고전적 공격에도 속수무책…모두의창업은 왜 '해커 놀이터' 됐나 [추적+]

더스쿠프 심층취재 추적+
중기부 모두의창업 플랫폼 해킹
기본적인 보안 관리 부실 원인
API 호출 통한 해킹 고전적 수법
협력 업체 선정 과정서도 문제
정보보호 관리 체계 되짚어봐야

고도화한 해킹 수법에 뚫린 게 아니다. 기본적이면서도 고전적인 공격 방법에 당했다. '보안망'을 갖추지 못한 영세기업 이야기가 아니다. 중소벤처기업부의 창업 지원 사업 '모두의창업' 플랫폼에서 벌어진 일이다. 왜 정부는 해커의 놀이터로 전락한 걸까. 이를 막으려면 무엇부터 해야 할까.

한성숙 중기부 장관(6월 22일 당시)이 모두의창업 개인정보 유출 사고에 공식 사과하고 있다.[사진 | 연합뉴스]

"모두의창업 플랫폼 개인정보 유출로 걱정과 불편을 겪으신 이용자 여러분께 진심으로 사과드린다." 6월 22일 당시 한성숙 중소벤처기업부 장관이 사과의 메시지를 냈다. '모두의창업' 개인정보 유출 사고를 막지 못한 책임을 통감한 셈이다.

그는 "정부를 믿고 창업에 도전해 주신 여러분의 신뢰를 지켜드리지 못했다"며 "주무부처 장관으로서 깊이 송구하다"고 말했다. 하지만 '모두의창업' 해킹 사태는 사과 정도로 끝날 문제가 아니다. 기본적 보안망이 무너진 전형적인 사례이기 때문이다. 하나씩 살펴보자.

■ 정부 서비스 해킹 사태 = 중기부가 추진하는 대국민 창업 지원 사업 '모두의창업' 플랫폼에서 해킹 사고가 터진 건 6월 15일, 1차 합격자 5000명을 공개한 직후였다. 합격자의 이메일 주소와 창업 아이디어 요약, 심사평 등의 비공개 정보가 모조리 빠져나갔다.

놀랍게도 해킹은 모두의창업 협력업체의 소행이었다. '모두의창업'에 인공지능(AI) 솔루션을 공급하던 업체가 비정상적인 '앱 프로그래밍 인터페이스(API) 호출'을 통해 합격자 정보를 빼내 갔다. API 호출은 소프트웨어 간에 데이터와 기능을 주고받는 요청과 응답 과정을 말한다.

중기부는 18일 "총 9개의 IP가 비정상 호출을 꾀한 정황을 확인했다"며 "지금까지 합격자의 실명, 휴대전화번호, 도전 신청서의 상세 아이디어가 조회되거나 유출된 사례는 없다"고 밝혔다.

하지만 민간기업이 아닌 정부 서비스가 해킹당했다는 점에서 사태의 심각성이 작지 않다. 언급했듯 이번 사고가 기본적인 보안 관리 부실에서 발생했다는 점은 충격적이다. 황석진 동국대(국제정보보호대학원) 교수의 말을 들어보자. "API 호출은 첨단 해킹 기법이라기보단 권한 검증이 부실한 시스템을 노리는 고전적인 공격 수법이다. 접근 권한을 제대로 검증하고, 이상거래탐지시스템(FDS) 가동, 호출 로그 점검 등만 이뤄졌어도 상당 부분 예방할 수 있는 사고다."

■ 해킹 인지도 못한 정부 = 이번에 드러난 정부의 보안 허점은 이뿐만이 아니다. 중기부가 유출 사실을 외부 제보를 통해 인지했다는 점도 문제로 지적됐다. 중기부는 사고가 발생한 지 6시간이 흐른 6월 15일 오후 3시 플랫폼 게시판에 올라온 이용자 문의를 통해 비정상적인 접근 사실을 처음 인지했고, 1시간 더 흐른 오후 4시에 해당 접근 경로를 차단했다.

개인정보 유출 사과하는 노용석 중소벤처기업부 제1차관. [사진 | 연합뉴스]

합격자의 이메일로 AI 솔루션 업체의 홍보 메일이 발송됐다는 점도 다음날인 16일 이용자의 민원을 통해 파악했다. 합격자들에게 정보 유출 사실을 알린 것은 이틀이 더 지난 18일이었다.

아울러 협력업체를 선정하는 과정에서도 문제가 있었다는 사실이 밝혀졌다. 노용석 중기부 제1차관은 6월 22일 '모두의창업 현안 브리핑'에서 업체 선정 과정을 묻는 질문에 "AI 솔루션 업체는 품질이나 범용성, 가격 등을 검토했지만 해당 업체의 정보보호 수준 등은 충분히 검증하지 않은 것으로 알고 있다"며 "결과적으로 문제가 있었다고 생각한다"고 말했다.

■ 해커에게 농락당하는 정부 = 문제는 정부 시스템이 해킹당한 게 이번이 처음은 아니란 점이다. 2025년엔 정부 업무관리시스템 '온나라시스템'이 해킹당해 3년간 공무원 인증서 650여건이 유출됐다는 사실이 밝혀졌다.

그 원인으론 정부 원격접속시스템의 본인확인 인증체계가 미흡했단 점, 각 부처 전용 서버의 접근 통제가 미비했다는 점이 꼽혔다. 이런 빈틈을 간파한 해커는 온나라시스템의 인증 로직을 찾아내 복수기관에 유유히 접속하는 데 성공했다.

강은수 국회입법조사처 입법조사관은 "다수의 침해 사고는 AI·디지털 전환에 따른 해킹 기법 고도화에서 기인한다기보단 기본적인 정보보호 시스템을 관리하지 못한 탓에 발생한다"며 "형식에 치우친 정보보호 관리와 점검 체계의 구조적 한계를 되짚어봐야 한다"고 평가했다.

그렇다면 이런 보안 사고를 막으려면 무엇을 해야 할까. 전문가들은 사전 예방을 강화한 '제로트러스트 보안 모델(Zero trust security model)'을 도입해야 한다고 말한다. 제로트러스트란 '절대 신뢰하지 말고 항상 검증하라'는 사이버 보안 모델이다. 접근 요청이 발생했을 때 네트워크를 이미 침해된 것으로 간주하고 선제적으로 대응하는 식이다.

[사진 | 게티이미지뱅크]

제로트러스트의 필요성은 점점 커지고 있다. 지난해 12월 '쿠팡 사고 관련 국회 현안 질의'에서도 대형 해킹 사건을 막기 위해 제로트러스트로의 전환이 필요하다는 의견이 제기됐다. 이정헌 더불어민주당 의원은 "모든 접근 시도나 접근 요청을 의심하고 모든 상황에서 인증이 이뤄지도록 해야 한다"며 "제로트러스트와 같은 철저한 보안체계로의 전환이 없으면 이런 일들은 언제든지 반복될 수밖에 없다"고 지적했다.

문제는 제로트러스트가 아직 가이드라인 수준에 머물러 있다는 점이다. 이 때문에 공공 분야와 민간 영역에 제로트러스트 보안을 의무화해야 한다는 목소리도 나온다. 강은수 입법조사관은 "사이버 침해사고는 발생한 이후에는 피해 확산을 차단하거나 원상회복하기 어렵다는 점에서 사전 단계에서의 예방 체계 구축이 무엇보다 중요하다"며 "피해 예방과 재발 방지를 위해 제로트러스트 모델의 근거를 마련하는 법제화를 검토할 필요가 있다"고 제언했다.

조서영 더스쿠프 기자
syvho11@thescoop.co.kr