1차 프로젝트와 마찬가지로 API 노린 해킹
발생 이틀 후 알려…늑장 공개 논란도
중기부 “공식 플랫폼 아닌 민간 기업서 발생”

중소벤처기업부의 대국민 창업 지원 프로젝트인 2차 ‘모두의 창업’에서 800명 넘는 개인정보 유출 정황이 확인된 가운데 1차 프로젝트와 마찬가지로 취약한 응용 프로그램 인터페이스(API)를 노린 해킹 공격에 당한 것으로 파악됐다. 중기부가 지난 7월 유출 사태 이후 재발 방지를 공언했지만, 보안 취약점이 또다시 노출됐다.

사진=로이터연합뉴스

13일 정보기술(IT) 업계와 한국인터넷진흥원(KISA) 등에 따르면 해킹 사고가 발생한 AI 솔루션 업체인 아미쿠스렉스는 “관리자 페이지로부터 SQL 인젝션 공격으로 일부 정보 탈취 시도가 확인돼 조치 사항으로 취약한 API 코드 삭제를 진행했다”고 밝혔다.

2차 프로젝트의 AI 솔루션 공급기업인 아미쿠스렉스는 11일 오전 8시30분 자체 시스템에서 외부 해킹 공격 정황을 포착했다. AI 솔루션 업체는 참가자들이 창업 아이디어를 구체적으로 발전시킬 수 있도록 다양한 AI 이용을 지원하는 역할을 한다. 

이 회사가 보유하고 있던 2만28명의 개인정보가 유출됐는데, 2차 ‘모두의 창업’ 참가자 818명도 여기에 포함된 것으로 나타났다. 유출 정보는 이용자 이름, 전화번호, 이메일 주소다. 아미쿠스렉스는 사고 직후 해외 인터넷 프로토콜(IP) 접속 차단 등 기술적 보안조치를 시행했고, 이날 오후 3시에 유출이 확인된 이용자에게 유출 사실을 통지했다. 

‘모두의 창업’에서 개인정보가 유출된 건 이번이 처음이 아니다. 지난 6월 1차 프로젝트 때도 ‘모두의 창업’ 플랫폼을 통해 프로젝트 합격자 5000명의 이메일 주소와 심사평, 창업 아이디어 요약 등의 정보가 유출됐다. 당시 중기부와 창업진흥원은 특정 API 호출과 웹 크롤링 등을 통해 취득이 가능했으며, 도전자 프로필과 심사평 등 일부 서버 API의 보안이 미흡했다고 밝힌 바 있다.

재발 방지를 위해 ‘API 전면 개선’ 등 후속 대책도 내놓았으나 5개월 만에 동일한 취약점을 노린 유출 사고가 발생했다. 이번 해킹 피해 대상이 프로젝트에 참여한 업체라는 점이 1차 당시와 다르지만, 중기부의 부실한 관리 체계와 재발 방지 대책 실효성이 도마 위에 오르게 됐다.

솔루션 기업 선정을 위한 평가가 제대로 이뤄졌는지에 대한 의문도 제기된다. 중기부는 지난달 AI·소프트웨어(SW) 기술 전문가로 구성된 평가위원회를 통해 솔루션 기업 50곳을 선정했다. 기술과 보안 등을 종합적으로 평가했다고 밝혔으나, 이들 업체 중 한 곳에서 유출 사고가 발생했기 때문이다.

중기부의 늑장 공개 논란도 제기되고 있다. 아미쿠스렉스에서 유출사고가 발생한 시점은 11일 오전 5시38분, 인지 시점은 같은 날 오전 8시30분, 신고 시점은 같은 날 오후 3시45분으로 파악됐다. 그러나 중기부는 사고 발생 이틀이 지난 이날 오후 5시8분에야 이 같은 사실을 외부에 공개했다. 

중기부는 “이번 유출 사고가 발생한 시스템은 민간 기업에서 자체적으로 운영하는 것으로, 프로젝트 공식 플랫폼과 다르다”며 “중기부와 창진원은 12일 오후 6시10분에 해당 기업을 통해 개인정보 유출 사고를 전달받았으며, 추가 피해방지를 위해 노력하고 사고 경위 파악 등 필요한 조치를 해나가고 있다”고 설명했다.

구윤모 기자 [e-mail]