중기부, '모두의창업' 정보유출 원인…“API에 암호키까지 노출”

노용석 중소벤처기업부 장관 직무대행 겸 제1차관이 31일 서울 종로구 정부서울청사 별관에서 모두의 창업 프로젝트 정보유출 경과 및 향후 계획에 대해 브리핑한 뒤 질문받고 있다. [사진=연합뉴스]

중소벤처기업부가 '모두의 창업 프로젝트' 정보 유출 사고의 원인을 공식 공개하고 플랫폼 운영 체계를 전면 개편한다. API(응용프로그램 인터페이스)에 비공개 정보뿐 아니라 암호키까지 함께 포함되면서 웹 크롤링을 통한 정보 유출이 가능했던 것으로 확인됐다.

노용석 중기부 장관 직무대행 겸 1차관은 31일 정부서울청사에서 브리핑을 열고 국정원과 합동 조사한 결과 “일부 API에 비공개 정보가 포함됐고 웹 크롤링 과정에서 해당 정보가 수집됐으며, 암호화된 데이터와 함께 암호키도 노출돼 복호화가 가능했다”고 밝혔다.

조사 결과 유출된 정보는 프로젝트 합격자 5000명의 이메일 주소와 심사평, 200자 이내 창업 아이디어 요약본 등 3가지로 확인됐다. 5월 12일부터 축적된 시스템 로그를 분석한 결과 추가적인 정보 유출 정황은 발견되지 않았다.

국정원은 비공개 정보가 포함된 API에 총 39개의 국내 IP가 접근을 시도한 사실도 확인했다. 중기부는 현재 경찰이 해당 IP와 AI 솔루션 업체 연관성 등을 수사하고 있다고 설명했다.

중기부는 이번 사고를 계기로 플랫폼 보안 구조를 전면 손질했다. 플랫폼 전반의 API를 재점검해 포함 정보를 최소화하고 불필요한 기능을 삭제했으며, 데이터베이스에는 신규 암호화 솔루션을 도입했다. API 접근 기록을 모두 남기고 웹 크롤링을 차단하는 기능도 강화했다.

개인정보 관리체계도 바뀐다. 일반 회원은 탈퇴 즉시 개인정보를 파기하고, 프로젝트 신청자는 신청일 기준으로 5년간 보관하도록 기준을 변경했다. 또 창업 아이디어 신청서를 개인정보에 준하는 중요 정보로 관리하고 관리자 권한도 업무별로 세분화해 최소 인원만 열람할 수 있도록 했다.

피해 구제도 확대했다. 현재까지 영업비밀 원본증명 785건, 아이디어 임치 232건 등 약 1000건의 아이디어 보호를 지원했고, 전국 17개 시·도에서 아이디어 컨설팅을 진행해 약 600명이 참여했다. 지난 6월 개설한 피해신고센터에는 총 87건이 접수됐으며, 아이디어 도용 의혹이 제기된 2건은 별도 조사 결과 기존에 관련 서비스가 존재했던 것으로 확인돼 종결됐다.

중기부는 앞으로 플랫폼을 공공 정보시스템 수준으로 관리하기 위해 국정원 보안성 검토와 행정안전부 사전협의, 개인정보보호위원회 개인정보 영향평가, 과학기술정보통신부 소프트웨어 영향평가 등을 8월 중순까지 완료할 계획이다.

이번 사고의 구체적인 배경도 공개됐다. 중기부는 합격자 프로필을 공개하는 기능을 구현하기 위해 데이터베이스의 정보를 API로 옮기는 과정에서 비공개 정보가 함께 포함됐다고 설명했다. 암호화는 적용됐지만 암호키까지 함께 노출되면서 정보 복호화가 가능해졌다는 것이다.

중기부는 플랫폼 운영사 교체 계획은 없다고 밝혔다. 노 차관은 “운영사를 변경하면 플랫폼을 처음부터 다시 설계해야 해 5개월 이상이 소요될 수 있다”며 “외부 보안 전문기업과 함께 보완 작업을 진행한 뒤 8월 중순 보안 조치가 완료되면 2기 프로젝트를 최대한 신속히 시작할 계획”이라고 말했다.

박두호 기자 walnut_park@etnews.com