것으로 알려졌습니다. 외부에서 접근 가능한 API에 적절한 인증이 적용되지 않았던 것이 원인입니다.

알려진 정보

• 유출 가능 데이터: 이름, 전화번호, 이메일, 계좌번호 일부
• 공격 방식: API 인증 우회 (Broken Access Control)
• 탐지: 이상 트래픽 모니터링에서 3일 후 감지

이번 사건의 교훈은 명확합니다. 모든 API 엔드포인트에 인증과 권한 검사를 적용해야 합니다. 내부 API라도 네트워크 경계만으로 보안을 담보할 수 없습니다.

OWASP API Security Top 10의 1위가 Broken Object Level Authorization인 이유가 있습니다. API 보안 점검, 지금 바로 하세요.