[지디넷코리아]
인공지능(AI) 도입이 가속화하는 아시아태평양 지역에서 이를 떠받치는 응용프로그램인터페이스(API)가 새로운 보안 취약지대로 부상하고 있다.
3일 아카마이가 발표한 ‘2026 앱·API·디도스 인터넷 현황 보고서(SOTI)’에 따르면 아태 지역에서 2025년 한 해 동안 약 650억건의 웹 애플리케이션 및 API 공격이 관찰됐다. 이는 전년 대비 23% 증가한 수치다. 글로벌 차원에선 일일 API 공격이 세 자릿수 증가율을 기록했다. 전 세계 설문 대상 기업의 87%는 지난해 API 관련 보안 사고를 경험했다고 응답했다.
공격 양상도 정교해지고 있다. 아태 지역에서 발생한 전체 API 공격 중 61%가 권한 없는 워크플로우 및 비정상적 활동과 연관됐다. 단순 기술 취약점을 노리는 대신 정상적인 애플리케이션 기능을 역이용하는 ‘비즈니스 로직 악용’ 방식으로의 전환이 이뤄지고 있다는 의미다.
공격자들은 거래 자동화, 데이터 스크레이핑, 정상적인 API 호출 반복 실행 등으로 서비스 중단이나 고가의 AI 토큰 소모를 유도하고 있다. AI 기반 봇은 실제 사용자 트래픽을 모방해 기존 보안 체계를 우회하며 API를 직접 공격하는 추세다.
애플리케이션 레이어를 직접 겨냥하는 레이어 7 디도스(DDoS) 공격도 지난 2년간 전 세계적으로 104% 급증했다. 네트워크 대역폭을 마비시키는 기존 공격과 달리, 레이어 7 디도스는 사용자 요청을 처리하는 애플리케이션 레이어 프로세스를 직접 겨냥한다.
API가 이 레이어에서 작동한다는 점에서 기업의 디지털 서비스와 거래를 직접 중단시킬 수 있어 위협 수위가 높다. 리테일·금융 서비스 업종은 디지털 결제와 국경 간 서비스에 API 의존도가 높아 주요 표적이 되고 있으며, 통신·하이테크 산업도 공격 압력이 빠르게 높아지고 있다.
시장별 취약 요인은 다르다. 싱가포르·일본 등 고도 디지털화 경제권에서는 API 확산으로 공격 면이 기하급수적으로 늘어나 가시성 확보가 핵심 과제다. 베트남·태국 등 신흥 디지털 경제국은 디지털화 속도를 보안 역량이 따라가지 못하며 보안 인력 부족이 구조적 취약 요인으로 작용하고 있다.
AI 지원 로우코드(저코드) 개발 확산도 변수다. 개발 속도가 빨라지는 만큼 인간의 감독 없이 구성 오류나 불안전한 API 설정이 운영 단계로 넘어갈 위험도 커지고 있다.
루벤 코 아카마이 아태·일본 지역 보안 기술·전략 부문 디렉터는 “AI 도입이 비즈니스 혁신을 가속화하는 동시에 거버넌스 격차를 급격히 확대시키고 있다”며 “API 가시성 확보, AI 봇·에이전트 관리, 개발부터 실행까지 통합 보안 구축을 우선 과제로 삼아야 한다”고 제안했다.
이어 “오늘날 API는 단순히 시스템 간 데이터를 연결하는 수준을 넘어 기업 데이터 인프라의 핵심 구성 요소로 자리 잡았다”며 “자율형 AI 시스템이 기업 운영에 더욱 깊숙이 통합될수록 API 레이어의 회복탄력성이 기업의 확장성과 지속 가능성을 결정짓게 될 것”이라고 덧붙였다.