중기부 “모두의 창업 플랫폼 API에 암호키 함께 포함”…정보유출 경위 공개

중소벤처기업부가 ‘모두의 창업 플랫폼’ 정보 유출 사고 당시 일부 응용프로그램 인터페이스에 비공개 정보와 암호키가 함께 포함돼 있었다고 밝혔다. 중기부는 플랫폼 보안 절차를 공공정보시스템 수준으로 강화하고 보완 조치가 끝나는 대로 2기 모집을 추진할 방침이다.

중기부는 31일 정부세종청사에서 브리핑을 열고 국가정보원과 합동으로 조사한 정보 유출 경위와 피해 구제 방안 등을 발표했다. 브리핑은 노용석 중기부 장관 직무대행 1차관이 맡았다.


노용석 차관은 “대규모 정보 유출로 심려를 끼쳐 드린 점에 다시 한번 사과드린다”며 “6월 20일 브리핑 이후 진행된 조사 결과와 조치 경과를 설명하겠다”고 말했다.

중기부에 따르면 모두의 창업 플랫폼 일부 API에는 외부에 공개돼서는 안 되는 정보가 포함돼 있었다. 외부 주체가 웹 크롤링 등의 방식으로 API 정보를 수집하는 과정에서 해당 정보가 유출된 것으로 조사됐다. 정보는 암호화돼 있었지만 암호키도 API에 소스코드 형태로 함께 포함돼 복호화가 가능했던 것으로 확인됐다.

유출된 정보는 모두의 창업 프로젝트 합격자 5,000명의 이메일 주소와 심사평, 200자 이내 창업 아이디어 요약본이다. 중기부는 이들 세 가지 외에 추가 정보가 유출된 정황은 확인하지 못했다고 밝혔다. 비공개 정보에 접근을 시도한 국내 IP는 39개였으며 접근 주체와 목적 등은 경찰이 수사하고 있다.

노 차관은 합격자 프로필을 제작하는 과정에서 데이터베이스 정보 일부가 API로 옮겨왔다고 설명했다. 그는 “프로젝트의 대외 홍보를 위해 합격자 프로필을 만들었지만 보여지지 않아야 할 정보까지 포함돼 있었던 것은 맞다”고 말했다. 내부 공모 가능성에 대해서는 “현재까지 확인된 구조상 내부 공모가 있어야만 접근할 수 있었던 것은 아니라고 본다”고 밝혔다.

중기부는 플랫폼 API를 전면 점검해 포함 정보를 최소화하고 불필요한 기능을 삭제했다. 신규 암호화 솔루션을 도입하고 API 접근 기록과 웹 크롤링 탐지·차단 기능도 강화했다. 개인정보 접근 권한은 업무별로 세분화해 허가된 최소 인원만 관련 정보를 열람하도록 했다.

개인정보 보유 기준도 바꿨다. 일반회원 정보는 탈퇴 즉시 파기한다. 모두의 창업 신청자 정보는 신청일을 기준으로 5년간 보관한 뒤 파기한다. 창업 아이디어 신청서는 법률상 개인정보와 별개지만 개인정보에 준하는 중요 정보로 관리하기로 했다.

피해 구제 조치에는 합격자 약 1,000명이 참여했다. 영업비밀 원본증명 지원자는 785명이며 아이디어 임치 지원자는 232명이다. 전국 17개 시·도에서 열린 아이디어 컨설팅에는 약 600명이 참석했다. 피해신고센터에는 87건이 접수됐으며 아이디어 도용 의혹이 제기된 2건은 별도 조사를 거쳤다.

중기부는 국정원 보안성 검토와 행정안전부 사전 협의, 개인정보 영향평가, 소프트웨어 영향평가 등을 8월 중순까지 이행할 계획이다. 기존 플랫폼 운영사는 올해까지 유지한다. 노 차관은 “운영사를 교체하면 플랫폼 설계부터 다시 진행해야 해 5개월 이상 걸릴 수 있다”며 “보완 조치를 마친 뒤 2기 모집을 시작해 연내 사업을 마무리하도록 노력하겠다”고 말했다.