정부가 ‘모두의 창업’ 프로젝트 1기 합격자의 개인정보를 암호화해 저장하면서 이를 해독할 수 있는 암호키도 같은 공간에 보관한 것으로 드러났다. 자물쇠와 열쇠를 함께 둔 셈이다. 중소벤처기업부는 1기 합격자의 정보 유출 사고가 났는데도 기존 플랫폼 운영업체를 2기 때도 그대로 유지하기로 했다.

뻥 뚫린 모두의창업…암호키마저 다 털렸다
노용석 중기부 1차관은 31일 정부서울청사에서 기자브리핑을 열어 지난 6월 발생한 모두의 창업 프로젝트 1기 개인정보 유출 사고의 조사 결과와 재발 방지 대책을 발표했다. 조사 결과 이번 개인정보 유출 대상자는 1기 합격자 5000명으로, 이들의 비공개 정보인 이메일 주소, 심사평, 200자 이내 창업 아이디어 요약본이 밖으로 빠져나갔다. 모두의 창업 플랫폼 응용프로그램인터페이스(API)에 포함된 비공개 정보를 웹 크롤링(웹 페이지 데이터 추출) 방식으로 수집하면서 개인정보가 유출된 것으로 조사됐다. 비공개 정보 접근을 시도한 IP는 국내 39개다. 노 차관은 “세부 IP 내역, AI 솔루션 업체 연관성 등은 경찰청이 수사 중”이라고 밝혔다.

허술한 보안 설계가 사고 원인으로 지목됐다. 플랫폼 운영사는 API에 포함된 비공개 정보를 암호화하면서 이를 풀 수 있는 암호키도 함께 보관했다. 유출된 개인정보는 애초 보안 수준이 높은 네이버클라우드에 저장돼 있었지만, 중기부가 프로젝트 흥행과 홍보를 위해 합격자 프로필 기능 등을 제공하기로 하면서 이를 API로 옮겼다. 강현정 중기부 청년정책과장은 “애초에 합격자 프로필을 만들지 않았다면 이번과 같은 정보 유출은 발생하지 않았을 것”이라고 했다.

중기부는 API에 포함되는 정보를 최소화하고 개인정보 열람 권한도 최소 인원으로 제한할 방침이다. 로그인한 뒤 본인 인증을 거쳐야만 관련 정보를 조회할 수 있도록 시스템을 개편하기로 했다. 플랫폼 일반회원은 탈퇴 즉시 개인정보를 파기하는 등 개인정보 보관 기준도 손질한다. 피해자 보호를 위해 영업비밀 원본증명과 아이디어 임치 등 아이디어 보호 지원도 계속할 계획이다.

문제는 모두의 창업 2기를 이르면 8월 같은 플랫폼에서 모집한다는 점이다. 플랫폼 운영사를 교체하려면 최소 5개월 이상 걸리는데 2기 사업은 추가경정예산으로 편성됐기 때문에 올해 예산을 집행해야 한다는 이유에서다.

이광식 기자 bumeran@hankyung.com