소비자들은 디지털 경제에 약 “올해 8,430억~8,590억 달러를 투입할 것으로 예상되며, 이는 연말연시 총매출이 4,164억 달러에 불과했던 2002년의 두 배가 넘는 규모입니다.”
궁극적으로 이 모든 거래는 금융 서비스 기관을 거치게 됩니다. 결제가 Apple Pay나 Venmo, PayPal 또는 직불카드를 통해 처리되더라도 항상 금융 서비스 기관의 계좌가 관여합니다.
이는 자연스럽게 악의적인 행위자들이 특히 핀테크 서비스를 통해 해당 계정에 접근하려는 시도로 이어집니다. 예를 들어 Zelle 사용자들이 겪은 사기나 Robinhood 고객 서비스 직원을 노린 사기 또는 크리덴셜 스터핑이나 무차별 대입 공격을 통한 직접적인 침입 등, 끈질기게 시도하는 공격자들은 막대한 이득을 얻을 수 있습니다.
오늘날 우리가 접하는 성공적인 침해 사고의 대부분은 웹 앱, 문자 메시지, 이메일 등 금융 서비스 기관의 사용자 인터페이스를 직접 겨냥해 발생합니다. 그렇다면 디지털 금융 생태계의 성장을 견인하는 API의 폭발적인 증가가 미칠 잠재적 영향과, 범죄 조직이 수익성 높은 공격 경로로 빠르게 인식하고 있는 관련 제3자 위험의 파급 효과를 생각하면 우려하지 않을 수 없습니다.
API가 범죄 조직의 표적으로 점점 더 주목받고 있습니다
오늘날 소비자들은 연말연시의 대규모 지출에 사용할 자금을 마련할 수 있는 결제 수단이 갈수록 다양해지는 환경을 접하고 있습니다:
- 이번 연말 쇼핑 시즌에는 Z세대 쇼핑객 3명 중 2명 이상이 Instagram, WhatsApp, 라이브 스트리밍과 같은 비전통적 채널을 통해 쇼핑할 계획입니다.
- According to an 2021년 6월 NPD 설문조사에 따르면, 소비자의 50% 이상이 Instagram 또는 Facebook을 통해 상품을 구매한 적이 있다고 답했습니다. 이들 소비자 중 15%는 상품을 발견하고 알아보는 소셜 미디어 플랫폼으로 TikTok을 꼽았습니다. (출처: 2021년 연말연시 쇼핑 전자상거래 통계 및 동향)
성공적인 결제 생태계는 디지털 금융 거래를 원활하게 처리하기 위해 API를 활용합니다. 표준화는 빠르고 안전한 거래를 원하는 소비자의 조급한 성향에 부응하고 디지털 비즈니스의 적응과 성장을 지원합니다. 현재 가장 널리 사용되는 표준은 FDX(Financial Data Exchange)이며, 2021년 9월 기준 2,200만 개의 소비자 계정이 오픈 파이낸스 데이터 공유를 위해 FDX API를 사용하고 있습니다. 특히 이로 인해 API 호출량이 크게 증가하여 월간 약 20억 건에 달했습니다. (출처: FinExtra)
최근 F5 CTO실에서 발간한 보고서인 “지속적인 API 확산: API 주도 경제의 과제와 기회,”에서는 API가 빠르게 확산되면서 발생하는 거버넌스 및 보안 위험을 지적합니다.
보고서에 따르면 디지털 결제부터 엔터테인먼트 서비스에 이르기까지 모든 것을 지원하고 탄탄한 마켓플레이스를 구현하는 API는 현재 약 2억 개에 달합니다. 2030년에는 그 수가 17억 개에 이를 수 있습니다.
또한 F5 Labs의 연구 결과에 따르면 API 보안 사고 건수가 매년 증가하고 있으며, 그중 상당수는 핀테크 기업과 같은 제3자와 관련되어 있습니다. 따라서 금융 기관은 임박한 규제 조치와 경쟁 압력의 가능성 외에도 훨씬 더 많은 문제를 우려해야 합니다.
디지털 경제 보호
API를 안전하게 보호하고 소비자와 기업을 사기로부터 지키는 일은 모든 산업의 디지털 기업에서 점점 더 중요한 과제로 부상하고 있으며, 특히 금융 서비스 업계에서는 더욱 그렇습니다.
