개인정보에 '암호키'도 유출…중기부, '모두의 창업' 보안 강화

프로젝트 합격자 5천 명의 개인정보와 창업 아이디어 등이 유출된 모두의 창업 플랫폼 API(응용 프로그램 인터페이스)에 대해 총 39개의 국내 IP가 비정상적인 접근을 시도한 것으로 확인됐습니다.

해당 API에는 암호키도 분리 조치 없이 함께 보관돼 각종 개인정보뿐만 아니라 암호키도 함께 유출된 것으로 파악됐습니다.

중기부는 31일 정부서울청사에서 노용석 제1차관 주재로 '모두의 창업 프로젝트 정보 유출 경과 및 향후 계획' 브리핑을 열고 이같이 밝혔습니다.

그간 중기부는 모두의 창업 유출의 원인과 플랫폼 전반의 시스템을 두고 국가정보원이 분석한 보안 취약점과 외부 보안 전문기업이 진단한 개인정보 관리체계 개선점을 토대로 전면 개편을 진행했습니다.

조사 결과, 비공개 정보가 포함된 API에는 총 39개의 국내 IP가 접근을 시도한 것으로 확인됐습니다.

이 때문에 모두의 창업 합격자 5천 명의 이메일 주소와 심사평, 창업 아이디어 요약 등이 외부로 흘러 나갔습니다.

유출된 정보들은 암호화됐지만, 소스코드 형태로 담겼던 암호키가 함께 유출되면서 읽을 수 있는 평문 상태로 되돌리는 '복호화'가 가능했던 것으로 확인됐습니다.

세부 IP 내용과 인공지능(AI) 솔루션 업체 연관성 등은 경찰청에서 수사를 진행하고 있는 상태입니다.

중기부는 이러한 문제점을 개선하고자 API에 담을 수 있는 정보를 최소화하고, 신규 프로그램을 구축할 때마다 보안 전문 업체에서 추가 검증하는 단계를 거치기로 했습니다.

또 데이터베이스를 보호하는 신규 암호화 솔루션을 도입해 개인정보 암호화 체계를 강화하는 한편, API에 대한 모든 접근을 시스템 로그로 기록하고, 웹 크롤링 시도에 대한 차단 기능을 고도화하기로 했습니다.

'웹 크롤링'은 인공지능(AI) 기반의 자동 수집 기능으로, 이번 유출 사고를 벌인 업체가 사용한 수법입니다.

노 차관은 이날 브리핑에서 "암호키는 별도 관리돼야 되는 게 맞지만, API 내에 암호키까지 같이 있었다"며 "확인된 보안 취약점과 개인정보 관리체계 개선사항들은 7월 중 전면 조치를 완료했으며, 각 개선 조치는 외부 보안 전문기관이 검증하며 객관성을 확보해가고 있다"고 설명했습니다.

개인정보 보관 기한이 통상 기준보다 길고, 수집되는 종류도 과도하다고 지적받은 개인정보 관리체계도 손봅니다.

먼저 현재 '회원 탈퇴 후 5년간' 보관하던 개인정보를 가입자의 유형에 따라 구분해 관리하도록 기준을 정비합니다.

이에 따라 일반회원의 경우 회원을 탈퇴하는 즉시 보관됐던 개인정보가 파기됩니다.

특히 개인정보 관리 범위에 '아이디어 신청서'를 포함해 창업 아이디어를 개인정보에 준하는 중요 정보로 관리합니다.

개인정보 등 민감 정보에 대한 접근 권한을 재설계해 허가받은 최소 인원을 제외한 기타 관리자는 개인정보 열람할 수 없도록 했습니다.

이밖에 창업 아이디어 유출에 대한 불안을 호소하는 이용자를 위해 아이디어 보호 조치와 컨설팅을 지원하고, 피해신고센터도 운영합니다.

중기부는 모두의 창업에 대한 신뢰성을 확보하기 위해 국정원과 행정안전부, 개인정보보호위원회 등 관계 부처와 협의해 공공 정보시스템에 요구되는 행정절차를 다음 달 중순까지 이행할 계획입니다.

노 차관은 "보안 강화 조치를 차질 없이 이행해 '모두의 창업 플랫폼'을 국민분들께서 다시 신뢰할 수 있는 창업 도전의 통합 창구로 만들어 가겠다"고 강조했습니다.

(사진=연합뉴스)