‘모두의 창업’ 프로젝트 합격자 개인정보 유출 사고 당시 일부 API(응용 프로그램 인터페이스)에서 암호화된 비공개 정보뿐 아니라 암호키가 함께 유출되면서 복호화가 가능했던 것으로 확인됐다.

노용석 중소벤처기업부 1차관(장관 직무대행)은 31일 서울 종로구 정부서울청사에서 ‘모두의 창업 프로젝트 정보 유출 경과 및 향후 계획’ 브리핑을 열고 이같이 밝혔다. 중기부는 지난달 18일 정보 유출 신고 이후 국가정보원과 합동으로 정보 유출 경위 등을 조사했다.

조사 결과 모두의 창업 플랫폼 내 일부 API에 비공개 정보가 포함돼 있었다. 이 정보는 외부 주체의 웹 크롤링 등을 통한 API 수집 과정에서 유출됐다. 해당 정보는 암호화돼 있었으나, 암호키가 함께 유출되면서 복호화가 가능했다. 프로젝트 합격자 5000명의 이메일 주소, 심사평, 200자 내 창업 아이디어 요약본 외에 추가적인 정보 유출 정황은 확인되지 않았다. 노 차관은 “암호키는 별도 관리돼야 하지만, API 내에 암호키까지 같이 있었다”며 “확인된 보안 취약점과 개인정보 관리체계 개선사항들은 7월 중 전면 조치를 완료했다”고 말했다.

비공개 정보가 포함된 API에는 총 39개의 국내 IP가 접근을 시도했다. 세부 IP 내역, 인공지능(AI) 솔루션 업체 연관성 등은 경찰청에서 수사를 진행하고 있다.

중기부는 이번 사고 이후 API에 포함된 정보를 최소화하고, 신규 암호화 솔루션을 도입했다. 웹 크롤링 시도에 대한 차단 기능도 강화했다.

플랫폼 전반의 개인정보 관리체계도 개선했다. 개인정보 열람 권한을 축소해 허가된 최소 인원을 제외한 기타 관리자는 열람할 수 없도록 했다. 회원 탈퇴 후 5년간 보관하던 개인정보를 일반회원은 탈퇴 즉시, 모두의 창업 신청자는 신청일로부터 5년간 보관 후 각각 파기하는 것으로 세분화했다. 개인정보 범위에 ‘아이디어 신청서’도 포함해 개인정보에 준하는 수준으로 관리한다.

중기부는 ‘영업비밀 원본증명’ 785명과 ‘아이디어 임치’ 232명 등 1000명 이상을 대상으로 아이디어 보호 지원 조치를 시행했다. 지난달 18일 이후 피해신고센터에는 피해제보 50건, 유출확인요청 9건, 책임 요구 11건, 아이디어 보호 요청 8건 등 총 87건이 접수됐다. 이 중 아이디어 도용 의혹을 제기한 2건은 전문기관을 통해 세부조사를 진행했지만 사실이 아닌 것으로 파악됐다.

중기부는 국정원, 행정안전부, 개인정보보호위원회, 과학기술정보통신부 등과 협의해 민관 협력 형태인 모두의 창업 플랫폼을 공공정보시스템 수준으로 구축하는 작업을 다음달 중순까지 완료할 계획이다. 노 차관은 “보안 강화 조치를 차질 없이 이행해 모두의 창업 플랫폼을 국민이 다시 신뢰할 수 있는 창업 도전의 통합 창구로 만들겠다”고 밝혔다.

한편 개인정보 유출 사고로 연기된 모두의 창업 2기 모집은 이르면 다음달 진행한다. 노 차관은 “모두의 창업 2기 신청 개시 시점은 8월 말이나 9월 초”라고 밝혔다. 2기 선발 인원은 1기의 2배인 1만명 규모다.