2025년에는 은행, 핀테크 기업, 결제 서비스 제공업체 및 제3자 제공업체가 상호 연결된 생태계가 업계의 표준으로 자리 잡으면서 글로벌 금융 서비스 환경을 근본적으로 재편하고 있습니다. API를 기반으로, 원활하고 개인화된 금융 경험을 원하는 계좌 보유자의 수요와 데이터 공유 관련 사례를 비롯한 AI 활용 사례의 확산에 힘입어 오픈 파이낸스의 성장세는 계속되고 있습니다.
안타깝게도 금융 시스템의 연결성이 높아질수록 보안 위험도 기하급수적으로 증가합니다. 오픈 파이낸스 생태계를 매력적으로 만드는 데이터 공유, 제3자와의 협업, 향상된 접근성 등의 특성은 동시에 취약성을 초래하는 요인이기도 합니다.
“오픈 파이낸스 생태계를 매력적으로 만드는 바로 그 특징들, 즉 데이터 공유, 제3자와의 협업, 향상된 접근성이 동시에 취약성을 초래하는 요인이기도 합니다.”
2025년에 성공하려면 금융기관은 오픈 파이낸스의 고유한 과제에 대응할 수 있는 선제적이고 빈틈없는 보안 전략을 도입해야 합니다. 오픈 금융 생태계의 미래를 더욱 견고하게 만들기 위해 알아야 할 주요 위험과 실질적인 대응 방안을 살펴보겠습니다.
2025년 오픈 파이낸스의 주요 보안 위험
금융 서비스 생태계가 성숙해짐에 따라 특정 보안 문제가 잠재적 취약점 목록에서 두드러질 것으로 예상됩니다. 다음은 기관들이 2025년에 반드시 해결해야 할 가장 시급한 오픈 파이낸스 위험 세 가지입니다.
1. API 취약점
API는 오픈 파이낸스의 핵심입니다. 은행, 핀테크 기업, 서드파티 앱 간 금융 데이터 공유를 지원하여 소비자가 혁신적인 서비스를 손쉽게 이용할 수 있도록 합니다. 하지만 민감한 시스템으로 통하는 "정문" 역할을 하기 때문에 API는 공격자들의 주요 표적이 되기도 합니다.
주요 위협:
- 보호가 충분하지 않은 API는 공격자가 민감한 데이터를 가로채거나 탈취할 수 있게 합니다.
- 인젝션 공격, 객체 수준 권한 부여 취약점(BOLA), 부적절한 인증과 같은 취약점 악용으로 인해 권한이 없는 사용자가 고객 계정이나 금융 시스템에 접근할 수 있습니다.
2. 제3자 위험
최근 JPMorganChase 웹사이트에 게시된 기술 블로그 글인 제3자 공급업체에 보내는 공개서한에서 이 회사의 CISO는 “우리는 중대한 기로에 서 있습니다. 공급업체는 보안의 우선순위를 시급히 재조정해 신제품 출시와 동등하거나 그보다 높은 수준으로 두어야 합니다.”라고 밝혔습니다. CISO가 언급한 이러한 제3자 제공업체(TPP) 네트워크는 오픈 파이낸스의 기반입니다. TPP와 금융기관 간의 협업과 파트너십은 혁신을 촉진하지만, 동시에 공격자가 침투할 수 있는 추가 경로를 만듭니다. 아무리 작은 파트너라도 그 시스템에 보안 취약점이 하나만 있으면 전체 생태계가 위험에 처할 수 있습니다.
현재 많은 금융기관은 웹사이트에 잠재적 위험이 수반될 수 있으므로 데이터 통합업체와 같은 제3자 제공업체(TPP)를 이용할 때 주의하라는 안내문을 게시하고 있습니다. 이러한 경고문은 자격 증명을 공유하는 행위가 계약 조건에 위배되며, 자격 증명 공유로 인해 발생하는 어떠한 피해에 대해서도 금융기관이 책임지지 않는다는 점을 소비자에게 상기시킵니다.
주요 위협:
- 검증이 불충분하거나 규정 준수 기준을 충족하지 못하는 공급업체는 취약점을 초래하여 사용자가 시스템 내에서 악용될 위험에 노출되게 할 수 있습니다.
- 제3자 개발자에게 과도한 접근 권한을 부여하면 민감한 금융 데이터나 기능이 노출될 수 있습니다.
3. 개인정보 보호를 둘러싼 문제
금융 거래 내역 및 계좌 잔액과 같은 소비자의 민감한 정보를 여러 플랫폼에서 공유하는 것은 오픈 파이낸스의 기본 요건입니다. 이러한 데이터 공유는 새로운 서비스의 기반이 되지만, 데이터 유출 및 오용과 같은 위협에 노출될 위험도 높입니다. 또한 소비자는 더 강력한 데이터 개인정보 보호와 유럽연합의 일반 데이터 보호 규정(GDPR), 결제 서비스 지침 2(PSD2), 그리고 다음과 같은 엄격한 오픈 파이낸스 관련 API 표준의 준수를 기대합니다. Financial Data Exchange(FDX)입니다.
주요 위협:
- 불충분한 암호화 또는 부적절한 공유 관행으로 인한 데이터 유출.
- 소비자 개인정보를 보호하지 못해 발생하는 법적 피해 및 평판 훼손.
