Rihpig

Posted on Apr 20 • Originally published at apidog.com

Vercel 2026년 해킹 사건에서 얻는 7가지 API 보안 교훈

요약 (TL;DR)

2026년 4월 19일, Vercel은 공격자가 타사 AI 도구의 OAuth 통합을 통해 내부 시스템을 침해, 암호화되지 않은 상태로 저장된 고객 환경 변수가 노출된 사실을 발표했습니다. 이 침해 사건은 모든 API 개발자가 반드시 적용해야 할 7가지 핵심 교훈을 남겼습니다: 저장 시 비밀 암호화, AI 도구의 OAuth 권한 감사, 모든 환경 변수를 기본적으로 민감하게 다루기, 자격 증명 순환 자동화, CI/CD 파이프라인 보호, 기본적으로 보안이 활성화된 API 구축, 그리고 사고 대응 플레이북 사전 구축입니다.

오늘 Apidog을 사용해보세요

💡 Apidog는 HashiCorp Vault, Azure Key Vault, AWS Secrets Manager와 통합되어 API 자격 증명을 암호화 및 순환합니다. 하나의 워크스페이스에서 OAuth 2.0부터 mTLS까지 13가지 인증 방법을 모두 테스트할 수 있습니다.

서론

Context.ai라는 작은 AI 도구에 대한 단일 OAuth 권한 부여가 공격자에게 Vercel 내부 시스템으로의 직접 경로를 제공했습니다. 이를 통해 저장 시 암호화되지 않은 환경 변수, API 키, 데이터베이스 자격 증명, 배포 토큰 등이 노출되었습니다.

이 침해는 인프라의 취약점 때문이 아니라, ‘비밀’을 명시적으로 민감하게 표시해야 암호화되는 플랫폼 정책, 타사 AI 도구의 OAuth 권한 감사 미흡, 기본값 신뢰 등 설계적 가정이 누적된 결과였습니다.

API를 구축하거나 사용하는 모든 개발자에게 이 사건은 반드시 분석할 가치가 있습니다. 환경 변수에 자격 증명 저장, AI 도구에 OAuth 권한 부여, 플랫폼 기본값 신뢰 등은 대부분의 개발 팀이 반복하는 패턴입니다.

이 글에서는 Vercel 침해로부터 얻은 7가지 교훈과, 각 항목을 여러분의 API 워크플로우에 적용할 수 있는 구체적 실전 방법을 제안합니다.

무슨 일이 있었나: Vercel 2026년 4월 침해

공격 체인

2026년 4월 17~19일, 공격자는 Context.ai의 Google Workspace OAuth 애플리케이션을 침해했습니다. Context.ai는 주요 ID 공급자가 아닌 작은 관측 도구였지만, Vercel 직원의 Google Workspace 계정에 대한 OAuth 접근 권한을 보유하고 있었습니다.

공격 체인 요약:

Context.ai의 OAuth 앱 침해
Vercel 직원 Google 계정 탈취 — 직원 권한 상속
내부 시스템 권한 상승 — 고객 데이터 저장소 접근
"민감"하지 않은 환경 변수 대량 추출 — 저장 시 암호화되지 않음

Vercel은 이번 공격자를 “Vercel 시스템에 대한 상세한 이해와 속도를 갖춘 정교한 공격자”로 평가했습니다.

노출된 내용

확인된 노출:

"민감"으로 표시되지 않은 고객 환경 변수 (API 키, 데이터베이스 URL, 서명 키, 배포 토큰)
직원 기록 580건 (이름, 이메일, 계정 상태, 활동 타임스탬프)

노출되지 않은 내용 (Vercel 발표 기준):

"민감" 플래그가 켜진 환경 변수(저장 시 암호화)
핵심 플랫폼 인프라

Vercel 환경 변수의 "민감" 플래그는 기본값이 꺼짐입니다. 개발자가 직접 활성화해야만 저장 시 암호화됩니다.

API 개발자에게 시사점

API는 API 키, OAuth 토큰, 데이터베이스 자격 증명, 웹훅 서명 키 등 비밀에 의존합니다. Vercel 침해는 API 자체를 노린 것이 아니라, API 자격 증명이 저장된 인프라(환경 변수, OAuth 통합, CI/CD, 타사 도구)를 노렸습니다. 여러분의 개발환경도 예외가 아닙니다.

교훈 1: 저장 시에도 비밀을 암호화하세요

HTTPS는 전송 중인 API 키를 보호하지만, 환경 변수에 저장된 후에는 어떨까요? Vercel의 "민감하지 않은" 환경 변수는 저장 시 암호화되지 않았고, 공격자는 네트워크를 거치지 않고 저장소에서 직접 자격 증명을 읽었습니다.

실전 적용 방법

비밀 관리자를 사용하세요.

