166만 명 정보 털렸다…티빙·GS리테일 API 해킹의 경고

---

국내 대표 OTT 플랫폼 티빙과 유통 대기업 GS리테일 계열사가 연쇄 해킹 공격을 받아 총 166만 명의 개인정보가 유출되는 초유의 사태가 발생했다. 공격자들은 API(응용프로그램인터페이스) 취약점을 집중 공략했으며, 개인정보보호위원회가 전면 조사에 착수한 가운데 국내 기업들의 보안 체계 전반에 경종이 울리고 있다.

---

사건 개요: 두 대형 플랫폼, 같은 방식으로 뚫렸다

이번 침해사고의 피해 기업은 CJ ENM 산하 OTT 서비스 티빙과 GS리테일 계열사인 GS SHOP, GS25다. 유출된 개인정보는 이름, 연락처 등 개인식별정보로, 피해 규모만 166만 명에 달한다.

주목할 점은 공격 수법이다. 해커들은 전통적인 시스템 침투 대신 API 취약점을 노렸다. API는 서로 다른 시스템 간 데이터를 주고받는 통로로, 모바일 앱과 웹 서비스가 폭발적으로 성장하면서 기업들의 API 사용량도 급증했다. 그러나 이에 비해 보안 투자는 턱없이 부족했던 것이 화근이 됐다.

공통 패턴 분석: API가 새로운 공격 표면으로 부상

두 사건에서 드러난 공통점은 명확하다.

첫째, 인증·인가 체계의 허점이다. API 호출 시 사용자 권한을 제대로 검증하지 않으면 공격자가 타인의 정보에 무단 접근할 수 있다. 이른바 'BOLA(Broken Object Level Authorization)' 취약점으로, OWASP API 보안 위협 1위에 해당한다.

둘째, 대량 데이터 추출에 대한 탐지 부재다. 정상적인 API 호출로 위장한 자동화 공격을 실시간으로 탐지하지 못해 피해가 확대됐다.

셋째, 개인정보 최소 수집 원칙의 미흡이다. API 응답에 불필요한 개인정보까지 포함되어 유출 피해가 커졌다.

기업·기관 대응 방안

이번 사태를 계기로 기업들은 다음과 같은 조치를 시급히 이행해야 한다.

① API 보안 전담 체계 구축: API 게이트웨이를 통한 중앙 집중식 관리와 함께, API별 접근 권한을 세분화해야 한다.

② 이상 징후 탐지 시스템 강화: 비정상적인 대량 조회, 반복 호출 패턴을 실시간 모니터링하고 자동 차단하는 체계가 필수다.

③ 개인정보 영향평가(PIA) 정례화: 신규 API 도입 시 반드시 개인정보 처리 흐름을 점검하고, 응답 데이터에서 불필요한 정보를 제거해야 한다.

④ 침해사고 대응 훈련 내실화: 72시간 내 신고 의무를 준수하고, 이용자 통지 절차를 사전에 매뉴얼화해야 한다.

개인정보보호위원회는 조사 결과에 따라 과징금 부과 여부를 결정할 예정이며, 업계 전반에 API 보안 가이드라인 강화를 검토 중인 것으로 알려졌다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

개인정보 보호법 제29조(안전조치의무)와 관련하여, 개인정보처리자는 해킹 등 침해사고 방지를 위해 접근 통제, 암호화, 접속기록 보관 등 기술적·관리적 보호조치를 취해야 한다. ISMS-P 인증 기준 중 '2.6.1 접근통제 정책' 및 '2.9.1 보안 시스템 운영' 항목에서 API 보안은 핵심 점검 대상이다. 특히 API를 통한 개인정보 처리 시 인증·인가·암호화·로깅의 4대 원칙 준수 여부가 출제 빈도 높은 쟁점이다.

---

백남정 개인정보보호 전문기자 (security@privacynews.kr)