2025년 오픈 파이낸스 보호를 위한 핵심 지침
금융 기관은 이러한 위험을 효과적으로 관리하고 오픈 파이낸스를 위한 견고한 기반을 마련하기 위해 보안을 최우선으로 고려해야 합니다. 다음은 반드시 실천해야 할 두 가지 핵심 권고 사항으로, 이를 도입하면 금융 기업이 더욱 강력한 암호화와 엄격한 인증, 세분화된 접근 제어를 통해 개인정보를 보호하는 데에도 도움이 됩니다.
1. 진화하는 위협에 대응할 수 있도록 API 보안 강화
API는 오픈 파이낸스의 핵심이므로 API 보호를 최우선 과제로 삼아야 합니다. API 보안을 강화하면 금융 서비스 기관, 제3자 및 최종 사용자 간 연결의 무결성을 보장할 수 있습니다.
API 보안을 강화하기 위해 실행할 수 있는 조치는 다음과 같습니다:
- 엄격한 인증 정책: OAuth2.0, 상호 TLS 또는 기타 강력한 프로토콜과 같은 개방형 인증 업계 표준을 사용하여 API 사용자를 인증하고 무단 액세스를 방지합니다.
- 실시간 모니터링: 비정상적인 API 활동이나 잠재적인 악용이 심각해지기 전에 식별할 수 있는 솔루션을 사용하세요. 코드 및 트래픽 기반 탐지와 검사, 외부 공격 표면 평가(도메인 스캔) 기능을 갖춘 솔루션을 고려하세요.
- 거버넌스 간소화: 새로 발견된 API를 인벤토리에 손쉽게 추가하는 등 API 인벤토리 관리에 도움이 되는 솔루션을 활용하세요. 또한 API 규정 준수 분석을 도입하고 자동 알림을 통해 규정 준수 상태의 변화를 더욱 효과적으로 추적하세요.
- 암호화 표준: 전송 중인 데이터의 보안을 보장하기 위해 모든 API 트래픽은 TLS 1.3과 같은 프로토콜을 사용하여 암호화해야 합니다.
- 정기 테스트: API 아키텍처의 취약점을 식별하고 수정할 수 있도록 정기적으로 침투 테스트를 수행하세요. 런타임 전에 API를 테스트할 수 있는 솔루션을 고려하세요.
인사이트: API는 오픈 파이낸스의 혁신을 촉진할 수 있지만, 동시에 악용될 가능성이 가장 큰 지점이기도 합니다. API를 다른 핵심 디지털 제품과 마찬가지로 취급하여 지속적으로 모니터링하고 보호하며 최적화하세요. WAF, API 보호 규칙, 속도 제한, 데이터 가드 등 포괄적인 런타임 보호 기능을 포함하는 솔루션을 고려하세요.
2. 제3자 관계를 평가하고 지속적으로 감독하세요
오픈 파이낸스는 제3자가 참여하는 특성상 금융 기관이 자사의 시스템 및 데이터와 상호 작용하는 공급업체 및 개발자와 협력해야 합니다. 전반적인 위험을 줄이려면 이러한 파트너십의 보안을 확보하는 것이 필수적입니다.
제3자 관계를 안전하게 보호하기 위한 실질적인 조치는 다음과 같습니다:
- 엄격한 검증: 핀테크 파트너 또는 제3자 공급업체와 계약하기 전에 종합적인 실사를 수행하세요. 이들의 보안 프로토콜, 규정 준수 이력 및 기술 인증을 평가하세요.
- 실시간 모니터링: API 생태계 내에서 제3자의 활동을 모니터링하고 무단 작업이나 비정상적인 행동을 감지하는 도구를 도입하세요.
- 세분화된 액세스 제어: 제3자가 해당 기능을 수행하는 데 필요한 "최소한의" 데이터와 액세스 수준만 이용할 수 있도록 제한하여 과도한 권한 부여로 인한 위험을 줄입니다.
- 계약상 보안 조항: 정기 감사, 보안 침해에 대한 책임, 귀사의 보안 표준 준수를 요구하는 명확한 계약을 통해 파트너십을 강화하세요.
인사이트: 오픈 파이낸스 생태계의 보안 수준은 가장 취약한 연결 고리의 보안 수준에 좌우되며, 많은 경우 그 연결 고리는 제3자 파트너입니다. 모든 공급업체 관계에 "신뢰하되 검증하라"는 원칙을 적용하세요.
장기적인 회복탄력성을 위한 오픈 파이낸스 생태계 구축
2025년 현재 오픈 파이낸스가 금융 서비스의 핵심 축으로 자리 잡으면서 더욱 강력한 API 보안 솔루션에 대한 투자가 필수 요소가 되었습니다. 지금 포괄적인 API 보호와 철저한 제3자 위험 관리를 우선시하는 금융 기관은 연결성과 혁신성이 높아지는 동시에 위험에도 취약한 생태계에서 성공할 수 있는 기반을 마련하게 됩니다. 은행과 금융사는 신뢰, 규정 준수, 보안을 토대로 오픈 파이낸스의 잠재력을 온전히 실현하고, 더욱 원활하고 안전한 고객 경험을 자신 있게 제공할 수 있습니다.
Learn more about 오픈 파이낸스 생태계를 더욱 안전하게 보호하는 방법을 자세히 알아보고, F5 제품이 단순한 소프트웨어 취약점 테스트를 넘어 360° 보호를 제공하는 애플리케이션 보안 전략을 조직에서 더욱 효과적으로 구현하는 데 어떻게 도움이 되는지 확인해 보세요.
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.