아카마이 테크놀로지스(아카마이코리아 대표 이경준)는 고객 서비스부터 재무 관리, 공급망 자동화에 이르기까지 아시아태평양 전역에서 AI 기술을 핵심 디지털 서비스에 내재화하려는 움직임이 가속화되고 있다고 밝혔다.
그러나 이러한 ‘AI 우선(AI-first)’ 전략 추진의 기반이 되는 API가 점점 더 많은 공격을 받으면서 보안 위협이 커지고 있는 것으로 나타났다.
아카마이가 발표한 새로운 인터넷 현황 보고서 ‘2026년 앱, API 및 디도스 인터넷 현황 보고서(2026 Apps, APIs and DDoS State of the Internet, 이하 SOTI)’에 따르면, API에 대한 의존도가 높아지면서 보안 격차가 확대되고 있다. 혁신이 빠르게 진행되고 있는 반면 API 보안 성숙도는 뒤처지고 있어 아시아태평양 지역 내 디지털 성장의 중심에 존재하는 핵심 레이어(layer)이 위험에 노출되고 있다. 이미 여러 기업이 재무 및 운영상의 타격을 입고 있으며, 이로 인해 보안 강화의 필요성이 절실히 대두되고 있다.
아카마이는 2025년 한 해 동안 아시아태평양 지역에서 약 650억 건의 웹 애플리케이션 및 API 공격을 관찰했으며, 이는 전년 대비 23% 증가한 수치다. 글로벌 차원에서는 일일 API 공격이 세 자릿수 증가율을 기록해, API를 둘러싼 공격 압박이 얼마나 지속적이고 광범위한지를 보여준다. 또한 전 세계 설문 대상 기업의 87%가 지난해 API 관련 보안 사고를 경험했다고 응답했다.
레이어 7 디도스(Layer 7 DDoS) 공격도 지난 2년 동안 전 세계적으로 104% 급증한 것으로 나타났다. 네트워크 대역폭을 마비시키는 기존의 ‘대역폭 포화형(volumetric)’ 또는 ‘무차별 대입형(brute force)’ 공격과 달리, 레이어 7 디도스 공격은 사용자 요청을 처리하는 애플리케이션 레이어의 프로세스를 직접 겨냥한다. API가 바로 이 레이어에서 작동한다는 점을 고려하면, 이러한 공격은 기업이 의존하는 디지털 서비스와 거래를 직접적으로 중단시킬 수 있다.
공격의 양상 또한 빠르게 변화하고 있다. 아시아태평양 지역의 경우, 지난해 발생한 전체 API 공격 중 61%가 권한이 없는 워크플로우 및 비정상적인 활동과 관련되어 있었으며, 이는 ‘비즈니스 로직 악용(business logic abuse)’으로의 전환을 시사한다. 즉, 공격자들이 단순히 기술적 취약점을 노리는 것이 아니라, 정상적인 애플리케이션 기능을 의도치 않은 방식으로 조작하는 사례가 늘고 있다. 대표적인 예로, 공격자가 거래를 자동화하거나, 데이터를 스크레이핑하고, 정상적인 API 호출을 반복적으로 실행하여 서비스 중단이나 고가의 AI 토큰 소모를 유도하는 방식이 있다. 특히 AI 기반 봇은 실제 사용자 트래픽을 정교하게 모방하며 기존 보안 방어 체계를 우회하는 방식으로 API를 직접 공격하는 추세다.
이러한 가운데 리테일 및 금융 서비스 산업은 디지털 결제 및 국경 간 서비스를 구동하기 위해 API에 크게 의존하고 있어 여전히 주요 공격 표적이 되고 있다. 통신 및 하이테크 산업 역시 API 기반 서비스 확장과 함께 공격 압력이 급격히 높아지고 있다.