HashiCorp Vault, AWS Secrets Manager, Azure Key Vault 등은 기본적으로 저장 시 비밀을 암호화합니다. API 키·DB 암호·서명 키는 일반 환경 변수가 아니라 비밀 관리자에 보관하세요.
플랫폼 환경 변수 저장 정책을 점검하세요.

배포 플랫폼이 저장 시 암호화를 기본 적용하는지, 옵트인(선택적)인지 확인하세요. 옵트인이라면 누락 가능성을 항상 염두에 두세요.
구성 vs 비밀을 분리하세요.

환경 변수는 비민감 구성(로그 레벨, 플래그 등)에만 사용하고, 자격 증명은 반드시 볼트에 저장하세요.

Apidog의 적용 예시

Apidog은 HashiCorp Vault, Azure Key Vault, AWS Secrets Manager와 기본적으로 통합됩니다. API 테스트시 자격 증명이 프로젝트 파일이나 환경 구성에 평문 저장되지 않고 런타임에 볼트에서 불러와 사용됩니다. 인증 템플릿과 실제 자격 증명을 분리하여, 민감 정보 노출 없이 팀 간 테스트 구성을 공유할 수 있습니다.

교훈 2: AI 도구의 OAuth 권한을 정기적으로 감사하세요

Vercel 침해의 시작점은 AI 도구의 단일 OAuth 권한이었습니다. 작은 도구라도 OAuth 접근 권한을 부여받으면 공격 표면이 됩니다.

실전 적용 방법

모든 OAuth 권한 부여를 인벤토리화

Google Workspace, GitHub, 기타 ID 공급자에서 현재 부여된 모든 OAuth 앱을 점검하고, 모르는 앱은 해지하세요.
분기별 감사 자동화

OAuth 권한은 시간이 지날수록 누적됩니다. 사용하지 않는 앱의 권한도 남아 있을 수 있으니, 정기적으로 리뷰하세요.
최소 권한 원칙 적용

AI 도구에 부여하는 OAuth 스코프는 최소 범위(필요 최소한, 가급적 읽기 전용)로 제한하세요. 관리자 권한은 절대적으로 필요한 경우에만 부여합니다.
비정상적 OAuth 동작 모니터링

Google Workspace 콘솔 등에서 타사 앱 접근을 모니터링하고, 신규 권한 부여나 이상 활동이 감지되면 알림을 받으세요.

AI 공급망 위험

AI 코딩 도우미·관측 도구·자동화 에이전트가 워크스페이스에 빠르게 추가되고 있습니다. 각 연결이 공격 표면을 확장하므로, 작은 도구라도 정기 점검이 필수입니다.

교훈 3: 모든 환경 변수를 기본적으로 민감하게 취급하세요

Vercel은 "민감" 플래그를 선택 옵션으로 제공했습니다. 이로 인해 체크박스 하나의 실수로 수많은 API 키가 노출되었습니다.

실전 적용 방법

기본적으로 암호화 활성화

플랫폼이 "민감" 토글을 지원한다면, 모든 환경 변수에 활성화하세요. 성능 영향은 미미합니다.
명확한 분류 규칙 도입

환경 변수 네이밍 규칙(예: SECRET_, CREDENTIAL_ 접두사)으로 비밀을 명확히 하세요.

# 구성 (비밀 아님)
LOG_LEVEL=info
REGION=us-east-1

# 자격 증명 (항상 암호화)
SECRET_DATABASE_URL=postgresql://...
SECRET_API_KEY=sk-...

CI 자동 검사 추가 KEY, SECRET, TOKEN, PASSWORD, CREDENTIAL 등이 포함됐으나 민감 플래그가 꺼진 변수를 감지하는 CI 스크립트를 추가하세요.

교훈 4: 자격 증명 순환을 자동화하세요

침해 후 Vercel 고객이 받은 첫 안내는 “모든 비민감 환경 변수를 즉시 순환하라”는 것이었습니다. 여러 서비스와 수백 개 API 키를 가진 팀에게 수동 순환은 어렵습니다.

실전 적용 방법

짧은 만료 기간 설정

API 키·토큰은 90일 이내(이상적으론 더 짧게) 만료되도록 하세요.
비밀 관리자 순환 자동화

AWS Secrets Manager, HashiCorp Vault 등에서 자동 순환 일정을 설정하세요.
배포 파이프라인에 순환 포함

새 버전 배포 시 자격 증명도 함께 자동 순환되도록 파이프라인을 설계하세요.
정기 순환 훈련

분기별로 실제 순환 훈련을 실시, 4시간 이내에 모든 프로덕션 자격 증명을 교체할 수 있는지 테스트하세요.

