코엠페이먼츠 해킹으로 본 연동키 관리 실패 사례 – API 보안 인증정보 노출의 위험성

핵심 요약

- 코엠페이먼츠 결제연동플랫폼에서 API 보안 인증정보(연동키) 노출로 2026년 8월 30일~9월 1일 해킹 공격 발생 - 공격자가 노출된 연동키를 악용해 고객들의 결제 내역을 무단 조회하는 개인정보 침해사고 발생 - 캐피탈 업계는 2015년 이후 정보유출 사고 '0건'을 유지한 것과 대조적으로, 핀테크·결제플랫폼 분야의 API 보안 취약점 노출

주요 내용

코엠페이먼츠는 2026년 8월 30일 오전 8시 13분부터 9월 1일 오전 5시 34분까지 약 45시간 동안 해킹 공격을 받아 고객 결제 내역이 무단 조회되는 개인정보 침해사고를 겪었다. 이번 사고의 근본 원인은 결제연동플랫폼이 발급한 보안 인증정보, 즉 API 연동키(API Key)가 외부에 노출된 것으로 파악됐다.

API 연동키는 서로 다른 시스템 간 데이터를 주고받을 때 상대방을 인증하는 핵심 보안 수단이다. 이번 사건에서 공격자는 노출된 연동키를 이용해 정상적인 API 호출인 것처럼 위장하여 결제 내역 조회 권한을 획득했다. 결제 정보에는 거래 금액, 거래 일시, 카드번호 일부, 가맹점 정보 등 민감한 개인정보가 포함되어 있어 2차 피해 가능성도 제기되고 있다.

주목할 점은 캐피탈 업계가 2015년 이후 정보유출 사고 '0건'을 달성하며 높은 보안 수준을 유지해온 것과 달리, 핀테크 및 결제 플랫폼 분야에서는 여전히 API 보안 관리 미흡으로 인한 사고가 반복되고 있다는 사실이다. 특히 최근 오픈뱅킹, PG(전자결제대행) 서비스 등 API 기반 서비스가 급증하면서 연동키 관리의 중요성이 더욱 커지고 있으나, 실무 현장에서는 여전히 하드코딩, 소스코드 내 포함, 공개 저장소 업로드 등 기초적인 보안 실수가 발생하고 있다.

이번 사고는 약 45시간 동안 지속됐는데, 이는 실시간 모니터링 체계가 제대로 작동하지 않았음을 보여준다. 정상적인 API 호출 패턴과 비교해 이상 징후를 탐지했다면 피해 규모를 최소화할 수 있었을 것으로 분석된다.

전문가 시각

ISMS-P 심사 현장에서 가장 빈번하게 발견되는 취약점 중 하나가 바로 API 키, 인증토큰, 접속 계정정보 등 인증정보의 부적절한 관리다. 개발 편의성을 이유로 소스코드에 직접 하드코딩하거나, 환경설정 파일에 평문으로 저장하는 사례가 여전히 많다. 특히 GitHub, GitLab 등 공개 저장소에 연동키가 포함된 코드를 업로드했다가 자동화된 크롤러에 의해 수집되어 악용되는 경우가 증가하고 있어, 코드 커밋 전 사전 스캐닝 절차가 필수적이다.

기업 입장에서는 API 키 관리를 위한 3단계 통제 체계를 구축해야 한다. 첫째, 키 발급 단계에서 사용 목적·권한 범위·유효기간을 명확히 설정하고, 둘째, 키 저장 시 암호화 및 접근통제(HSM, Vault 등 전용 솔루션 활용)를 적용하며, 셋째, 키 사용 단계에서 IP 화이트리스트, 호출 빈도 제한(Rate Limiting), 실시간 이상 탐지를 통해 오·남용을 차단해야 한다. 또한 주기적인 키 갱신(Rotation) 정책과 폐기된 키의 즉시 무효화 절차도 필수다.

ISMS-P 심사원 체크포인트

1. 인증 및 권한관리 (2.8.2 사용자 인증)
API 연동키는 시스템 간 인증수단으로, ISMS-P 인증기준 2.8.2항에서 요구하는 '안전한 인증수단'에 해당한다. 심사 시 ①API 키 생성 시 충분한 복잡도 및 무작위성 확보 여부 ②키의 평문 저장 여부(암호화 또는 해시 처리 확인) ③키 노출 시 즉시 폐기·재발급 절차 수립 여부를 중점 점검한다. 개인정보보호법 제29조(안전조치의무)에 따라 접근권한 관리 및 접근통제 체계 구축이 의무화되어 있다.

2. 접근통제 (2.8.6 정보시스템 접근)
API를 통한 개인정보 접근은 정보시스템 접근에 해당하며, 2.8.6항에서 요구하는 접근통제 정책이 적용되어야 한다. 심사원은 ①API 호출 시 IP 주소 기반 접근제한 설정 여부 ②비정상 API 호출 패턴 탐지 및 차단 체계 ③API 접근 로그 기록 및 주기적 검토 체계를 확인한다. 특히 개인정보 처리 API의 경우 개인정보보호법 제29조 및 시행령 제30조에 따른 접근권한 최소화 원칙 준수가 필수다.

3. 암호화 적용 (2.9.1 암호정책 운영, 2.9.3 암호키 관리)
API 연동키 자체도 중요정보로서 암호화 보관 대상이며, 2.9.1, 2.9.3항의 암호정책 및 키 관리 기준이 적용된다. 심사 시 ①연동키 저장 시 암호화 알고리즘 적용 여부(AES-256 등) ②암호키 보관소(Key Vault, HSM 등) 사용 여부 ③키 생명주기 관리(발급→사용→갱신→폐기) 절차 문서화 및 이행 실태를 확인한다. 개인정보의 안전성 확보조치 기준(개인정보보호위원회 고시) 제7조는 비밀번호 및 바이오정보 등 인증정보의 안전한 저장을 명시하고 있다.

CPPG·ISMS-P 연계 포인트

API 보안 3요소 (인증·인가·암호화)
API 보안은 인증(Authentication), 인가(Authorization), 암호화(Encryption)의 3요소로 구성된다. 인증은 API 키, OAuth 토큰 등을 통해 '누구인지' 확인하고, 인가는 해당 주체가 '어떤 작업을 할 수 있는지' 권한을 검증하며, 암호화는 전송 중(TLS/SSL) 및 저장 중(AES 등) 데이터를 보호한다. CPPG 시험에서는 OAuth 2.0, JWT(JSON Web Token) 등 표준 인증 프로토콜과 API 게이트웨이의 역할이 출제되며, ISMS-P에서는 실무 적용 사례와 통제 방안이 중점 평가된다.

보안사고 대응 골든타임과 모니터링
개인정보 유출사고 발생 시 개인정보보호법 제34조는 '지체 없이' 정보주체에게 통지하고 행정안전부 또는 전문기관에 신고하도록 규정한다. 이번 사고처럼 45시간 동안 탐지되지 않은 것은 실시간 모니터링 체계 부재를 의미한다. SIEM(보안정보 이벤트 관리) 등을 통한 API 호출 로그 실시간 분석, 임계치 초과 시 자동 알림, 이상 패턴 탐지 시 즉시 차단 등 '예방적 모니터링'과 '신속한 대응'이 핵심이다. ISMS-P 2.10.2(침해사고 대응) 항목에서 탐지·대응·복구 체계를 종합 평가한다.