[현장 스케치] 보이지 않는 API가 만드는 보안 공백

Akamai API Security Dinner for Security Leaders 현장 이야기

지난 9월 3일, Akamai와 Litis는 주요 고객사를 초청해 「API Security Dinner for Security Leaders」를 진행했습니다.

이번 행사에는 금융, 공공, 통신, 제약 등 다양한 산업 분야에서 참석했습니다. 서로 다른 산업에 속한 참석자들이 한자리에 모였지만, 공통된 관심사는 분명했습니다.

바로 “지금 우리 조직의 API는 얼마나 안전하게 관리되고 있는가”였습니다.

행사는 Hotel naru Voisin(부아쟁)에서 진행됐으며, 참석자 등록과 간단한 네트워킹으로 시작했습니다. 정식 세션에 앞서 참석자들은 편안한 분위기에서 서로 인사를 나누고 각자의 업무와 최근 보안 이슈에 대해 자연스럽게 이야기를 나눴습니다.

행사 초반에는 Litis의 환영사와 함께 이번 자리를 마련한 취지를 소개했습니다.

이번 Dinner Session은 단순히 Akamai API Security의 기능을 설명하는 제품 세미나가 아니라, 다양한 산업에서 실제로 API를 운영하고 있는 고객들과 함께 변화하는 보안 환경을 바라보고 서로의 경험을 공유하는 자리로 기획했습니다.

특히 최근 기업의 디지털 서비스가 API 중심으로 빠르게 연결되면서, API가 단순한 개발 영역을 넘어 보안 담당자가 반드시 살펴봐야 하는 새로운 보안 영역으로 확대되고 있다는 점에 많은 참석자가 공감했습니다.

---

“정상적인 API 호출 뒤에 숨은 AI 공격”

이날 세션은 Akamai의 장성민 Sr. Enterprise Solution Architect가**「정상적인 API 호출 뒤에 숨은 AI 공격」**을 주제로 진행했습니다.

세션에서 가장 인상적인 메시지는 단순했습니다.

“형식은 정상이어도, 의도는 공격일 수 있다.”

API 공격은 항상 악성 코드나 비정상적인 요청 형태로 나타나는 것이 아닙니다.

인증된 계정을 사용하고, 정상적인 API를 호출하고, 응답도 200 OK로 떨어질 수 있습니다.

하지만 같은 사용자가 객체 ID를 반복적으로 바꾸며 다른 사용자의 데이터를 조회하거나, 평소와 전혀 다른 범위의 데이터를 대량으로 가져간다면 이야기는 달라집니다.

이날 세션에서는 BOLA, Scraping, Shadow API와 같은 사례를 통해 기존의 규칙 기반 탐지와는 다른 API Security의 관점을 설명했습니다.

특히 요청 하나만 보는 것이 아니라, 사용자와 API가 평소 어떻게 행동하는지를 기준으로 이상 징후를 살펴봐야 한다는 점이 강조됐습니다.

---

WAF와 API Gateway가 있는데도 API Security가 필요한 이유

세션 중 참석자들의 관심이 높았던 부분 중 하나는 기존 보안 솔루션과 API Security의 차이였습니다.

많은 기업이 이미 WAF나 API Gateway를 운영하고 있습니다.

WAF는 알려진 공격 패턴을 탐지하고, API Gateway는 인증·인가와 트래픽 정책을 관리합니다.

하지만 모든 요청이 정상 형식이고 인증도 정상이라면, 기존 정책만으로는 비정상 행위를 구분하기 어려울 수 있습니다.

세션에서는 이를 아주 직관적으로 설명했습니다.

“WAF는 정문을 지키고, API Security는 문 안에서의 행동을 본다.”

즉, 어느 한쪽을 대체하는 것이 아니라 서로 다른 역할을 담당하는 것입니다.

이 설명은 실제 보안 환경을 운영하고 있는 참석자들에게도 쉽게 공감을 얻었습니다.

---

세션 이후에는 더 많은 이야기가 이어졌습니다

30분가량의 API Security 세션이 끝난 뒤에는 본격적인 Dinner & Networking 시간이 이어졌습니다.

