개인정보보호위원회(이하 개보위)가 2026년 7월 9일, 최근 빈번하게 발생하는 API(응용프로그램 인터페이스) 기반 개인정보 유출 사고에 대응하기 위해 사업자들을 대상으로 보안 주의보를 발령했습니다. 개보위는 기업들이 시스템을 만드는 설계 단계부터 개인정보를 최소한으로만 사용하도록 구조를 짜야 한다고 강하게 권고했습니다.

이번 조치는 최근 온라인 서비스 환경에서 API가 데이터 통신의 핵심 수단으로 자리 잡으면서, 이를 노린 해킹이나 관리 소홀로 인한 대규모 정보 유출이 반복되고 있다는 판단에 따른 것입니다. 개보위는 사업자들에게 전달한 가이드라인을 통해 "개인정보 보호는 사고가 터진 뒤에 수습하는 것이 아니라, 서비스 기획과 설계 단계부터 내재화되어야 한다"는 원칙을 재확인했습니다.

반복되는 유출 사고, ‘통로’가 된 API

2026년 상반기 동안 국내 보안 업계에서는 대형 온라인 동영상 서비스(OTT)인 티빙(TVING)의 개인정보 유출 사고가 주요 이슈로 다뤄졌습니다. API는 서로 다른 프로그램이 데이터를 주고받을 수 있게 연결해주는 일종의 '통로' 역할을 하는데, 이 통로가 제대로 관리되지 않으면 권한이 없는 외부인이 손쉽게 사용자 정보에 접근할 수 있게 됩니다. 개보위가 이번 주의보를 통해 '설계 단계부터의 최소화'를 언급한 배경에는 이러한 구조적 취약점이 자리 잡고 있습니다.

개보위는 「개인정보 보호법」에 근거한 '개인정보 보호조치 적용 안내서'를 통해 온라인 서비스 전 과정에서의 데이터 보호를 요구하고 있습니다. 특히 API를 통해 전달되는 데이터 중 주민등록번호나 주소, 연락처 등 서비스 제공에 반드시 필요하지 않은 정보까지 한꺼번에 전송되는 관행을 지적했습니다. 필요한 정보만 선별적으로 노출되도록 API를 설계했다면 유출 사고가 발생하더라도 그 피해 범위를 획기적으로 줄일 수 있었다는 것이 개보위 측의 분석입니다.

보안 전문가들은 API 보안이 현대 IT 인프라의 아킬레스건이라고 입을 모읍니다. 데이터가 이동하는 모든 경로에 암호화를 적용하고, API 호출 시마다 엄격한 인증 절차를 거치는 것이 기본이지만, 실제 현장에서는 개발 편의성이나 속도를 이유로 이러한 원칙이 간과되는 경우가 많습니다. 개보위는 이번 주의보를 기점으로 사업자들의 API 관리 실태에 대한 점검을 강화할 것으로 보입니다.

AI 인프라 표준 ‘LiteLLM’도 공격 표적

API 보안의 위험성은 비단 국내 서비스에만 국한되지 않습니다. 2026년 3월에는 전 세계 AI 인프라의 표준 라이브러리로 평가받는 'LiteLLM'이 공급망 공격의 표적이 되는 사건이 발생했습니다. LiteLLM은 다양한 AI 모델을 연결해주는 인터페이스 역할을 하며, 주간 설치 횟수가 약 1,500만~2,000만 회에 달할 정도로 광범위하게 사용되는 도구입니다.

LiteLLM 설치 현황 (2026년 상반기 기준)

주간 설치

2,000만

일일 설치

340만

이처럼 널리 쓰이는 라이브러리의 보안이 뚫릴 경우, 이를 사용하는 수많은 기업의 API를 통해 개인정보가 유출될 위험이 기하급수적으로 커집니다. 실제로 LiteLLM은 하루 평균 약 340만 회의 설치가 이뤄지는 사실상의 표준 인프라이기에, 보안 전문가들은 이러한 '공급망 공격'이 향후 개인정보 보호의 가장 큰 위협이 될 것이라고 경고하고 있습니다.

