마이데이터 스크래핑 퇴출, AI 시대 개인정보보호 전환점 될까…공공기관도 부담

핵심 요약

- 개인정보보호위원회가 마이데이터 서비스의 스크래핑 방식을 보안 취약점을 이유로 퇴출 추진 중 - AI 기반 금융·행정·생활 데이터 활용 서비스 확대로 마이데이터의 전략적 중요성 증대 - API 방식 전환에 따른 공공기관 및 중소 서비스 제공자의 기술·비용 부담 우려

주요 내용

개인정보보호위원회가 2026년 현재 마이데이터 서비스에서 기존 스크래핑(화면 긁어오기) 방식의 이용을 단계적으로 퇴출하는 방안을 추진하고 있다. 스크래핑 방식은 사용자의 ID와 비밀번호를 중개 플랫폼에 제공해 웹페이지 화면을 그대로 읽어오는 방식으로, 개인정보 보호와 보안 측면에서 근본적인 취약점을 내포하고 있다는 것이 위원회의 판단이다.

특히 AI 기반 서비스가 금융, 행정, 생활 전반의 데이터를 활용하는 추세가 가속화되면서 마이데이터의 전략적 중요성이 커지고 있다. 생성형 AI가 개인 맞춤형 금융 상담, 건강 관리, 행정 서비스 추천 등에 활용되기 위해서는 안전하고 표준화된 방식으로 개인 데이터에 접근할 수 있는 체계가 필수적이다. 스크래핑 방식은 데이터 구조가 비정형적이고 보안 통제가 어려워 AI 서비스와의 연계에도 한계가 있다.

대안으로 제시되는 API(Application Programming Interface) 방식은 데이터 제공자가 표준화된 인터페이스를 통해 필요한 정보만 선택적으로 제공하는 구조다. 이용자 인증은 OAuth 2.0 등 표준 프로토콜을 활용하며, 비밀번호 노출 없이 접근 권한을 제어할 수 있어 보안성이 크게 향상된다. 그러나 API 구축에는 상당한 기술 투자와 유지보수 비용이 필요해 공공기관과 중소 서비스 제공자들의 부담으로 작용하고 있다.

정부는 마이데이터 생태계 활성화를 위해 공공기관의 API 표준화와 민간 부문 지원 방안을 함께 검토해야 하는 상황이다. 특히 AI 시대에 걸맞은 데이터 거버넌스 체계를 구축하되, 중소 사업자의 진입장벽을 낮추는 균형 있는 접근이 요구된다.

전문가 시각

ISMS-P 인증 관점에서 스크래핑 방식은 '2.8.1 인증 및 권한관리'와 '2.9.1 암호화 적용' 통제항목에서 근본적인 취약점을 드러낸다. 이용자 인증정보(ID/PW)를 제3자에게 제공하는 구조는 접근통제 원칙을 위배하며, 크리덴셜 재사용 시 계정 탈취 위험이 상존한다. API 방식 전환은 단순한 기술 교체가 아닌 '최소권한 원칙' 구현과 '접근권한 세분화'를 가능하게 하는 보안 아키텍처 개선이다. 마이데이터 사업자는 전환 과정에서 API 토큰 관리, 세션 타임아웃 정책, 로깅 체계 등 ISMS-P 인증기준을 선제적으로 반영해야 한다.

AI 기반 서비스 확대 국면에서 주목할 점은 '바이브 코딩(Vibe Coding)' 방식으로 개발된 마이데이터 연계 모듈의 보안 검증 필요성이다. ChatGPT 등 LLM을 활용해 API 연동 코드를 자동 생성할 경우, OAuth 토큰 검증 누락, 하드코딩된 API 키, 부적절한 에러 핸들링 등 취약점이 포함될 수 있다. 특히 개인신용정보를 다루는 마이데이터 특성상 AI 생성 코드에 대한 보안 코드 리뷰와 SAST(정적 분석) 도구 적용이 필수적이다. 공공기관은 API 표준 개발 시 개발자용 시큐어 코딩 가이드와 샘플 코드를 함께 제공해 바이브 코딩 환경에서도 안전한 구현이 가능하도록 지원해야 한다.

CPPG·ISMS-P 연계 포인트

1. 접근권한 관리 및 최소권한 원칙 (ISMS-P 2.8.1)
마이데이터 API 방식은 OAuth 2.0 기반 토큰 인증으로 이용자 크리덴셜 노출 없이 필요한 데이터 범위만 접근 권한을 부여한다. Scope 설정을 통해 금융거래 내역, 건강정보 등 민감정보별 세분화된 접근통제가 가능하며, 토큰 만료 시간 설정으로 지속적인 권한 검증이 이루어진다. 스크래핑 방식의 전방위 접근과 달리 '필요 최소한의 개인정보 수집' 원칙을 기술적으로 구현하는 핵심 메커니즘이다.

2. 개인정보 전송 시 암호화 (ISMS-P 2.9.3)
API 기반 마이데이터 전송은 TLS 1.2 이상 암호화 통신을 표준으로 하며, 페이로드 내 민감정보는 추가 필드 레벨 암호화를 적용할 수 있다. 스크래핑은 HTML 파싱 과정에서 불필요한 정보까지 수집되어 암호화 범위 통제가 어렵지만, API는 JSON/XML 등 구조화된 데이터로 암호화 대상을 명확히 정의 가능하다. 개인신용정보 전송 시 KCMVP 검증 암호모듈 적용이 용이해진다.