순환 체크리스트

침해 발생 시 순환 우선순위:

데이터베이스 자격 증명
외부 서비스 API 키
OAuth 클라이언트 비밀
웹훅 서명 키
배포 토큰
세션 서명 키

교훈 5: CI/CD 파이프라인을 API 공격 표면으로 보호하세요

CI/CD 파이프라인은 환경 변수와 비밀, 코드베이스, 배포 권한을 모두 다룹니다. 침해 시 내부 시스템 접근이 가능합니다.

실전 적용 방법

비밀 범위 제한

프로덕션 DB URL을 모든 CI 단계에서 사용할 수 있도록 하지 마세요. 필요한 파이프라인에만 제공하세요.
단기 자격 증명(OIDC 등) 사용

장기 API 키 대신 빌드 완료 후 만료되는 임시 토큰을 사용하세요. GitHub Actions는 AWS/Azure/GCP OIDC를 지원합니다.
접근 로그 감사

누가 언제 비밀에 접근했는지 추적하고, 비정상적 접근 패턴을 감지하세요.
CI 종속성 고정

액션 버전은 변경 가능한 태그가 아닌 특정 커밋 SHA로 고정하세요.

# 나쁜 예
- uses: actions/checkout@v4
# 좋은 예
- uses: actions/checkout@b4ffde65f46336ab88eb53be808477a3936bae11

빌드 환경 격리 각 빌드 후 파괴되는 임시 러너를 사용해 상태 축적 및 자격 증명 유출 위험을 최소화하세요.

Apidog의 CI/CD 보안 적용

Apidog CLI 도구는 파이프라인 구성에 비밀을 직접 포함하지 않고도 런타임에 볼트에서 자격 증명을 불러와 API 테스트를 실행합니다. 빌드 완료 후 자격 증명을 폐기할 수 있어, 테스트 자동화와 보안을 동시에 확보할 수 있습니다.

교훈 6: 기본적으로 보안이 활성화된 API를 구축하세요

보안 제어는 기본값으로 항상 켜져 있어야 하며, 예외적 상황에서만 비활성화해야 합니다.

실전 적용 방법

모든 엔드포인트 인증 요구

인증 없는 엔드포인트는 문서화된 특별한 예외로만 허용하세요.
기본 속도 제한 활성화

API 키당 분당 100회 등 보수적인 제한에서 시작해 필요시 증설하세요.
오류 응답 최소 정보화

내부 정보(스택 트레이스, DB 이름 등)는 로그에만 기록, API 응답에는 노출하지 마세요.
모든 입력 검증

유형, 길이, 범위, 형식 등 모든 파라미터를 유효성 검증하세요.
모든 인증 이벤트 기록

성공/실패 로그인, 토큰 갱신, 권한 변경 등 모두 감사 로그로 남기세요.

Apidog의 보안 스키마 설계

Apidog은 OAuth 2.0, JWT, mTLS 등 13가지 인증을 지원합니다. 보안 스키마를 프로젝트 단위로 정의 후, 엔드포인트 전체에 기본 적용할 수 있습니다. 엔드포인트 공개는 명시적으로만 가능합니다. mTLS 등도 인터페이스에서 직접 테스트할 수 있습니다.

교훈 7: 사고 대응 플레이북을 사전에 구축하세요

API 보안 가이드 대부분은 침해 발생 ‘후’ 대응에 대한 구체적 안내가 부족합니다. Vercel 침해 당시 많은 팀이 플레이북 없이 당황했습니다.

API 자격 증명 사고 대응 플레이북

1단계: 격리 (30분 이내)

노출 자격 증명 식별, 위험도 순으로 즉시 순환
모든 API 엔드포인트 강화 로깅, 공격자 IP/토큰 차단

2단계: 평가 (4시간 이내)

노출 기간 API 접근 로그 분석
무단 접근/데이터 유출 패턴 확인, 영향 범위 문서화

3단계: 복구 (24시간 이내)

잔여 자격 증명 순환
전체 세션 무효화 및 재인증 강제
타사 앱 OAuth 권한 재검토 및 해지
방화벽/IP 허용 목록 갱신, 취약점 패치

4단계: 소통 (48시간 이내)

영향받은 고객에게 구체적 사실 및 가이드 제공
API 소비자 대상 순환 절차 공유
사후 검토(post-mortem) 게시, 보안 문서 업데이트

Apidog으로 플레이북 테스트 자동화

테스트 시나리오를 통해 자격 증명 침해 시나리오를 시뮬레이션할 수 있습니다.

만료된 토큰이 401 반환 여부 테스트
순환된 API 키가 즉시 무효화되는지 검증
속도 제한이 무차별 공격에 정상 동작하는지 확인
오류 응답의 내부 정보 유출 여부 확인

이러한 테스트는 CI/CD 파이프라인의 자격 증명 순환 직후 실행하도록 자동화하세요.

