API 보안 — 웹 트래픽의 83%, 침해의 43%

BOLA가 3회 연속 OWASP API Top 10 1위입니다. 스캐너가 못 잡는 논리 결함이기 때문입니다. API 인벤토리를 완전하게 갖춘 기업은 30% 미만입니다. 수치로 본 API 공격 표면과 대응책을 정리했습니다.

규모 — API는 이미 주 공격 표면이다

        · API가 웹 트래픽의 83%를 차지

        · 2025년 API 관련 침해가 전체 데이터 침해의 43% — 전년 대비 12%p 증가

        · API 침해 평균 비용 488만 달러

        · API 취약점의 59%는 인증이 전혀 필요 없다

        · 완전하고 정확한 API 인벤토리를 갖춘 기업은 30% 미만

BOLA — 3회 연속 1위

BOLA(Broken Object Level Authorization)는 API 엔드포인트가 요청자가 해당 객체에 접근할 권한이 있는지 검증하지 못할 때 발생한다. OWASP API Security Top 10에서 세 주기 연속 1위를 지키고 있다.

왜 사라지지 않는가. 두 가지 이유다.

마이크로서비스와 모바일 우선 아키텍처가 객체 수준 인가를 개별 서비스 팀에 일관성 없이 위임한다
자동화 스캐너가 자주 놓친다 — 문법(syntax)이 아니라 논리(logic) 결함이기 때문이다. /api/orders/1234를 /api/orders/1235로 바꾸는 것은 문법적으로 완벽한 요청이다

침해 통계 — 무엇이 뚫리나

인증 실패(Broken Authentication) — 2025년 분석된 API 침해 60건 중 52% (Wallarm 2026)
Unsafe Consumption of APIs — 27%
BOLA + BFLA 합산 — 전체 API 보안 사고의 58%

업종별 침해 분포는 다음과 같다:

소프트웨어 15% · AI 플랫폼 15% · 보안 벤더 13%
SaaS 8% · 자동차 7% · 클라우드 서비스 7%

보안 벤더가 13%라는 점이 눈에 띈다. API 보안에는 예외 업종이 없다.

공격 표면의 변화

GraphQL 도입이 2021년 이후 400% 증가하면서 BOPLA(Broken Object Property Level Authorization) 공격 표면이 크게 넓어졌다. 하나의 쿼리로 여러 리소스를 조합해 가져오는 구조상, 속성 단위 인가가 누락되면 의도치 않은 필드가 함께 나간다.

OWASP 업데이트는 전반적으로 비즈니스 로직 악용 쪽으로 무게가 옮겨갔음을 보여준다. 공격이 인프라 설정 오류보다 애플리케이션 워크플로와 서드파티 연동을 겨냥한다.

        멀티테넌트 클라우드 환경에서는
        인가 검사 하나가 빠지면
        한 테넌트가 다른 테넌트의 스토리지 버킷이나 DB 레코드에 도달할 수 있다.
      

대응 — 세 가지 원칙

① 모든 요청에서 서버 측 객체 소유권 검증
클라이언트가 보낸 ID를 신뢰하지 않는다. 세션의 주체와 요청 객체의 소유자를 매번 대조한다.
② 순차 ID 대신 UUID 또는 불투명 식별자
열거(enumeration)를 어렵게 만든다. 단, 이것은 보조 수단이지 인가의 대체재가 아니다.
③ 인가 정책 중앙화
엔드포인트별 로직 대신 정책 엔진으로 모은다. 팀별 구현 편차가 BOLA의 주 원인이다.

실무 체크리스트

☐ API 인벤토리 작성 — 섀도 API · 좀비 API 포함 (70%가 못 하고 있다)
☐ 인증 없이 접근 가능한 엔드포인트 전수 조사 (취약점의 59%)
☐ BOLA 테스트를 수동 · 논리 기반으로 수행 — 스캐너만 믿지 말 것
☐ 멀티테넌트 경계 테스트 — 테넌트 A 토큰으로 테넌트 B 리소스 요청
☐ GraphQL 사용 시 필드 수준 인가 및 쿼리 깊이 제한
☐ 서드파티 API 응답을 신뢰하지 않고 검증 (Unsafe Consumption, 27%)
☐ API 게이트웨이에서 인가 정책 중앙 집행