2026년 7월, 글로벌 보안 매체 Dark Reading은 바티칸 공식 기도 애플리케이션의 API 엔드포인트가 70만 명 이상의 이용자 PII를 무방비로 노출했다고 보도했습니다. 이번 사건은 종교 기관 모바일 서비스에서도 API 기반 공격 표면이 일반화되고 있음을 보여주는 사례로, 인증·인가·데이터 필터링 부재라는 기본적 통제 실패가 어떤 실질적 피해로 이어지는지 다시 한번 확인시켰습니다.
- 유출 규모: 바티칸 공식 기도 앱에서 이름, 이메일 주소, 국가, 사이트 상태 등 70만 명 이상의 PII가 노출된 것으로 분석됨
- 노출 경로: 인증 토큰 없이 호출 가능한 API 엔드포인트가 노출되어 웹 브라우저만으로 정보 추출이 가능했던 점이 구조적 결함으로 지목됨
- 보안 시사점: 기관의 성격에 무관하게 API 인증·인가, 최소 권한, 응답 데이터 필터링 등 기본 통제체계의 도입이 필수적인 것으로 평가됨
API 보안은 선택이 아닌 필수, 종교·비영리 영역까지 통제체계 확장이 요구되는 시점입니다.
바티칸 기도 앱 PII 유출 사건 개요
70만 명 정보 노출, 어떤 데이터가 어떻게 새어나갔는가
보도에 따르면, 해당 애플리케이션의 백엔드 API는 인증 토큰 없이 호출 가능한 상태였으며, 응답 페이로드에 이용자의 이름, 이메일 주소, 국가, 사이트 상태 정보가 평문 형태로 포함되어 있었던 것으로 파악됩니다. 70만 명이라는 글로벌 이용자 규모를 고려할 때, 단일 API 결함으로 노출된 PII의 영향 범위가 광범위할 수 있다는 점에서 사건의 심각성이 부각됩니다.
웹 브라우저만으로 추출 가능한 API의 구조적 결함
가장 큰 문제는 공격 난이도의 낮음에 있습니다. 별도의 도구나 우회 절차 없이 일반 웹 브라우저에서 특정 URL을 호출하는 것만으로 목록 형태의 응답이 반환되었으며, 이를 자동화하면 전체 데이터를 짧은 시간 안에 수집할 수 있었던 것으로 보입니다. 인증이라는 1차 방어선이 작동하지 않은 것이 사건의 본질로 분석됩니다.
사건의 기술적 원인 분석
인증 및 접근 제어 부재로 본 API 설계 실패
API 보안의 가장 기본적인 원칙은 호출 주체의 신원을 확인하는 인증과, 요청한 자원에 접근할 권한이 있는지 검증하는 인가입니다. 이번 사례는 두 단계 모두 부재했던 것으로 보여지며, OWASP API Security Top 10에서 오래전부터 경고해 온 Broken Object Level Authorization과 Broken Authentication 범주에 해당합니다. 모바일 앱 내부에서만 호출된다는 전제로 외부 노출 경로를 충분히 검토하지 않은 점이 구조적 원인으로 지적됩니다.
과도한 데이터 반환과 OWASP API Security Top 10 관점
인증이 존재했다 하더라도, 응답에 클라이언트가 실제로 사용하는 필드 이상의 데이터가 포함되어 있다면 정보 노출로 이어집니다. OWASP API Security Top 10은 이를 Excessive Data Exposure, 더 확장된 개념으로 Mass Assignment 위험으로 분류하고, 백엔드는 최소한의 필드만 반환하고 클라이언트 표시 로직은 프론트엔드에서 처리하도록 설계할 것을 권고합니다. 이번 사건은 이러한 응답 데이터 필터링 원칙이 적용되지 않은 전형적 사례로 평가됩니다.
