'모두의 창업' 홍보하다 뚫렸다…5천명 아이디어 유출

정부가 '모두의 창업' 프로젝트 합격자를 홍보하기 위해 대외 공개용 프로필을 만드는 과정에서 합격자 5천명의 이메일 주소와 심사평, 창업 아이디어가 외부에 유출된 것으로 드러났다.

당초 해당 정보는 안전한 클라우드에 암호화돼 보관돼 있엇지만, 합격자 프로필 제작을 위해 '응용프로그램 인터페이스'(API)로 불러오면서 새로운 유출 경로가 만들어졌다. API가 권한 없는 외부 호출에도 정보를 내주는 구조로 설계된 데다, 암호키까지 API 안에 함께 들어 있어 암호화 조치도 사실상 무력화됐다.

프로필 만들겠다며 비공개 정보 API로…암호키 포함돼 '참사'중소벤처기업부 장관 직무대행을 맡고 있는 노용석 1차관은 31일 정부서울청사 별관에서 브리핑을 열고 '모두의 창업' 정보 유출 사태에 대한 국가정보원과의 합동 조사 결과와 후속 조치를 발표했다.

조사 결과 모두의 창업 플랫폼 내 일부 API에 비공개 정보가 포함돼 있었던 것으로 나타났다. 외부 주체가 웹 크롤링 등의 방식으로 API를 호출해 합격자 5천명의 이메일 주소와 심사평, 200자 이내 창업 아이디어 요약본을 수집한 것으로 조사됐다.

비공개 정보가 포함된 API에 접근을 시도한 국내 IP는 모두 39개로 확인됐다. 세부 IP 내역과 특정 AI 솔루션 업체와의 연관성 등에 대해서는 경찰이 수사 중이다.

유출된 정보는 암호화돼 있었지만 암호를 해제할 수 있는 암호키까지 API 안에 소스코드 형태로 함께 올라가 있었던 것으로 확인됐다. 암호화된 정보와 암호키를 분리해 관리해야 한다는 기본적인 보안 원칙이 지켜지지 않은 것이다.

노 차관은 "해당 정보들은 암호화되어 있었으나, 암호키가 함께 유출되면서 복호화가 가능했던 것으로 확인됐다"고 설명했다.

문제는 해당 비공개 정보가 당초 보안이 유지되는 클라우드에 보관돼 있었지만, 중기부가 합격자 5천명의 홍보용 프로필을 만드는 과정에서 API로 넘어갔다는 점이다. 이후 이 API가 정보 열람 권한이 없는 외부 요청에도 정상적인 호출인 것처럼 응답했다.

노 차관은 "합격자 5천명을 발표하면서 프로필을 별도로 만들어 공개했고, 이를 만드는 데 필요한 정보들이 API로 옮겨졌다"며 "클라우드 자체는 안전했지만 일부 정보가 API로 넘어갔고, 권한이 없는 자의 호출에 API가 응답한 것이 문제였다"고 설명했다.

그러면서 "프로필을 만들지 않았다면 정보 유출이 없었을 수 있지만 대외 홍보를 위해 의욕적으로 했던 부분이 있다"고 말했다. 합격자를 홍보하겠다며 안전한 곳에 있던 정보를 외부와 연결되는 API로 불러왔고, 이 과정에서 유출 통로가 만들어진 셈이다.

사고 업체 그대로…현장수요·추경 이유로 2기 연내 추진
중기부는 이번 사고가 발생한 플랫폼 개발·운영 업체를 교체하지 않기로 했다.

노 차관은 "현 단계에서 플랫폼 업체를 교체하면 모두의 창업 프로젝트 2기 준비 과정이 너무 오래 소요된다"며 "플랫폼을 처음부터 다시 설계해야 해 5개월 이상 걸릴 수 있다"고 말했다.

보안 사고가 발생한 플랫폼과 업체를 그대로 둔 채 사업을 서둘러 재개하는 것 아니냐는 지적에 대해선 현장 수요와 예산 문제를 이유로 들었다.

노 차관은 "전국 17개 시·도에서 간담회를 진행한 결과 2기를 빨리 진행해 달라는 수요가 높았다"며 "2기 프로젝트는 추경을 통해 진행되는 사업으로, 같은 회계연도 안에 예산을 집행해야 한다"고 설명했다.

다만 중기부는 국정원 및 외부 보안관제 전문기업과 플랫폼 안전성을 지속적으로 점검하는 보안 협력체계를 구축하겠다는 입장이다. 기존 플랫폼 개발업체와 외부 보안 전문업체가 함께 보완 작업을 진행하고, 향후에는 개발업체와 별도의 보안관제 업체가 상시 점검을 맡도록 할 방침이다.

앞서 해당 플랫폼은 민간의 창의성과 자율성을 최대한 활용한다는 취지로 민간 재원을 활용한 민관협력 형태로 구축됐다. 이 과정에서 공공 정보시스템에 요구되는 보안·행정 절차를 사전에 거치지 않은 것으로 나타났다.

노 차관은 "당초 민간의 자율성과 창의성을 최대한 활용한다는 기획 아래 민간 업체가 플랫폼을 설계했다"며 "이후 유관 부처에서 공공 플랫폼에 해당한다는 유권해석이 있어 관련 보완 절차를 사후적으로 진행하고 있다"고 말했다.

아이디어 보호 1천명 지원…보안 절차 마친 뒤 2기 모집중기부는 유출 사고에 따른 피해를 줄이기 위해 영업비밀 원본증명과 아이디어 임치 등 창업 아이디어 보호조치를 지원하고 있다.

이번 유출 사고와 관련해 피해신고센터에는 모두 87건이 접수됐다. 피해 제보가 50건으로 가장 많았고 책임 요구 11건, 유출 확인 요청 9건, 아이디어 보호 요청 8건, 기타 9건 등이 뒤를 이었다.

유출된 아이디어가 실제로 도용됐다는 의혹도 2건 제기됐다. 다만 전문기관의 조사 결과 관련 사이트들은 모두 '모두의 창업' 프로젝트 시작 이전에 만들어진 것으로 확인됐다.

중기부는 향후 발생할 수 있는 아이디어 도용 분쟁에 대비해 합격자 약 1천명에게 영업비밀 원본증명과 아이디어 임치를 지원했다. 영업비밀 원본증명 지원자는 785명, 아이디어 임치 지원자는 232명이다.

노 차관은 "영업비밀 원본증명은 아이디어의 제출 시점과 원본 내용을 입증해, 이후 유사 아이디어가 일부 변형돼 사용됐는지를 판단하는 근거가 될 수 있다"며 "실제 유출이나 도용이 확인되면 아이디어·기술 임치와 행정조사 등 후속 지원도 연계하겠다"고 말했다.

중기부는 이와 함께 국정원 보안성 검토와 행정안전부 사전협의, 개인정보보호위원회 개인정보 영향평가, 과학기술정보통신부 소프트웨어 영향평가 등 공공 정보시스템에 요구되는 절차를 오는 8월 중순까지 마칠 계획이다.

보안 보완 절차가 완료되면 2기 모집에 나선다. 중기부는 2기 선발 절차를 1기보다 간소화하고 지역·권역별 라운드를 통합해 사업을 최대한 연내에 마무리한다는 방침이다. ...