아시아태평양 지역은 전반적으로 디지털 전환 속도가 빠르지만, 시장별 위험 요인은 상이하다. 싱가포르와 일본처럼 고도로 디지털화된 경제권에서는 방대한 규모의 API 확산(API Sprawl)으로 인해 공격면이 기하급수적으로 증가하고 있으며, 그만큼 가시성 확보가 가장 큰 과제다. 반면 베트남, 태국 등 신흥 디지털 경제국에서는 급속한 디지털화 속도를 보안 역량이 따라가지 못하고 있으며, 보안 인력 부족이 구조적인 취약 요인으로 작용해 공격자에게 주요 표적이 되고 있다.
동시에 AI 지원 로우코드(low-code, 일명 ‘바이브 코딩(vibe coding)’) 개발의 확산으로 애플리케이션과 API 개발 속도가 급격히 빨라지고 있다. 하지만 이러한 개발 속도는 인간의 감독 없이 구성 오류나 불안전한 API 설정이 프로덕션 단계로 전이되는 문제를 야기할 수 있다. 결과적으로 출발점은 다르지만, 모든 시장에서 공통적으로 API 운영 증가, 시스템 복잡성 심화, 공격 가능성 확대라는 동일한 결과를 초래하고 있다.
루벤 코(Reuben Koh) 아카마이 아시아태평양·일본(APJ) 지역 보안 기술 및 전략 부문 디렉터는 “아시아태평양 전역에서 AI 도입은 전례 없는 속도로 비즈니스 혁신을 가속화하고 있지만, 이러한 속도는 동시에 거버넌스 격차를 급격히 확대시키고 있다”며 “기업들은 위험 관리 체계를 전면적으로 재정립해야 한다”고 말했다.
이어 그는 “자율형 AI 시스템이 기업 운영에 더욱 깊숙이 통합될수록, API 레이어의 회복탄력성이 기업의 확장성과 지속 가능성을 결정짓게 될 것”이라며 “AI 시대에 지속가능한 성장의 핵심은 이 기반을 얼마나 탄탄히 보호하느냐에 달려 있다”고 덧붙여 말했다.
한편 아카마이는 올해로 12년째 SOTI를 발간하고 있으며, 전 세계 웹 트래픽의 상당 부분을 처리하는 아카마이의 보안 인프라 데이터를 기반으로 사이버 보안 트렌드 및 웹 성능에 대한 핵심 인사이트를 지속적으로 제공하고 있다.
◈국내 최대 사이버위협 인텔리전스 컨퍼런스 K-CTI 2026 개최(4월 7일)-참가기업 모집(사전등록 접수중)
▲행사명: 제13회 대한민국 사이버위협·침해사고대응 인텔리전스 컨퍼런스(K-CTI 2026)
▲주최: 데일리시큐
▲후원: 한국인터넷진흥원 / 한국정보보호산업협회
▲대상: 전국 정부∙공공∙지자체∙교육기관∙금융기관∙의료기관∙일반기업 정보보안 책임자·실무자 (#정보보안과 관련 없는 자는 참석 불가)
▲일시: 2026년 4월 7일(화)
▲장소: 코엑스 3층 컨퍼런스룸E
▲인원: 정보보호 실무자 800여 명(현업 보안책임자/실무자만 참석 가능)
▲참가비: 무료
▲점심/주차권: 제공하지 않습니다.
▲발표자료: 4월 6일 오후 2시 이후부터 다운로드 가능(프로그램란)
▲교육이수: 공무원 및 일반기업 보안교육 7시간/CPPG, CISSP 등 교육이수 7시간 인정
▲참석확인증: 행사 종료후 설문지를 제출해 주신 참관객에게 메일로 일괄 발송
▲사전등록마감: 2026년 4월 5일 오후 6시까지
▲참석불가: 학생, 프리랜서, 무소속, 정보보호 업무와 상관없는 자는 참석 불가
▲참관문의: 데일리시큐 길민권 기자 / mkgil@dailysecu.com
▲사전등록:
클릭
◈보안기업 모집중: 강연 및 전시 참가 국내외 보안기업 모집중 (문의: 데일리시큐 길민권 기자 / mkgil@dailysecu.com
댓글
0