API 보안 허점·SQL 인젝션 위협 급증… 기업 기술적 보호조치 '비상'

결제 플랫폼 해킹 유출부터 CVSS 9.8점 취약점 발견까지, 개인정보위는 글로벌 기업 5개사 개선 권고

---

코엠페이먼츠, API 연동키 노출로 45시간 해킹… 결제 내역 무방비 유출

결제연동 플랫폼 코엠페이먼츠에서 API 보안 인증정보(연동키)가 외부에 노출되면서 대규모 개인정보 침해사고가 발생했다. 2026년 8월 30일부터 약 45시간 동안 공격자는 노출된 연동키를 악용해 고객들의 결제 내역을 무단 조회했다.

유출된 정보에는 거래 금액, 거래 일시, 카드번호 일부, 가맹점 정보 등 민감한 결제 데이터가 포함됐다. 전문가들은 API 키 관리 소홀과 이상 접근 탐지 체계 부재가 근본 원인이라고 지적한다.

핀테크 보안 전문가 A씨는 "API 연동키는 시스템의 '마스터키'와 같다. 환경변수 분리 저장, 주기적 키 로테이션, 접근 IP 화이트리스트 등 다층 보호가 필수"라고 강조했다.

---

GisLab 실험실관리시스템, CVSS 9.8점 '긴급' SQL 인젝션 취약점 발견

GIS Informatics의 GisLab Laboratory Management System에서 CVSS 9.8점의 치명적 SQL 인젝션 취약점(CVE-2026-9163)이 확인됐다. 버전 1.4.03부터 1.5 미만까지 영향을 받으며, 인증 절차 없이 원격 공격자가 데이터베이스를 직접 조작할 수 있는 심각한 결함이다.

의료·연구기관에서 널리 사용되는 실험실관리시스템 특성상, 환자 검체 정보와 연구 데이터 유출 위험이 높아 즉각적인 패치 적용이 요구된다. KISA는 해당 시스템 운영 기관에 긴급 보안 업데이트를 권고했다.

---

개인정보위, 뤼튼·테슬라 등 5개사 처리방침 개선 권고

개인정보보호위원회는 2025년 개인정보 처리방침 평가에서 미흡 판정을 받은 기업들의 후속 이행점검 결과를 발표했다. 뤼튼, 테슬라 등 5개 사업자가 정보주체 권리행사 창구 운영과 국내대리인 민원처리 절차에서 여전히 미흡한 것으로 확인돼 개선 권고 조치를 받았다.

특히 글로벌 AI 서비스와 해외 기업의 국내 이용자 보호 의무 이행 실태가 도마 위에 올랐다. 개인정보위 관계자는 "권고 불이행 시 시정명령, 과태료 등 행정처분을 검토할 것"이라고 밝혔다.

---

공통 패턴: '기술적 보호조치'와 '관리체계' 동시 허점

이번 사례들은 기술적 취약점 관리 실패와 관리적 절차 미비가 복합적으로 작용한 결과다. API 인증정보 관리, 소프트웨어 보안 패치, 처리방침 실질적 운영 모두 '평상시 점검'이 부재했다는 공통점이 있다.

기업·기관 대응 방안

• API 보안 강화: 연동키 암호화 저장, 접근 로그 실시간 모니터링, 이상 탐지 자동화
• 취약점 관리 체계화: CVE 모니터링 → 영향도 분석 → 긴급 패치 적용 프로세스 수립
• 처리방침 실효성 확보: 권리행사 창구 상시 운영, 국내대리인 연락처 명확 공개
• 정기 모의훈련: 침해사고 대응 시나리오 훈련 분기별 실시

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

[ISMS-P 2.6.3 응용프로그램 보안]

>

SQL 인젝션, API 인증 취약점은 ISMS-P 인증심사에서 중점 점검 항목이다. 시험에서는 ▲입력값 검증 ▲파라미터화된 쿼리 사용 ▲API 인증토큰 안전한 관리(환경변수 분리, 주기적 갱신) ▲접근통제 로그 모니터링 등을 '기술적 보호조치'의 핵심 사례로 숙지해야 한다. 특히 개인정보의 안전성 확보조치 기준 제6조(접근통제)와 연계 출제 빈도가 높다.

---

[백남정 기자 privacy@newsroom.kr]