개인정보위, API 개인정보 유출 예방 권고…“설계 단계부터 최소화”

개인정보보호위원회 공식 보도자료에 따르면 위원회는 2026년 7월 8일 웹·앱 서비스와 플랫폼 연동에서 응용프로그램 인터페이스(API)를 통한 개인정보 처리가 확대됨에 따라 사업자에게 권한 관리와 개인정보 최소 전송 등 보호조치를 강화하라고 당부했다.

개인정보위는 API가 서비스 화면에 보이지 않는 개인정보까지 함께 전송할 수 있다는 점을 핵심 위험으로 짚었다. 로그인 여부만 확인하고 개인정보 조회 권한을 별도로 검증하지 않거나, 서비스 제공에 필요하지 않은 개인정보를 API 응답에 포함하는 경우 비정상 호출만으로도 대규모 유출로 이어질 수 있다는 설명이다.

보도자료는 실제 유출 사례도 함께 제시했다. 개인정보위는 권한 관리가 되지 않은 API에 대한 비정상 접근으로 약 3,700만 명의 이름, 주소, 이메일, 전화번호, 생년월일 등이 유출된 사례를 언급했다. 또 안심번호 전송 정책으로 바꿨지만 실제 API에는 휴대전화번호가 함께 전송된 사례, 오래된 API가 계속 동작하면서 별도 권한 확인 없이 고객 데이터 조회가 가능했던 사례도 들었다.

위원회가 제시한 첫 번째 원칙은 설계 단계의 개인정보 최소화다. 이용자 화면에 표시되지 않거나 서비스 제공 목적에 필요하지 않은 정보는 API 응답에서도 제외하고, 대규모 정보 조회나 반복 호출을 제한해 유출 가능성을 낮추라는 내용이다. 이는 API 보안을 사후 점검 항목이 아니라 서비스 기획·설계 단계의 기본 조건으로 다루라는 의미다.

두 번째 축은 최소 권한 원칙이다. 개인정보위는 이용자용, 관리자용, 제휴·협력사용 API를 구분하고 주체별 접근 가능한 개인정보 범위를 필요 최소한으로 차등 부여해야 한다고 권고했다. 인증이나 권한이 없거나 정책에 맞지 않는 요청은 기본적으로 차단하고, 모든 API 요청에서 요청자가 해당 개인정보를 조회하거나 수정할 권한이 있는지 서버에서 확인해야 한다고 밝혔다.

운영 단계의 관리도 강조됐다. 개인정보위는 기능 개선, 테스트 완료, 서비스 개편 뒤 외부에서 호출 가능한 API가 남아 있는지 확인하고, 불필요한 정보가 응답에 포함되지 않는지 점검하라고 안내했다. 장기 미사용 API 키, 토큰, 계정 등 자격증명은 회수하고, 새벽 시간 접속이나 대량 조회 같은 이상행위는 접속기록 점검을 통해 탐지해야 한다는 내용도 포함됐다.

API를 제공받아 서비스를 운영하는 사업자에게도 책임이 있다. 개인정보위는 응답 데이터에 서비스와 무관한 개인정보가 포함돼 있는지 확인하고, 불필요한 개인정보는 즉시 제거해야 한다고 밝혔다. API 키와 토큰은 담당자별로 발급하고, 업무 절차나 시기에 따라 조회 가능한 개인정보 범위를 제한하는 방식이 바람직하다고 설명했다.

이번 권고는 플랫폼 연동과 AI 서비스 확산으로 API 호출 범위가 넓어지는 상황에서 개인정보 보호 기준이 개발·운영 프로세스 안으로 더 깊게 들어가고 있음을 보여준다. 기업 입장에서는 API 목록 관리, 권한 검증, 응답 데이터 최소화, 자격증명 회수, 이상행위 탐지를 별도 보안 점검이 아니라 제품 운영의 상시 통제로 설계해야 한다.

출처: 개인정보보호위원회 https://pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12241