L'autorité sud-coréenne de protection des données personnelles (PIPC) a émis des recommandations aux entreprises pour prévenir les fuites de données personnelles via les interfaces de programmation applicative (API), dont l'utilisation est en pleine expansion.

Cette mise en garde fait suite à plusieurs incidents de sécurité où des failles dans la gestion des autorisations d'API ont permis des fuites massives d'informations. Les manquements observés incluent des API ne vérifiant que l'état de connexion sans contrôler les droits d'accès spécifiques aux données, ou incluant dans leurs réponses des informations non nécessaires au service. Ces vulnérabilités ont conduit à des violations, comme la fuite des données de 37 000 000 de personnes (nom, adresse, courriel, téléphone, date de naissance) par un accès anormal, la transmission non intentionnelle du numéro de téléphone de 135 000 utilisateurs à un système tiers, ou encore l'accès à des données client via une ancienne API non sécurisée qui était restée active.

La commission préconise une approche structurée autour de trois axes principaux. Premièrement, le respect du principe de minimisation des données dès la phase de conception, en excluant des réponses des API toute donnée non indispensable et en limitant les requêtes de masse. Deuxièmement, une gestion rigoureuse des autorisations basée sur le principe du moindre privilège, en attribuant des droits différenciés selon le type d'utilisateur et en bloquant par défaut toute requête non authentifiée ou non autorisée. Troisièmement, une surveillance continue des API en service, incluant la tenue d'un inventaire à jour, la suppression des API obsolètes, la révocation des clés d'accès inutilisées et la détection des activités suspectes via l'analyse des journaux de connexion. Les entreprises utilisant des API tierces sont également tenues de vérifier les données reçues et de supprimer toute information personnelle non pertinente.