개인정보위, 응용프로그램 인터페이스(API) 활용 확대에 따른 개인정보 유출 예방 당부- 응용프로그램 인터페이스 기획·설계 단계부터 개인정보 최소화, 기본 차단 원칙 적용- 서비스 변경시에도 개인정보 필요 여부를 한번 더 점검하고 변경개인정보보호위원회(위원장 송경희, 이하 '개인정보위')는 웹·앱 서비스 고도화, 플랫폼 연계, 제휴사 서비스 연동 등에서 응용프로그램 인터페이스(Application Programming Interface, 'API')를 통한 데이터 처리가 확대*됨에 따라, 이를 통한 개인정보 처리시 권한 관리와 개인정보 최소 전송 등 보호조치를 강화할 것을 사업자에게 당부했다.
트래픽 관리 서비스 '클라우드플레어' 처리 트래픽 기준 API가 57% 비중 차지 최근 국내외에서 권한 관리가 미흡한 API를 통한 개인정보 유출 사고가 잇따라 발생하고 있다. 로그인 여부만 확인하고 개인정보 조회 권한을 확인하지 않거나, 서비스 제공에 필요하지 않은 개인정보까지 API 응답 데이터에 포함하는 경우, 비정상적인 API 호출만으로도 대규모 개인정보 유출로 이어질 수 있다. 따라서, 사업자는 현재 운영 중인 API를 지속적으로 식별, 관리하고 개인정보를 처리하는 API는 이용자, 취급자, 고객사 등 권한 범위에 따라 접근을 제한하는 등 API 운영 전반에 대한 점검이 필요하다. API 권한 관리 미흡으로 인한 개인정보 유출 사례 ▶ (A사) 권한 관리가 이루어지지 않은 API에 대한 비정상 접근으로 약 3,700만여명의 이름, 주소, 이메일, 전화번호, 생년월일 등 유출▶ (B사) 개인정보 보호를 위해 이용자의 휴대전화번호 대신 안심번호만 전송하는 것으로 정책을 변경했으나, 실제 API는 휴대전화번호도 함께 전송하고 있었고, 타사 시스템에 약 13.5만여명의 이용자 개인정보가 보관된 사실도 확인됨 ▶ (C사) 최신 API는 다중 인증 방식(MFA) 등으로 권한 관리가 이루어지고 있었으나, 계속 동작하는 오래된 API를 통해 별도 권한 확인 없이 고객 데이