최근 Datos Insights 설문조사에 따르면, 금융 서비스 기업의 57%가 지난 2년간 API 관련 침해 사고를 겪었다고 답했습니다.
2025년 10월 Datos Insights 보고서에 나온 이 한 가지 통계는 위험의 시대에 금융 서비스 보호: 멀티클라우드 환경 보호라는 제목의 보고서에서 이사회와 예산 관련 논의의 방향을 바꿔야 할 변화를 잘 보여줍니다. 오픈 뱅킹, 마이크로서비스, 멀티클라우드 도입으로 인해 공격 표면이 기존 경계 보안 체계가 보호하도록 설계된 범위를 훨씬 넘어섰습니다.
그 결과 계정 소유자의 신뢰 상실, 규제 위험 노출, 운영 중단이 발생합니다. F5가 후원한 새로운 Datos Insights 보고서는 보안 리더가 실용적인 WAAP 우선 접근 방식으로 지금 어떻게 대응해야 하는지 설명합니다.
“[금융 서비스 기업 중] 57%가 지난 2년간 API 관련 침해 사고를 경험했다고 보고했습니다…. 이 중대한 취약점을 해결하려면 즉각적인 조치가 필요합니다.”
Datos Insights, 위험의 시대에 금융 서비스 보호, 2025년 10월
경계 보안이 무너진 이유
API는 팀이 이를 파악하고 목록화하는 속도보다 더 빠르게 확산되고 있습니다. 금융 서비스 분야에서는 이러한 증가세가 뚜렷합니다. 2023년부터 2024년까지 평균 API 호출량이 두 배로 늘었으며, 은행의 85% 이상이 오픈 뱅킹 생태계에 참여하고 있습니다(Datos Insights, 2025년 10월). 공격자들은 이제 외부 경계를 탐색하는 데서 벗어나 인증된 세션을 탈취하고 정상적인 API를 악용하고 있습니다. 이에 따라 많은 금융 서비스 조직이 웹 애플리케이션 방화벽(WAF)을 점진적으로 개선하는 대신 최신 애플리케이션 및 API 방어 체계에 대한 투자를 확대하고 있습니다.
진화하는 위협 환경
금융 서비스 기관을 둘러싼 위협 환경은 이제 AI와 지속성이라는 두 가지 요인에 의해 좌우되고 있습니다. 공격자들이 자동화된 정찰과 피싱에 머신 러닝과 대규모 언어 모델을 활용함에 따라, 보안 팀은 AI 기반 행동 분석과 동적 정책 제어로 대응해야 합니다.
국가 배후 조직은 핵심 인프라에 장기간 잠복하는 역량을 보여 왔으며, 범죄 조직은 사회공학 기법과 API 악용을 결합합니다. Scattered Spider의 공격 패턴은 헬프 데스크 침해와 SSO API 악용이 결합될 경우 내부망 수평 이동과 데이터 유출로 빠르게 이어질 수 있음을 보여 줍니다.
여기에 ‘지금 수집하고 나중에 복호화한다’는 전략까지 더해집니다. 공격자들은 포스트 양자 컴퓨터가 발전하면 향후 오프라인에서 암호를 해독할 목적으로 현재 암호화된 데이터를 비축하며, 이로 인해 해커가 각 침해 사고에서 얻을 수 있는 잠재적인 장기적 가치가 커집니다.
최신 WAAP가 실제로 제공하는 기능
Web application and API protection(WAAP)은 단순한 마케팅 용어가 아닙니다. WAF, API 검색 및 스키마 학습, 봇 관리, 분산 서비스 거부(DDoS) 방어, 런타임 이상 탐지, 위협 인텔리전스를 하나의 운영 환경으로 통합합니다. Datos Insights 보고서는 금융 서비스에 가장 중요한 기능을 다음과 같이 강조합니다:
- 비정상적인 인증 세션을 탐지하고 사람의 활동과 AI 에이전트의 활동을 구분하는 AI 기반 행동 분석
- 지속적인 API 스키마 학습 및 런타임 적용을 통해 이상 징후를 탐지하고 악용을 방지
- 엔드포인트 순환 및 스키마 무작위화처럼 공격자의 비용을 증가시키는 이동 표적 방어
- 자동화된 완화를 위한 기계 판독형 위협 인텔리전스 통합 및 MITRE ATT&CK·D3FEND 프레임워크 매핑
- 프로토콜을 인식하는 보호 기능(gRPC, FAPI 2.0, OAuth/OIDC)을 통해 보안을 사후에 덧붙이는 대신 API 스택에 자연스럽게 통합
시장 신호는 분명하며, 공급업체들은 고객이 필요로 하는 분야에 투자하고 있습니다. Datos는 WAAP 서비스 시장이 2025년 약 100억 달러에서 2033년 250억 달러로 성장할 것으로 전망합니다.
