“API 보안 강화했다더니 또”…‘모두의 창업’ 5개월 만에 개인정보 유출

[헤럴드경제=정경수 기자] 정부의 창업 지원사업 ‘모두의 창업’에서 또다시 개인정보 유출 사고가 발생했다. 지난 6월 첫 사고 이후 정부가 응용프로그램 인터페이스(API) 보안을 강화하겠다고 밝혔지만, 이번에도 API 관련 취약점이 드러났다. 더욱이 사고가 발생한 곳은 정부의 보안 평가를 거쳐 선정된 민간 기업으로, 정부의 협력업체 관리체계에 허점이 있는 것 아니냐는 지적이 나온다.

13일 정보기술(IT) 업계와 한국인터넷진흥원(KISA) 등에 따르면 중소벤처기업부가 추진하는 ‘2차 모두의 창업’ 사업의 인공지능(AI) 솔루션 공급기업 아미쿠스렉스에서 지난 11일 외부 해킹 공격이 발생했다.

이번 사고로 해당 업체가 보유하던 이용자 2만28명의 개인정보가 유출됐다. 이 가운데 모두의 창업 프로젝트 참가자는 818명이다. 유출된 항목은 이름과 전화번호, 이메일 주소 등이다.

아미쿠스렉스는 기업의 법률문서 작성 등을 지원하는 AI 솔루션 ‘로폼’을 운영하는 업체다. 중기부는 창업 준비 과정에서 참가자들이 AI 서비스를 활용할 수 있도록 민간 솔루션 기업을 선정해 이용료를 지원하고 있다.

문제는 해킹 과정에서 확인된 보안 취약점이다.

아미쿠스렉스가 KISA 등에 제출한 침해사고 유출신고서에는 “관리자 페이지로부터 SQL 인젝션 공격으로 일부 정보 탈취 시도가 확인돼 조치 사항으로 취약한 API 코드 삭제를 진행했다”는 내용이 담겼다.

SQL 인젝션은 웹사이트나 애플리케이션에 악의적인 명령어를 입력해 데이터베이스에 비정상적으로 접근하는 공격 방식이다. 보안이 취약한 입력 처리 기능 등을 이용해 저장된 정보를 조회하거나 빼내는 데 악용될 수 있다.

업체 측은 공격 정황을 확인한 뒤 취약한 API 코드를 삭제하는 조치를 취했다. 이는 이번 사고에서도 외부 요청을 처리하는 시스템의 보안 문제가 드러났다는 의미다.

앞서 1차 모두의 창업에서도 API를 통한 개인정보 유출 사고가 발생했다.

당시에는 프로젝트 공식 플랫폼의 일부 API를 외부에서 호출하고 웹 크롤링 방식으로 정보를 수집할 수 있었던 것으로 조사됐다.

이 과정에서 1차 합격자 5000명의 이메일 주소와 심사평, 창업 아이디어 요약 등이 유출됐다. 암호화된 정보와 함께 암호를 해제할 수 있는 키까지 노출된 사실도 확인됐다.

중기부는 지난 7월 말 재발방지 대책을 발표하면서 개인정보 암호화 체계 강화와 API 접근 기록 관리, 크롤링 차단 기능 개선 등을 추진하겠다고 밝혔다.

그러나 약 5개월 만에 같은 사업의 참여업체에서 개인정보가 다시 유출되면서 대책의 실효성을 둘러싼 논란이 불거졌다.

다만 두 사고의 공격 방식과 피해 시스템은 다르다. 1차 사고는 정부 공식 플랫폼에서 비공개 정보가 외부 요청에 노출된 것이고, 이번에는 민간 기업이 자체적으로 운영하는 시스템에서 SQL 인젝션 공격 정황이 확인됐다.

이 때문에 정부가 공식 플랫폼의 보안을 보완하는 데 그치지 않고 사업 참여업체의 개인정보 관리 수준까지 확인했어야 한다는 지적이 나온다.

특히 이번 사고가 발생한 업체는 중기부의 사전 평가를 통과한 기업이다.

중기부는 지난달 12일 AI·소프트웨어 전문가로 구성된 평가위원회 심사를 거쳐 공급기업 50곳과 AI 솔루션 103개를 선정했다고 발표했다.

당시 평가위원들은 서비스를 직접 사용하면서 기술 수준과 가격 적정성뿐 아니라 보안 수준도 종합적으로 심사했다고 중기부는 설명했다.

하지만 선정 결과가 공개된 지 한 달 만에 참여업체에서 개인정보 유출 사고가 발생하면서 보안 평가가 실제 취약점까지 충분히 점검했는지 의문이 제기되고 있다.

사고 사실을 외부에 알리기까지 걸린 시간도 논란이다.

아미쿠스렉스의 신고서에 따르면 해킹 발생 시각은 지난 11일 오전 5시 38분이다. 업체는 같은 날 오전 8시 30분 사고를 인지했고, 오후 3시 45분 KISA에 신고했다.

그러나 중기부가 사고 사실을 공개한 시점은 13일 오후 5시 8분이었다.

해킹 발생부터 공개까지 약 59시간 30분, KISA 신고 이후로는 약 49시간 23분이 걸린 셈이다.

중기부는 사고를 뒤늦게 전달받았다는 입장이다. 중기부와 창업진흥원은 12일 오후 6시 10분 업체로부터 유출 사실을 통보받았다고 밝혔다.

업체는 사고 이후 해외 인터넷프로토콜(IP) 접속을 차단하는 등 보안 조치를 시행했으며, 13일 오후 3시 유출이 확인된 이용자들에게 관련 사실을 개별 통지했다.

중기부와 창업진흥원도 피해 참가자들에게 사고 경위와 유출된 정보의 종류를 안내하고, 문자메시지를 이용한 사기인 스미싱 등 추가 피해를 예방하도록 당부했다.

중기부는 이번 사고가 정부가 직접 운영하는 플랫폼에서 발생한 것은 아니라는 점을 강조했다.

중기부 관계자는 “이번 유출 사고가 발생한 시스템은 민간 기업에서 자체적으로 운영하는 것으로, 프로젝트 공식 플랫폼과 다르다”며 “중기부와 창진원은 12일 오후 6시10분에 해당 기업을 통해 개인정보 유출 사고를 전달받았으며, 추가 피해방지를 위해 노력하고 사고 경위 파악 등 필요한 조치를 해나가고 있다”고 설명했다.

정부는 다른 AI 솔루션 공급기업에도 자체 시스템의 보안 상태와 개인정보 관리 실태를 점검하도록 요청했다. 개인정보 접근 권한과 보유기간이 지난 정보의 파기 여부 등도 지속적으로 확인할 계획이다.

Google News 에서 헤럴드경제 팔로우