"'모두의창업' 정보유출 원인, API 암호키 노출로 확인"

31일 서울청사 별관서 '모두의창업' 유출 경과 발표

1000명 아이디어 보호, 피해신고센터 총 87건 접수

노용석 중소벤처기업부 장관 직무대행이 31일 서울 종로구 정부서울청사에서 '모두의 창업 프로젝트' 관련 브리핑을 하고 있다. [사진=중소벤처기업부]

정부의 역점 사업인 ‘모두의 창업’ 프로젝트에서 발생한 개인정보 및 창업 아이디어 유출 사고의 결정적 원인이 데이터 복호화에 필요한 '암호키 노출'이었던 것으로 확인됐다. 데이터를 암호화해 보관했음에도 이를 푸는 열쇠까지 외부 수집 경로에 노출되면서 합격자 5000명의 민감 정보가 뚫린 것이다.

노용석 중소벤처기업부 제1차관(장관 직무대행)은 31일 정부서울청사에서 브리핑을 열고 국정원·개인정보보호위원회 등과의 조사 결과를 바탕으로 한 유출 경과 및 재발 방지 대책을 발표했다. 

정부 조사 결과에 따르면, 이번 사고는 모두의 창업 플랫폼 내 일부 API(응용프로그램 인터페이스)에 비공개 정보가 포함됐고, 해당 정보가 외부 주체의 웹 크롤링 등을 통한 API 수집 과정에서 유출되면서 발생했다.

문제는 보안의 핵심인 암호화 체계가 무력화됐다는 점이다. 유출된 데이터 자체는 암호화되어 있었으나, API 수집 과정에서 데이터를 복호화할 수 있는 ‘암호키’가 함께 유출되면서 외부에서 정보를 그대로 열람할 수 있었던 것으로 드러났다.

유출된 정보는 모두의 창업 합격자 5000명의 이메일 주소, 심사평, 200자 이내 창업 아이디어 요약 등 3가지 항목이다. 

비공개 정보가 포함된 API에는 총 39개의 국내 IP가 접근을 시도한 것으로 확인됐으며, 경찰은 6월 22일 수사 의뢰에 따라 세부 IP 내역과 AI 솔루션 업체 간 연관성, 유출 목적 등을 수사 중에 있다.  

중기부는 사고 직후 ‘모두의 창업 TF’를 가동하고 도전자 피해 구제와 플랫폼 보안성 강화에 나섰다.우선 아이디어 도용 우려를 해소하기 위해 7월 1일부터 아이디어 보호 조치 신청을 받은 결과, ‘영업비밀 원본증명’ 785명, ‘아이디어 임치’ 232명 등 총 1000여 명의 아이디어 보호를 지원했다.

영업비밀 원본증명은 신규 등록부터 3년 연장 및 발급비(5만 원)를 제공하고, 아이디어 임치는 3년 내 기술 고도화 시 기술임치(30만 원)까지 무상 지원한다. 피해신고센터에는 총 87건(피해 제보 50건, 유출 확인 요청 9건 등)이 접수됐으며, 7월 8일 이후 추가 접수는 없는 상태다.

보안 체계도 대수술을 거쳤다. 플랫폼 데이터베이스를 보호하는 신규 암호화 솔루션을 도입하고, 민감 정보 접근 권한을 최상위 최소 인원으로 제한했다. 조치 이후에는 회원가입 후 로그인을 거쳐야만 주요 정보를 확인할 수 있도록 전환했다. 

다만 플랫폼 운영사 교체 요구에 대해 중기부는 “운영사를 교체하지 않는다”고 선을 그었다. 플랫폼 업체를 교체할 경우 시스템을 처음부터 다시 구축해야 해 2기 사업 준비 기간이 지연된다는 이유에서다. 

노용석 차관은 2기 일정에 대해 국정원의 보안성 검토 등이 끝나는 8월 중순 이후 진행하겠다는 입장을 전했다.

노용석 차관은 "전국 17개 시·도 간담회 현장에서 프로젝트를 빠르게 재개해 달라는 강한 수요를 확인했고, 이번 사업은 추가경정예산(추경)으로 진행되는 프로젝트기 때문에 예산 구조상 해를 넘겨 이월할 수 없다"며 "차질 없이 2기 사업을 추진하겠다”고 말했다.