웹 크롤링에 뚫린 '모두의창업'…"39개 국내IP로 시도"

중기부, 정보 유출 경과 및 보완 계획 발표

"8월 중순까지 공공정보시스템 수준될 것"

[서울=뉴시스] 조수정 기자 = 중소벤처기업부 장관 직무대행인 노용석 1차관이 31일 오전 서울 종로구 정부서울청사 별관에서 '모두의 창업' 프로젝트 정보유출 결과 및 향후 계획을 발표하고 있다. 2026.07.31. [email protected]

[서울=뉴시스]강은정 기자 = 중소벤처기업부(중기부)가 국정원과 '모두의 창업' 프로젝트 개인정보 유출 사고에 대해 조사한 결과, 국내 인터넷 프로토콜(IP) 39개가 비공개 정보에 접근을 시도한 것으로 파악됐다. 중기부는 보안 시스템을 강화하고 개인정보 관리 체계를 개선하면서 피해자 지원책을 이어가겠다고 31일 밝혔다.

중기부는 이날 서울 종로구 정부서울청사에서 열린 브리핑에서 이 같은 내용의 모두의 창업 정보 유출사고 조사 경과와 향후 보완 계획을 발표했다.

이번 사고는 지난달 15일 모두의 창업 플랫폼에 합격자 5000명의 프로필이 공개되면서 촉발됐다. 모두의 창업은 중기부가 추진 중인 대국민 창업 오디션으로, 1기 모집에서 총 6만2944명의 지원자가 몰려 정부 부처 창업·아이디어 공모전 사상 최대 기록을 경신했다. 당시 지원자들을 위한 인공지능(AI) 솔루션 업체가 비정상적인 API(애플리케이션 프로그래밍 인터페이스) 호출로 합격자들의 비공개 이메일 주소를 확보해 홍보 메일을 보낸 것으로 알려졌다.

이후 중기부와 국정원이 지난 5월 12일부터 축적된 모두의 창업 플랫폼의 시스템 로그를 합동 조사한 결과에 따르면 플랫폼 일부 API에 비공개 정보가 포함돼 있었는데, 웹 크롤링 등의 방법으로 API를 수집하면서 해당 비공개 정보가 유출된 것으로 파악됐다. 웹 크롤링은 자동화된 소프트웨어가 웹 사이트의 데이터를 탐색하고 수집하는 행위다.

비공개 정보가 암호화돼 있었지만 암호키도 함께 유출됐다고 중기부는 설명했다. 중기부가 확인한 유출 정보 범위는 모두의 창업 프로젝트 1기 합격자 5000명의 ▲이메일 주소 ▲심사 평 ▲200자 이내 창업 아이디어 요약본이다. 비공개 정보에 접근을 시도한 IP는 해외가 아닌 국내 IP 39개로 확인됐다.

중기부는 해결책으로 플랫폼 보안성 강화와 개인정보 관리 체계 개선을 내놨다. 정보 유출 원인과 플랫폼 전반에 관해 국정원에서 분석한 취약점과 외부 보안 전문 기업이 진단한 관리 체계 개선점을 반영한 것이다.

모두의 창업 플랫폼 API를 전면 점검했다. 비공개 정보 전송을 차단하고자 포함 정보를 최소화하고 불필요한 기능을 삭제했다. 데이터베이스를 보호하는 신규 암호화 솔루션을 도입하고, API에 대한 모든 접근을 시스템 로그로 기록하며 웹 크롤링 시도에 대한 차단 기능도 고도화했다.

또 개인정보 보유 및 파기 기준을 개선했다. 기존에는 일반회원과 신청자 모두 회원 탈퇴 후 5년간 개인정보를 보관했지만 일반회원은 탈퇴 즉시 폐기하도록 기준을 손봤다. 개인정보 관리 범위에 아이디어 신청서를 추가했고 허가된 최소 인원을 제외하고는 개인정보를 열람할 수 없도록 접근 권한을 강화했다.

아울러 지원자들의 창업 아이디어 유출 불안을 최소화하고자 보호 조치와 컨설팅을 지원하고 피해신고센터 운영을 시작했다.

중기부가 지난 1일 아이디어 보호 조치를 실시한 후 지금까지 영업비밀 원본증명 785명, 아이디어 임치 232명 등 약 1000명이 해당 서비스를 신청했다. 또 이달 13일부터 30일까지 17개 시도에서 개최한 아이디어 컨설팅 데이에 600여 명이 참석했다. 중기부는 추가 상담 요청자에 스타트업 원스톱 지원센터와 연계한 후속 지원을 이어갈 예정이다.

지난달 18일 운영을 개시한 피해신고센터에는 피해제보 50건, 유출확인 요청 9건을 비롯해 총 87건이 접수됐다. 중기부는 신청자 전원에게 개별 안내를 하고 아이디어 도용 의혹을 제기한 2건은 세부 조사를 진행했다. 신청자가 제출한 창업 아이디어와 유사한 아이템을 담은 사이트가 신설됐다는 제보였는데, 조사 결과 모두의 창업 시작 전에 이미 만들어진 사이트로 확인됐다.

중기부는 모두의 창업이 대국민 서비스로 신뢰성을 회복할 수 있도록 공공 정보시스템 수준의 절차 이행에 나선다. 다음 달 중순까지 국정원, 행정안전부, 과학기술정보통신부, 개인정보보호위원회와 협의해 공공 정보스시템에서 요구되는 행정절차들을 이행할 방침이다. 국정원과의 침해 대응 훈련을 지속적으로 추진하고 외부 보안관제 기업을 활용한 상시 보안점검 체계도 구축한다.


◎공감언론 뉴시스 [email protected]