실제 사용 사례

핀테크 API 플랫폼

결제 스타트업은 Vercel 침해 공개 후 3시간 만에 340개 API 키를 순환했습니다. AWS Secrets Manager 기반 순환 스크립트와 Apidog API 테스트로 각 키의 정상 작동을 실시간 검증, 가동 중단 없이 대응했습니다.

SaaS 협업 도구

프로젝트 관리 API 팀은 Vercel 노출 발표 후 암호화되지 않은 환경 변수가 17개임을 인지, 모든 자격 증명을 HashiCorp Vault로 마이그레이션하고, Apidog 테스트 시나리오와 CI 검사를 통해 암호화되지 않은 비밀 배포를 차단했습니다.

전자상거래 API 게이트웨이

OAuth 권한을 감사한 결과, GitHub 조직에 접근하는 AI 도구 12개 중 8개가 6개월 이상 미사용 상태임을 확인, 미사용 권한을 모두 해지하고 분기별 감사 주기를 도입했습니다.

결론

Vercel 침해는 예외적 사건이 아니라, 대부분의 API 워크플로우에서 흔히 볼 수 있는 패턴(평문 비밀, 누적 OAuth 권한, 선택적 보안 기본값 등)의 위험성을 보여줍니다. 아래 7가지 교훈은 모든 개발자가 즉시 적용할 수 있는 실천 가이드입니다.

핵심 요약:

저장 시에도 모든 비밀을 암호화
모든 OAuth 권한(특히 AI 도구) 정기 감사
모든 자격 증명에 기본적으로 “민감” 플래그 적용
자격 증명 순환 자동화
CI/CD 파이프라인을 공격 표면으로 인식 및 보호
기본적으로 인증 활성화된 API 설계
사고 대응 플레이북을 미리 작성

여러분의 API 자격 증명은 도구 체인에서 가장 약한 고리만큼만 안전합니다. Vercel 사건은 그 고리가 오래된 작은 AI 도구일 수 있음을 보여줍니다.

지금 바로 API 워크플로우 보안을 시작하세요.

Apidog을 통해 인증 방식 테스트, 비밀 관리자 연결, 보안 중심 테스트 시나리오를 한 번에 관리할 수 있습니다. 신용카드 정보 없이 시작 가능합니다.

자주 묻는 질문 (FAQ)

Vercel 2026년 4월 보안 사고는 무엇이었습니까?

Context.ai라는 타사 AI 도구의 OAuth 앱이 침해되어 Vercel 직원의 Google Workspace 계정이 탈취되었고, 암호화되지 않은 환경 변수까지 접근한 사건입니다.

Vercel 고객 API 키가 노출되었습니까?

“민감” 플래그가 꺼진 환경 변수(API 키, DB 자격 증명, 배포 토큰 등)가 노출됐습니다. “민감”으로 표시된(저장 시 암호화된) 변수는 노출되지 않았습니다.

Vercel 환경 변수가 암호화되었는지 어떻게 확인합니까?

Vercel 대시보드 → 프로젝트 설정 → 환경 변수에서 “민감”으로 표시된 변수만 저장 시 암호화됩니다. 플래그 없는 변수는 암호화되지 않았으니 즉시 순환하세요.

API 키를 안전하게 저장하는 가장 좋은 방법은 무엇입니까?

HashiCorp Vault, AWS Secrets Manager, Azure Key Vault 등 전용 비밀 관리자를 사용하세요. 이들은 저장 시 암호화, 자동 순환, 감사 로그를 지원합니다. API 키를 평문 환경 변수, Git, config 파일에 저장하지 마세요.

API 키는 얼마나 자주 순환해야 합니까?

최소 90일마다 순환하세요. 위험도가 높은 자격 증명(DB 암호, 결제 키 등)은 30일마다. 인프라/플랫폼 침해 등 보안 사고 발생 시 즉시 전면 순환해야 합니다.

OAuth 공급망 공격이란 무엇입니까?

OAuth 공급망 공격은 시스템과 연결된 타사 앱의 OAuth 권한을 노리는 공격입니다. 직접 시스템을 노리지 않고, 타사 앱을 침해해 기존 OAuth 권한으로 데이터에 접근합니다. Vercel 침해가 대표 사례입니다.

Apidog은 API 보안 테스트에 어떻게 도움이 됩니까?

Apidog은 13가지 인증, 주요 비밀 관리자와 통합, 보안 중심 테스트 시나리오 자동화(CI/CD 연동)로 토큰 만료·순환·속도 제한·오류 응답 등 다양한 보안 항목을 검증할 수 있습니다.

API 자격 증명 침해 후 가장 먼저 무엇을 해야 합니까?

가장 위험한 자격 증명(DB 암호, 결제 키, OAuth 비밀 등)을 즉시 순환하고, API 엔드포인트에 강화 로깅을 적용, 접근 로그를 분석하며, 플레이북에 따라 체계적으로 대응하세요.