‘모두의 창업’ 합격자 정보 유출…참여 AI 업체가 비공개 정보 수집

중소벤처기업부(이하 중기부)가 추진하고 창업진흥원이 운영하는 ‘모두의 창업’에서 합격자의 이메일 주소와 창업 아이디어 요약, 심사평이 유출되는 사고가 발생했다. 사업에 참여한 인공지능(AI) 솔루션 업체가 비정상적인 애플리케이션 프로그래밍 인터페이스(API) 호출과 웹 크롤링으로 비공개 정보를 수집한 것으로 21일 확인됐다.

강승규 국민의힘 의원이 창업진흥원에서 제출받은 개인정보 유출신고서에 따르면, 해당 AI 업체는 지난 15일 오전 9시 모두의 창업 1기 합격자 프로필이 공개된 뒤 비정상적인 API 호출로 비공개 이메일 주소를 확보했다. 수집한 주소로 자사 서비스를 소개하는 홍보 메일도 보냈다.

API는 이용자 화면과 서버가 데이터를 주고받는 통로다. 합격자 이메일 주소는 외부 화면에 표시되지 않았지만 특정 API를 호출하면 서버에서 정보를 받아갈 수 있었던 것으로 조사됐다.

해당 업체는 웹페이지와 서버 응답에서 정보를 자동으로 수집하는 웹 크롤링도 이용했다. 서비스 화면에서는 정보 접근을 차단했지만 도전자 프로필과 심사평 등을 전달하는 일부 서버 API에는 충분한 접근 통제가 적용되지 않았다.

이번 사고는 외부 해커가 시스템에 침입한 일반적인 개인정보 유출 사고와는 다르다. 모두의 창업 참가자에게 AI 서비스를 제공하던 사업 참여 업체가 허용되지 않은 방식으로 정보를 가져갔다.

유출 정보는 이메일 주소와 창업 아이디어 요약, 심사평이다. 중기부는 9개 국내 인터넷 프로토콜(IP) 주소에서 비공개 정보에 접근한 사실을 확인했다.

합격자 실명과 휴대전화번호, 도전 신청서에 담긴 상세 사업 아이디어가 조회되거나 유출된 사례는 현재까지 확인되지 않았다. 합격자 5000명 가운데 3381명은 아이디어 요약 정보를 자발적으로 공개한 상태였다. 이번 사고에서 문제가 된 정보는 비공개로 설정한 이메일 주소와 아이디어 요약, 심사평이다.

창업진흥원은 합격자 5000명에게 유출 사실을 통지했다. 다만 참여 업체와 나머지 IP 주소에서 실제로 수집한 정보의 정확한 건수는 추가 조사가 필요하다는 입장이다.

창업진흥원은 지난 15일 오후 3시경 플랫폼에 올라온 이용자 문의를 통해 비공개 정보 접근 사실을 인지했다. 오후 4시께 해당 접근 경로를 차단했다. 이튿날인 16일 오전 11시경에는 공개하지 않은 이메일 주소로 AI 솔루션 업체의 홍보 메일을 받았다는 민원이 접수됐다. 창업진흥원은 이날 오후 6시 AI를 이용한 외부 자동 수집 시도를 차단하는 보안 기능을 추가했다. 해당 업체는 모두의 창업 AI 솔루션 공급 대상에서 제외했다.

창업진흥원은 18일 낮 12시 합격자 5000명에게 유출 사실을 개별 통지하고 플랫폼에 사과문을 게시했다. 같은 날 오후 1시 한국인터넷진흥원(KISA)에 개인정보 유출 사고를 신고했다. 사고를 인지한 시점부터 신고까지 약 70시간이 걸렸다.

창업진흥원은 이용자가 자신의 정보 유출 여부를 확인할 수 있는 기능을 마련하고 피해 접수 창구를 운영할 계획이다. 국가사이버안보센터 등 외부 기관과 유출 경로와 추가 정보 수집 여부도 조사하고 있다. 모두의 창업은 창업 아이디어를 가진 국민을 선발해 사업화를 지원하는 정부 창업 인재 육성 사업이다. 중기부가 추진하고 산하 기관인 창업진흥원이 플랫폼을 운영한다.

중기부는 지난 3월 26일부터 5월 15일까지 참가자를 모집했다. 약 6만3000명이 지원했으며 일반·기술 분야 4000명과 지역 자원을 활용하는 로컬 분야 1000명 등 5000명을 1차로 선발했다. 선발된 참가자는 창업 활동자금 200만원과 선배 창업자 멘토링, AI 솔루션, 규제 검토 등을 지원받는다. 이후 오디션을 거쳐 사업화 자금과 후속 투자 연계 등의 지원 대상자를 선발한다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network