마이데이터 Open API 권한 검증(BOLA) 및 과다 노출 쟁점

핵심 판단

API 요청의 세션 토큰 소유자와 실제 조회 대상 자산의 소유권이 일치하는지 서버 측에서 검증(객체 수준 인가, BOLA 방지)하는지, 응답에 불필요한 필드가 과다 노출되지 않는지, 대량 조회를 제한(Rate Limiting)하는지가 핵심 점검 대상이다.

배경

마이데이터·핀테크 연동으로 Open API 제공이 확대되면서, 파라미터의 식별자만 바꾸면 타인 자산정보가 반환되는 BOLA(객체 수준 권한 부재) 취약점이 빈발한다. 인증(Authentication)은 통과했으나 인가(Authorization) 검증이 누락된 전형적 결함이다.

주요 쟁점 및 심사 포인트

• 엔드포인트별 요청 객체 ID와 토큰 주체 간 소유권 서버검증 여부
• 응답 페이로드 과다 노출(Excessive Data Exposure) 여부
• API Rate Limiting·이상 호출 탐지 적용 여부

관련 인증기준

ISMS-P 인증기준(2023) 기준. 항목명은 「금융권 ISMS-P 인증기준 점검항목 안내서」로 검증함.

• 2.6.3 응용프로그램 접근
• 2.10.4 전자거래 및 핀테크 보안
• 2.8.2 보안 요구사항 검토 및 시험
• 2.11.3 이상행위 분석 및 모니터링

관련 법령·가이드

조문 번호·명칭은 개정으로 달라질 수 있어, 실제 심사·인용 시 국가법령정보센터(law.go.kr) 최신본 재확인을 권장한다.

• 「신용정보의 이용 및 보호에 관한 법률」 제22조의9 등(본인신용정보관리업)
  • 마이데이터 사업자의 안전한 정보전송·접근통제 의무 → 정기적 전송요구권 처리 시 인가검증 필수.(조문은 최신본 확인 권장)
• 「전자금융감독규정」 제37조(인증방법 사용기준)
  • 전자금융거래 인증수단의 안전성 기준 → API 인증·인가 체계 설계의 준거.

참고 가이드

• 금융분야 마이데이터 기술 가이드라인(금융보안원)
• OWASP API Security Top 10(API1 BOLA, API3 과다 노출)

심사 시 확인사항 (증적)

• API 명세서 및 인가 로직 소스(객체 소유권 검증 코드)
• 모의해킹/취약점 진단 보고서 중 BOLA·과다노출 항목
• API Gateway Rate Limiting·차단 정책 및 이상호출 알림 로그

주요 결함 사례

Open API 호출 시 파라미터의 고객번호를 변경하면 인가 검증 없이 타 고객 자산 데이터가 반환됨(BOLA).

보완 대책

1. API Gateway/서비스 계층에서 Access Token 주체와 자산 소유권 매핑 검증 강제화
2. OWASP API Top 10 기준 정기 진단 및 응답 필드 최소화(화이트리스트)

연관 쟁점

• [ISSUE-045] API Key·인증 토큰의 유효기간 관리 및 파기 쟁점
• [ISSUE-002] 금융 AI 챗봇 및 생성형 LLM 도입 시 개인신용정보 유출 방지 쟁점

---

본 문서는 ISMS-P 인증심사 실무 참고용이며, 법적 자문이 필요한 사안은 법률 전문가 확인이 필요합니다. (v2 · 2026-08)