또한 “여러 애플리케이션을 담당하는 각기 다른 개발 팀은 서로 다른 도구 세트를 사용하는 경우가 많습니다. 이는 기존 보안 팀이 보안 정책을 시행할 중앙 집중식 제어 지점을 보유하지 못할 수 있음을 의미합니다. 따라서 API 개발 및 관리 프로세스에 적절한 제어 기능을 내장할 수 있도록 표준화된 도구 세트가 필요합니다.” (출처: F5 보안 부문 CTO 레누카 나드카르니, 오픈 뱅킹에서 데이터를 보호하기 위한 FDX API 보안)
The F5 오픈 뱅킹 솔루션 가이드는 오픈 뱅킹을 위한 F5 솔루션에 대한 포괄적인 접근 방식을 제시합니다. 또한 Nadkarni는 "FDX가 소비자 계정 정보와 서비스 무결성을 위협 및 위험으로부터 보호하기 위해 구현해야 할 통제 조치에 관한 포괄적인 지침을 발표했다"고 설명합니다. 이러한 통제 조치에는 다음이 포함됩니다:
- 소프트웨어 보안—OWASP 10대 취약점 및 기타 소프트웨어 취약점에 대한 통제—웹 애플리케이션 방화벽(WAF) 배포 포함
- 네트워크 및 시스템 보안
- 운영 보안
- 물리적 보안
- 비즈니스 연속성 및 재해 복구
- 공급업체 보안
- 크리덴셜 스터핑 방지 대책을 포함한 인증(authN)/인가(authZ) 설계 패턴: 크리덴셜 스터핑
- 보안 게이트웨이 아키텍처(SGA)를 위한 패턴(다음 포함): API 게이트웨이에 기본으로 내장된 API 보안 제어
마지막으로, 디지털이 기본이 된 경제에서 전송 중이거나 저장된 금융 데이터를 보호하는 일이 갈수록 중요해지고 있다는 점에 주목해야 합니다. 사기로 인해 기업이 직면하는 위험도 분명 상당하지만, 소비자가 감수해야 하는 위험은 그보다 훨씬 더 큽니다.
작성자 소개
Lori MacVittie는 F5 CTO 오피스의 수석 엔지니어이자 최고 에반젤리스트로, 애플리케이션 딜리버리, 자동화 전략 및 인프라 분야에서 깊이 있는 전문성을 보유하고 있습니다. AI 에이전트를 위한 가드레일을 정의하고, 취약한 멀티클라우드 아키텍처를 분석하며, 확장 가능한 시스템의 한계를 탐구하는 등 복잡한 문제를 명확하게 풀어내는 것으로 잘 알려져 있습니다. 애플리케이션 개발, IT 아키텍처, 네트워크 및 시스템 운영 전반에 걸쳐 30년 이상의 업계 경험을 쌓았습니다. F5에 합류하기 전에는 수상 경력이 있는 기술 편집자로 활동했습니다. MacVittie는 컴퓨터 과학 석사 학위를 보유하고 있으며, 보안, 클라우드 및 엔터프라이즈 아키텍처 분야를 아우르는 다수의 저서를 집필한 작가입니다. 또한 보드게임과 비디오 게임을 열정적으로 즐기며, 치즈에 대해서는 거리낌 없이 확고한 견해를 갖고 있습니다.
Lori Mac Vittie의 다른 블로그 게시물관련 블로그 게시물
AI 시대의 새로운 애플리케이션 제공 원칙으로 복잡성 극복하기
보안, 일관성, 완전 자동화에 중점을 둔 애플리케이션 제공의 새로운 6가지 원칙을 도입하여 복잡성 없이 하이브리드 멀티클라우드의 유연성을 누리세요.
디지털 혁신을 가속화하는 6가지 기술 역량
오늘날의 엔터프라이즈 아키텍처에는 기술 변화를 주도하는 데 핵심적인 민첩성, 확장성, 보안 및 관찰 가능성이 부족하지만, 이 여섯 가지 핵심 역량은 기업이 디지털 혁신 전반에 걸쳐 위험과 과제를 관리하는 데 도움이 될 것입니다.
하이브리드 근무가 ID 중심 보안으로의 전환을 이끌고 있습니다
자동화와 디지털화의 폭발적인 성장에 하이브리드 근무 모델로의 전환 추세가 더해지면서, IP 기반 보안에서 벗어나 ID 기반 액세스 전략으로 전환하는 움직임이 더욱 가속화될 것입니다.
관점의 현대화: 애플리케이션에서 경험으로
그리스와 로마의 신들처럼, 여러 신화에서도 동일한 존재가 다양한 모습으로 나타나는 것을 볼 수 있습니다. 본질적으로 각각의 화신은 기존 존재가 새로운 얼굴로 드러난 것입니다. 디지털 세계에서도 이와 비슷한 양상이 나타납니다. 우리가 ‘애플리케이션’이라고 부르는 것들은 흔히 기존 기능이 새로운 형태로 구현된 것이라 볼 수 있습니다.
코로나19 이후 기업 결제의 디지털 전환
디지털 결제는 과거의 현금만큼이나 보편화되었습니다. 코로나19 팬데믹으로 인한 봉쇄 조치는 소비자의 디지털 결제 서비스 의존도를 더욱 빠르게 높였습니다. 기업의 디지털 결제 도입 역시 가속화되었습니다. 대중을 상대로 영업하든 하지 않든 기업에는 여전히 지급해야 할 대금과 받아야 할 대금이 있기 때문입니다.
공급망 해킹과 보안에서 하드웨어의 역할
수석 아키텍트 Dave Schmitt와 CTO 오피스가 최근 Bloomberg의 Super Micro 관련 기사를 계기로 하드웨어 보안 전문성의 중요성을 되짚어봅니다. 또한 이 글에서는 시스템이 안전하게 보호되고 있는지 확인하기 위해 공급업체에 물어봐야 할 질문도 소개합니다.