이번 행사의 가장 큰 장점은 바로 이 시간이었습니다.

정해진 발표만 듣고 끝나는 세미나와 달리, 참석자들이 식사를 함께하며 자유롭게 질문하고 각 기업의 환경과 고민을 나눌 수 있었습니다.

금융 분야에서는 민감 데이터와 접근 권한에 대한 이야기가 자연스럽게 이어졌고, 공공과 통신 분야에서는 API의 가시성과 관리되지 않는 API에 대한 관심이 높았습니다.

또한 AI 활용이 확대되면서 API 호출의 주체가 사람과 애플리케이션을 넘어 AI Agent까지 확장될 경우, 보안 기준 역시 달라져야 하는 것 아니냐는 이야기도 오갔습니다.

특히 Shadow API, 즉 조직의 공식 관리 체계 밖에서 운영되는 API를 어떻게 발견하고 관리할 것인지에 대한 관심도 확인할 수 있었습니다.

API는 눈에 보이는 것만 보호해서는 충분하지 않습니다.

서비스 개발과 외부 연동이 늘어나면서 관리자가 미처 파악하지 못한 API가 생길 수 있고, 이런 API가 새로운 보안 사각지대가 될 수 있기 때문입니다.

---

다양한 산업, 하나의 공통된 관심

이번 행사에는 업종은 달랐지만 API Security에 대한 관심은 공통적이었습니다.

특히 참석자 대부분이 API Security의 필요성과 향후 대응 방향에 대해 긍정적인 반응을 보였습니다.

이는 API Security가 특정 산업만의 문제가 아니라는 점을 다시 한번 보여줍니다.

금융 서비스, 공공 시스템, 통신 서비스, 제약·헬스케어 등 산업은 다르지만 모두 API를 통해 시스템과 데이터를 연결하고 있습니다.

그리고 API가 많아질수록 단순히 “접속을 허용할 것인가”를 넘어 “누가, 어떤 API를, 어떤 방식으로 사용하고 있는가”를 이해하는 것이 중요해지고 있습니다.

---

API 보안은 ‘차단’보다 ‘가시성’에서 시작합니다

이번 행사를 통해 다시 한번 확인한 것은 API Security의 출발점이 단순한 차단이 아니라는 점입니다.

먼저 어떤 API가 존재하는지 확인하고, 어떤 사용자가 어떤 데이터를 이용하고 있는지 알아야 합니다.

그래야 평소와 다른 행동을 발견하고, 실제 위험으로 이어지기 전에 대응할 수 있습니다.

API가 점점 더 기업의 핵심 비즈니스 연결 지점이 되고 있는 만큼, 이제 API Security 역시 보안 전략의 중요한 영역으로 자리 잡고 있습니다.

참석자들이 공통적으로 공감한 지점은 API 보안의 출발점이 ‘차단’ 이전의 ‘가시성’이라는 점이었습니다.

우리 조직은 현재 운영 중인 API를 모두 파악하고 있는가? 외부에 노출된 API와 내부 연동 API의 소유자·인증 방식·민감 데이터 접근 권한은 명확한가? 정상 계정으로 발생하는 비정상 조회·대량 수집·객체 ID 변경 패턴을 탐지할 수 있는가?

이러한 질문은 금융, 공공, 통신, 제약 등 산업과 관계없이 API를 사용하는 모든 조직의 공통 과제가 되고 있습니다.

이번 API Security Dinner for Security Leaders는 Akamai와 Litis가 다양한 산업의 고객들과 이러한 변화를 직접 이야기하고, 실제 현장에서 느끼고 있는 API 보안 고민을 공유할 수 있었던 뜻깊은 자리였습니다.

행사에 참석해 주신 모든 분들께 다시 한번 감사드립니다.

Litis는 앞으로도 Akamai와 함께 변화하는 API 환경과 새로운 보안 위협에 대한 인사이트를 지속적으로 공유하고, 고객 환경에 맞는 실질적인 API Security 전략을 제안해 나가겠습니다.