| 구분 | 주요 통제 항목 | 이번 사건에서의 적용 상태 |
|---|---|---|
| API1:2023 | Broken Object Level Authorization | 미적용으로 분석됨 |
| API2:2023 | Broken Authentication | 미적용으로 파악됨 |
| API3:2023 | Broken Object Property Level Authorization | 응답 필드 필터링 부재로 추정 |
| API4:2023 | Unrestricted Resource Consumption | 대량 수집 가능 여부 확인 필요 |
| API5:2023 | Broken Function Level Authorization | 관리 기능 노출 가능성 검토 필요 |
글로벌 보안 위협으로서의 종교 기관 데이터
비영리 및 종교 분야 앱의 보안 사각지대
종교 기관과 비영리 조직은 제한된 예산과 인력으로 모바일 서비스를 운영하면서도, 충성도 높은 다수의 이용자 데이터를 보유하는 경우가 많습니다. 그러나 보안 투자 우선순위는 상대적으로 낮게 책정되어 왔던 것으로 보이며, 이번 사건은 이러한 사각지대가 그대로 외부 공격자에게 노출될 수 있음을 보여줍니다. 데이터의 가치는 기관의 성격에 의해 결정되지 않으며, 글로벌 이용자 분포 특성과 결합될수록 표적 가치가 높아질 수 있습니다.
대형 기관 대상 API 공격 표면 확대 추세
최근 몇 년간 대형 기관을 대상으로 한 API 관련 침해 사례는 꾸준히 보고되어 온 것으로 분석됩니다. 모바일 앱, 파트너 연동, 내부 시스템 통합을 위한 API가 빠르게 늘어난 반면, 이에 상응하는 API 보안 거버넌스는 따라가지 못한 것으로 분석됩니다. 바티칸 사례는 정부, 의료, 교육, 종교 등 전통적 영역에 API 도입이 확대될수록 동일한 패턴의 사고가 재현될 가능성이 커짐을 시사합니다.
유사 사고 예방을 위한 대응 권고
API 인증·인가 및 최소 권한 원칙 적용
모든 API 엔드포인트는 기본적으로 인증과 인가를 요구하도록 설계해야 하며, 내부 전용이라고 판단되는 경로에 대해서도 동일하게 적용할 필요가 있습니다. 인증된 사용자라 하더라도 자신의 자원에만 접근하도록 객체 단위 인가를 구현하고, 응답에는 클라이언트가 필요로 하는 최소 필드만 포함시키는 최소 권한 원칙을 일관되게 적용해야 합니다. 토큰 관리, 세션 만료, 재인증 정책도 함께 정비되어야 합니다.
정기적 API 취약점 진단과 데이터 노출 모니터링 체계 구축
설계 단계의 통제만으로는 한계가 있으므로, 배포 이후에도 정기적인 API 취약점 진단과 침투 테스트를 수행해야 합니다. 특히 인증 누락, 과도한 데이터 노출, 비정상 호출 패턴에 대한 모니터링과 알람 체계를 구축하여 사고 발생 시 조기 탐지와 차단이 가능하도록 해야 합니다. 또한 모바일 앱과 서버 간 통신에 인증서를 고정하고, 무결성 검사를 추가하는 등 클라이언트 측 통제도 병행하는 것이 권고됩니다.
핵심 정리
- 바티칸 기도 앱 API는 인증 없이 호출 가능했고, 70만 명 이상의 PII가 단일 결함으로 노출된 것으로 분석됨
- 이번 사건은 OWASP API Security Top 10의 Broken Authentication 및 Excessive Data Exposure 범주에 해당하는 전형적 사례로 평가됨
- 종교 기관을 포함한 모든 모바일 서비스에서 API 인증·인가, 최소 권한, 응답 데이터 필터링이 필수 통제로 자리잡아야 함
- 정기적 API 취약점 진단과 이상 호출 모니터링 체계를 함께 구축해야 유사 사고의 예방과 조기 탐지가 가능함
참고 자료: Dark Reading – Vatican’s Official Prayer App Leaks 700K+ Global Users’ PII, OWASP API Security Project