아시아태평양 지역에서 디지털 전환과 AI 도입이 가속화되면서 API가 기업 운영의 핵심 인프라로 자리 잡고 있다. 그러나 혁신의 속도에 비해 보안 성숙도가 뒤처지면서 API가 새로운 공격 표면으로 부상하고 있다.
미국 IT·클라우드 컴퓨팅·네트워크 보안기업 아카마이 테크놀로지스(Akamai Technologies)가 발표한 ‘2026년 앱, API 및 디도스 인터넷 현황 보고서(SOTI)’에 따르면, API 의존도가 높아질수록 보안 격차가 확대되고 있으며, 이는 기업의 재무적·운영적 타격으로 직결되고 있다.
이 보고서에 따르면, 지난해 1년 동안 아시아태평양 지역에서 약 650억건의 웹 애플리케이션 및 API(Application Programming Interface, 앱 프로그래밍 인터페이스) 공격이 발생했으며, 이는 전년 대비 23% 증가한 수치다.
글로벌 차원에서는 일일 API 공격이 세 자릿수 증가율을 기록해 API를 둘러싼 공격 압박이 얼마나 광범위하고 지속적인지를 보여준다. 특히 전 세계 기업의 87%가 지난해 API 관련 보안 사고를 경험했다고 응답해, API 보안의 취약성이 현실적 위협으로 드러났다.
공격 유형도 빠르게 진화하고 있다. 레이어 7 디도스(Layer 7 DDoS) 공격은 지난 2년간 전 세계적으로 104%가 급증했다. 이는 단순히 네트워크 대역폭을 마비시키는 기존 방식과 달리 애플리케이션 레이어의 프로세스를 직접 겨냥한다. API가 바로 이 레이어에서 작동한다는 점을 고려하면, 기업의 디지털 서비스와 거래가 직접적으로 중단될 수 있는 심각한 위험을 내포한다.
아시아태평양 지역에서는 전체 API 공격 중 61%가 권한 없는 워크플로와 비정상적 활동, 즉 ‘비즈니스 로직 악용’과 관련된 것으로 나타났다. 이는 공격자가 단순한 기술적 취약점이 아닌 정상적인 기능을 의도치 않게 조작하는 방식으로 진화하고 있음을 보여주고 있다.
산업별로는 ‘리테일’과 ‘금융 서비스’가 여전히 주요 공격 표적이다. 디지털 결제와 국경 간 서비스가 API에 크게 의존하기 때문이다. 통신·하이테크 산업도 API 기반 서비스 확장과 함께 공격 압력이 급격히 높아지고 있다.
국가별로는 싱가포르와 일본처럼 고도로 디지털화된 경제권에서는 ‘API 스프롤(API Sprawl, 여러 팀이 독립적으로 API를 개발·배포하며 API의 수가 늘어나고, 중복·비표준화·문서화 부족으로 관리가 어려워지는 상황)’로 인해 공격면이 기하급수적으로 증가하고 있으며, 가시성 확보가 가장 큰 과제로 떠오르고 있다.
반면 베트남, 태국 등 신흥 디지털 경제국은 급속한 디지털화 속도를 보안 역량이 따라가지 못하고 있으며, 전문인력 부족이 구조적 취약 요인으로 작용하고 있다.
여기에 AI 지원 로우코드(Low Code, 앱 개발 시 필요한 코딩을 최소화하고, 드래그 앤 드롭과 같은 시각적 도구 및 미리 준비된 구성 요소를 활용해 개발 가능한 방식) 개발 확산으로 애플리케이션과 API 개발 속도가 빨라지면서, 인간의 감독 없이 구성 오류나 불안전한 설정이 프로덕션 단계로 전이되는 위험도 커지고 있다.
결국 출발점은 다르지만, 모든 시장에서 공통으로 API 운영 증가, 시스템 복잡성 심화, 공격 가능성 확대라는 결과를 초래하고 있다.
루벤 코(Reuben Koh) 아카마이 APJ 지역 보안 전략 디렉터는 “AI 도입이 전례 없는 속도로 혁신을 가속하고 있지만, 동시에 거버넌스 격차를 확대시키고 있다”며 “기업들은 위험 관리 체계를 전면적으로 재정립해야 한다”고 강조했다.
그는 특히 API 가시성 확보, AI 봇 및 에이전트 관리, 전 스택에 걸친 실시간 모니터링, 개발부터 실행까지 통합 보안 구축을 우선 과제로 꼽았다. 통합 보안에 소홀할 경우 광범위한 운영 중단과 막대한 재정 손실, 고객 신뢰 저하로 이어질 수 있다는 경고다.
오늘날 API는 시스템 간 데이터 연결 수준을 넘어 기업 데이터 인프라의 핵심 구성 요소로 자리 잡았다. 자율형 AI 시스템이 기업 운영에 깊숙이 통합될수록 API 레이어의 회복탄력성이 기업의 확장성과 지속 가능성을 결정짓게 된다.
이번 연구는 결국 AI 시대의 지속가능한 성장은 API 기반을 얼마나 탄탄히 보호하느냐에 달려 있다는 점을 알려주고 있다. 이에 대응하기 위한 아시아태평양 기업들의 보안 전략 재정립이 시급한 때다.
