'모두의 창업' 정보 유출 사고…프로젝트 참여 기업 해킹이었다

강승규 공개 자료…프로젝트 동참한 민간 기업의 해킹
"무리한 사업 추진 안 돼…관리 체계 전반 재점검해야"

국무총리 후보자인 한성숙 중소벤처기업부 장관이 지난 16일 마포구 SVC 서울에서 열린 모두의 창업 1기 출범식에서 인사말을 하고 있다. 연합뉴스

합격자 수천 명의 개인정보와 창업 아이디어가 노출된 중소벤처기업부의 '모두의 창업' 유출 사고는 프로젝트 지원기업으로 참여한 업체의 해킹 때문인 것으로 확인됐다.

21일 국회 산업통상자원중소벤처기업위원회 강승규 국민의힘 의원은 중기부 산하 창업진흥원으로부터 제출받은 '개인정보 유출신고서' 내용을 공개했다.

창진원은 사고 시점과 구체적 경위에 대해 '지난 15일 오전 9시 프로젝트에 참여한 AI 솔루션 업체가 비정상적인 API(응용 프로그램 인터페이스) 호출로 비공개된 이메일 주소를 확보했고 해당 메일로 홍보 메일을 발송했다'고 명시했다.

특히 외부 화면상에는 나타나지 않도록 비공개 설정된 이메일 주소였으나, 해당 업체가 특정한 API를 호출하고 인공지능(AI) 기반의 자동 수집 기법인 '웹 크롤링'을 동원해 이를 취득할 수 있었던 것으로 조사됐다고 서술했다.

외부 해킹 조직이 불법적인 루트로 개인정보 서버를 침투하는 일반적인 보안 사고와 다르게 이번 사태는 프로젝트 파트너로 동참한 민간 기업이 해킹을 감행한 주체가 된 셈이다. 이 AI 솔루션 업체는 참가자들이 창업 아이디어를 구체화할 수 있도록 여러 AI 활용 기술을 지원하는 역할을 수행해 왔다.

서비스 화면 자체에서는 관련 정보에 접근할 수 없도록 차단 조치가 돼 있었지만, 도전자 프로필과 심사평 등이 저장된 일부 서버 API의 보안 관리가 허술했다는 것이 창진원 측의 설명이다.

창진원은 피해 최소화 대책으로 이용자가 직접 개인정보 유출 여부를 조회할 수 있는 기능을 홈페이지에 구축하고, 추가적인 조치를 위해 피해 접수 전담 창구를 개설해 안내하겠다고 전했다.

또한 프로젝트 선정자 전원인 5천 명에게 문자메시지로 유출 사실을 공지했으며, 상급 기관에도 개인정보 유출 신고를 완료했다고 기록했다.

창진원은 이번에 유출된 항목은 비공개 처리됐던 이메일을 비롯해 심사평, 아이디어 요약서 등이다. 다만 명확한 유출 규모에 대해서는 추가적인 조사가 필요하다고 덧붙였다.

앞서 중기부가 해명한 내용에 대해서 이번 유출신고서의 주요 부분이 누락됐다는 지적도 나왔다. 중기부는 유출 사고가 수면 위로 드러난 지난 18일 오후 1시 30분에 보도설명자료를 내고 "비공개 이메일로 AI 솔루션 업체의 홍보 메일을 수신했다는 플랫폼 이용자의 민원이 접수됐다"는 사실은 언급했다. 그러나 솔루션 업체로 참여한 기업이 해킹 업체라는 점은 공개하지 않았다.

그러나 이보다 10여분 전인 같은 날 오후 1시 19분에 개인정보보호위원회에 제출한 유출신고서에는 'AI 솔루션 업체가 비공개 이메일 주소를 확보해 홍보 메일을 발송했다'고 명시했다.

이에 더해 유출 시점인 '15일 오전 9시'가 프로젝트 합격자 5천명의 개인 프로필이 공개된 직후라는 점을 근거로 들며, 이런 일정을 미리 인지한 참여 업체가 계획적으로 해킹했다는 의혹도 나오고 있다. 

중기부는 이번 사태와 관련해 오는 22일 노용석 제1차관이 직접 나서 '모두의 창업 진행 현황 및 향후 운영 방향'을 주제로 공식 브리핑을 진행할 예정이다.

강 의원은 "모두의 창업 AI 솔루션 업체에 포함돼 있던 기업으로부터 이런 개인정보 유출 사고가 발생한 것으로 보인다"며 "국회 예산안 심의 당시 존재하지도 않던 사업을 무리하게 추진할 게 아니라, 중기부는 허술한 사업 관리 체계 전반에 대한 재점검을 실시해야 한다"고 강조했다.

김미지 기자 unknown@kyeonggi.com