진전을 입증하는 아키텍처와 지표
보안 책임자는 검색/인벤토리, 자동화된 정책 적용, 측정 가능한 성과를 제공하는 플랫폼을 요구해야 합니다. Datos Insight 보고서는 고려해야 할 두 가지 핵심 성과 지표(KPI)로 평균 완화 시간(공격을 얼마나 신속하게 차단하는지)과 런타임 커버리지(WAAP로 보호되는 프로덕션 트래픽의 비율)를 제시합니다. 공급업체는 검색률 및 오탐 성능과 함께 이러한 지표를 제시할 수 있어야 합니다.
금융 서비스 보안 책임자는 2026년 예산과 로드맵에서 API 보안을 우선시하는 한편, 운영 복잡성과 비용을 줄일 수 있는 경우 개별 도구를 통합형 WAAP로 통합해야 합니다. 또한 인증된 사용자의 악용을 탐지하기 위해 AI 행동 분석과 고급 봇 방어 기능을 도입하는 데 주력해야 합니다. 금융권 수준의 보호를 위해 프로토콜별 제어를 적용하고, 자동 대응을 위해 MRTI와 맵 탐지 기능을 통합하는 것도 중요합니다. 마지막으로 WAAP KPI를 지속적으로 추적하고 비즈니스 위험 책임자 및 규정 준수 요구 사항에 맞게 조정해야 합니다.
다음 단계
보안 우선순위를 정하거나 2026년 예산 브리핑을 준비하고 있다면, 2025년 10월 Datos Insights 보고서인 위험의 시대에 금융 서비스 보호: 멀티클라우드 환경 보호는 경영진 및 이사회와 공유할 수 있는 실용적인 브리핑 자료입니다.
이 보고서에는 유용한 그림과 표(WAAP의 6가지 KPI, API 공격 동향에 관한 표 A, 프로토콜 지침 포함), CVE와 방어 수단 간의 연관성을 보여주는 기술적인 MRTI 예시, 그리고 방어 담당자가 자체 보안 태세를 점검하는 데 활용할 수 있는 타임라인을 제시하는 Scattered Spider 캠페인 사례 연구가 포함되어 있습니다.
전체 보고서는 여기에서 다운로드하세요.
시작할 준비가 되셨다면 F5 담당자와 브리핑을 예약하여 조사 결과를 귀사의 환경에 적용하고 비즈니스 위험을 줄일 WAAP 기능의 우선순위를 정하세요.
작성자 소개
관련 블로그 게시물
추론 경로가 곧 트래픽 경로다: AI 보안이 자리해야 할 곳
이제 AI 트래픽에는 의도와 데이터, 작업이 담깁니다. AI 보안을 적용하는 데 추론 경로가 가장 중요한 지점이 된 이유를 알아보세요.
최전선 AI를 네트워크 경계에서 차단하기: 인라인 제어가 Mythos급 모델에 맞서는 핵심 우위인 이유
포스트-Mythos 시대에 사이버 방어가 어떻게 변화했으며, 조직이 통제 지점을 바꿔야 하는 이유를 알아봅니다.
애플리케이션 딜리버리 컨트롤러가 다시 전략적 의제로 떠오르고 있습니다
AI로 인해 애플리케이션 제공의 중요성이 더욱 커지고 있습니다. F5의 Nirav Shah가 새로운 Gartner® ADC 연구와 이것이 엔터프라이즈 인프라 의사 결정에 미치는 영향에 대해 설명합니다.
증거로 입증하는 AI 보안: Gartner SRM에서 선보일 내용
Gartner SRM에서의 세션을 앞두고, F5의 제품 마케팅 담당 수석 부사장이 F5가 세 가지 실질적인 단계를 통해 조직의 AI 보안을 어떻게 지원하는지 설명합니다.
파이프라인 속도 저하 없이 AI 데이터 파이프라인을 안전하게 보호하세요
AI 데이터 파이프라인 보안은 선택 사항이 아닙니다. 그 점은 분명합니다. 하지만 이를 제대로 보호하는 방법은 훨씬 불분명하며, 훨씬 더 어려운 과제입니다.
AI 스토리지에 새로운 로드 밸런싱 접근 방식이 필요한 이유
AI 워크로드에는 새로운 관점으로 설계된 스토리지가 필요합니다. AI 특유의 데이터 액세스 패턴은 레거시 인프라에 내재된 심각한 병목 현상과 비효율성을 여실히 드러냅니다.