최신 기술 트렌드인 생성형 AI 분야에서도 보안의 '이중 잣대' 논란은 이어지고 있습니다. 지난 2026년 6월 9일, 앤스로픽(Anthropic)이 발표한 Claude Fable 5와 Claude Mythos 5가 대표적인 사례입니다. 앤스로픽은 두 모델이 동일한 기반 기술을 사용함에도 불구하고, 일반 사용자용인 Fable 5에는 강력한 안전장치를 적용한 반면 Mythos 5는 다른 기준을 적용했습니다. 이는 기술을 제공하는 주체가 보안 수준을 선택적으로 조절할 수 있음을 보여주며, 기업들이 API를 도입할 때 해당 기술의 안전 정책을 면밀히 살펴야 함을 시사합니다.

보안 제보 외면하는 업계와 시장의 냉기

기술적 대응만큼이나 보안 생태계의 윤리적 문제도 지적되고 있습니다. 2026년 1월, 보안 진단 업체 QED Audit는 가상자산 프로젝트인 THORChain의 중대 결함(Critical Bug) 2건을 제보했으나 적절한 보상을 받지 못했다고 밝혔습니다. 보안 도구 V12를 개발한 Zellic 역시 자금 탈취 결함을 제보했음에도 불구하고, 해당 프로젝트 측이 패치 후 오히려 바운티(보상금) 프로그램을 폐지하는 방식으로 대응해 논란이 일었습니다.

이러한 '제보 무시' 관행은 보안 전문가들의 활동을 위축시켜 결과적으로 API와 같은 핵심 기술의 취약점을 방치하는 결과를 초래할 수 있습니다. 개보위가 강조하는 '설계 단계부터의 보안'이 실현되려면, 외부의 보안 제보를 적극적으로 수용하고 개선하는 기업 문화가 뒷받침되어야 한다는 지적이 나오는 이유입니다.

한편, 국내 금융시장은 극심한 변동성을 보이고 있습니다. 개보위의 발표가 있었던 2026년 7월 9일, 코스피 지수는 전일 대비 5.35% 급락한 7,246.79를 기록했으며 코스닥 역시 5.56% 하락하며 785.00선에 머물렀습니다. 달러 대비 원화 환율은 1,504.50원을 기록하며 1,500원선을 돌파했습니다. 보안 사고로 인한 기업 가치 하락 우려가 시장 전반의 심리 위축과 맞물리며 기술주 중심의 하락세가 뚜렷하게 나타났습니다.

개인정보보호위원회(이하 개보위)가 2026년 7월 9일, 최근 빈번하게 발생하는 API(응용프로그램 인터페이스) 기반 개인정보 유출 사고에 대응하기 위해 사업자들을 대상으로 보안 주의보를 발령했습니다. 개보위는 기업들이 시스템을 만드는 설계 단계부터 개인정보를 최소한으로만 사용하도록 구조를 짜야 한다고 강하게 권고했습니다.

이번 조치는 최근 온라인 서비스 환경에서 API가 데이터 통신의 핵심 수단으로 자리 잡으면서, 이를 노린 해킹이나 관리 소홀로 인한 대규모 정보 유출이 반복되고 있다는 판단에 따른 것입니다. 개보위는 사업자들에게 전달한 가이드라인을 통해 "개인정보 보호는 사고가 터진 뒤에 수습하는 것이 아니라, 서비스 기획과 설계 단계부터 내재화되어야 한다"는 원칙을 재확인했습니다.

반복되는 유출 사고, ‘통로’가 된 API

2026년 상반기 동안 국내 보안 업계에서는 대형 온라인 동영상 서비스(OTT)인 티빙(TVING)의 개인정보 유출 사고가 주요 이슈로 다뤄졌습니다. API는 서로 다른 프로그램이 데이터를 주고받을 수 있게 연결해주는 일종의 '통로' 역할을 하는데, 이 통로가 제대로 관리되지 않으면 권한이 없는 외부인이 손쉽게 사용자 정보에 접근할 수 있게 됩니다. 개보위가 이번 주의보를 통해 '설계 단계부터의 최소화'를 언급한 배경에는 이러한 구조적 취약점이 자리 잡고 있습니다.

개보위는 「개인정보 보호법」에 근거한 '개인정보 보호조치 적용 안내서'를 통해 온라인 서비스 전 과정에서의 데이터 보호를 요구하고 있습니다. 특히 API를 통해 전달되는 데이터 중 주민등록번호나 주소, 연락처 등 서비스 제공에 반드시 필요하지 않은 정보까지 한꺼번에 전송되는 관행을 지적했습니다. 필요한 정보만 선별적으로 노출되도록 API를 설계했다면 유출 사고가 발생하더라도 그 피해 범위를 획기적으로 줄일 수 있었다는 것이 개보위 측의 분석입니다.

보안 전문가들은 API 보안이 현대 IT 인프라의 아킬레스건이라고 입을 모읍니다. 데이터가 이동하는 모든 경로에 암호화를 적용하고, API 호출 시마다 엄격한 인증 절차를 거치는 것이 기본이지만, 실제 현장에서는 개발 편의성이나 속도를 이유로 이러한 원칙이 간과되는 경우가 많습니다. 개보위는 이번 주의보를 기점으로 사업자들의 API 관리 실태에 대한 점검을 강화할 것으로 보입니다.

AI 인프라 표준 ‘LiteLLM’도 공격 표적

API 보안의 위험성은 비단 국내 서비스에만 국한되지 않습니다. 2026년 3월에는 전 세계 AI 인프라의 표준 라이브러리로 평가받는 'LiteLLM'이 공급망 공격의 표적이 되는 사건이 발생했습니다. LiteLLM은 다양한 AI 모델을 연결해주는 인터페이스 역할을 하며, 주간 설치 횟수가 약 1,500만~2,000만 회에 달할 정도로 광범위하게 사용되는 도구입니다.

이처럼 널리 쓰이는 라이브러리의 보안이 뚫릴 경우, 이를 사용하는 수많은 기업의 API를 통해 개인정보가 유출될 위험이 기하급수적으로 커집니다. 실제로 LiteLLM은 하루 평균 약 340만 회의 설치가 이뤄지는 사실상의 표준 인프라이기에, 보안 전문가들은 이러한 '공급망 공격'이 향후 개인정보 보호의 가장 큰 위협이 될 것이라고 경고하고 있습니다.

최신 기술 트렌드인 생성형 AI 분야에서도 보안의 '이중 잣대' 논란은 이어지고 있습니다. 지난 2026년 6월 9일, 앤스로픽(Anthropic)이 발표한 Claude Fable 5와 Claude Mythos 5가 대표적인 사례입니다. 앤스로픽은 두 모델이 동일한 기반 기술을 사용함에도 불구하고, 일반 사용자용인 Fable 5에는 강력한 안전장치를 적용한 반면 Mythos 5는 다른 기준을 적용했습니다. 이는 기술을 제공하는 주체가 보안 수준을 선택적으로 조절할 수 있음을 보여주며, 기업들이 API를 도입할 때 해당 기술의 안전 정책을 면밀히 살펴야 함을 시사합니다.

보안 제보 외면하는 업계와 시장의 냉기

기술적 대응만큼이나 보안 생태계의 윤리적 문제도 지적되고 있습니다. 2026년 1월, 보안 진단 업체 QED Audit는 가상자산 프로젝트인 THORChain의 중대 결함(Critical Bug) 2건을 제보했으나 적절한 보상을 받지 못했다고 밝혔습니다. 보안 도구 V12를 개발한 Zellic 역시 자금 탈취 결함을 제보했음에도 불구하고, 해당 프로젝트 측이 패치 후 오히려 바운티(보상금) 프로그램을 폐지하는 방식으로 대응해 논란이 일었습니다.

이러한 '제보 무시' 관행은 보안 전문가들의 활동을 위축시켜 결과적으로 API와 같은 핵심 기술의 취약점을 방치하는 결과를 초래할 수 있습니다. 개보위가 강조하는 '설계 단계부터의 보안'이 실현되려면, 외부의 보안 제보를 적극적으로 수용하고 개선하는 기업 문화가 뒷받침되어야 한다는 지적이 나오는 이유입니다.

한편, 국내 금융시장은 극심한 변동성을 보이고 있습니다. 개보위의 발표가 있었던 2026년 7월 9일, 코스피 지수는 전일 대비 5.35% 급락한 7,246.79를 기록했으며 코스닥 역시 5.56% 하락하며 785.00선에 머물렀습니다. 달러 대비 원화 환율은 1,504.50원을 기록하며 1,500원선을 돌파했습니다. 보안 사고로 인한 기업 가치 하락 우려가 시장 전반의 심리 위축과 맞물리며 기술주 중심의 하락세가 뚜렷하게 나타났습니다.