노용석 중기부 1차관, 22일 '모두의 창업' 정보 유출 브리핑…"2기 출범 시점 조정"

노용석 중소벤처기업부 제1차관(왼쪽)이 6월22일 오후 정부서울청사에서 모두의 창업 프로젝트 관련 브리핑을 진행하고 있다. [사진=채성오기자]

[디지털데일리 채성오기자] 중소벤처기업부가 '모두의 창업' 플랫폼 정보 유출 사태와 관련해 비정상적인 API 호출을 통한 정보 유출 가능성을 제기했다. 중기부는 현재까지 9개 인터넷주소(IP)에서 비정상적인 API 호출 정황을 확인했으며, 해당 IP의 구체적 위치와 사업자 등에 대한 세부 조사를 진행 중이라고 밝혔다.

노용석 중기부 제1차관은 22일 정부서울청사에서 열린 브리핑 이후 취재진과의 질의응답에서 "권한이 없는 자가 권한이 있는 것처럼 시스템을 속여 데이터를 가져간 것으로 이해해 달라"며 "관련 기관에서는 해킹으로 본다는 입장을 들었지만 최종 판단은 조사 결과가 나와야 한다"고 설명했다.

한편 중기부는 앞서 지난 15일 발생한 모두의 창업 관련 아이디어 정보 유출로 인해 오는 7월로 예정했던 2기 프로젝트 출범 시점도 조정하기로 결정했다. 플랫폼 보안 보완과 신뢰 회복이 우선이라는 판단에서다. 다음은 노용석 중기부 제1차관 및 중기부와 취재진 간 주요 일문일답.

Q. 정보 유출 주체가 외부 공격자가 아니라 AI 솔루션 공급 참여업체라는 지적이 있다. 해당 업체 선정 과정에서 보안성 검토가 제대로 이뤄졌나.

A: AI 솔루션 공급업체 선정 과정은 AI와 소프트웨어 전문가 10명으로 구성된 전문가위원회를 통해 진행했다. 기술 품질, 범용성, 가격 등을 검토해 선정했다.

다만 해당 업체가 정보를 유출할 가능성까지 판단했느냐고 묻는다면 결과적으로 문제가 있었다고 본다. 현재 해당 업체는 공개된 이메일 주소만 사용했다고 주장하고 있어 현 단계에서 특정 업체를 정보 유출 주체라고 단정하기 어렵다. 이 부분은 수사와 조사가 진행 중이다.

Q. 지난 18일 보도설명자료에서 협력사 또는 공급업체 관련 사실관계를 충분히 밝히지 않은 것은 사건을 축소하려 한 것 아닌가.

A: 당시에나 지금도 특정 업체가 정보 유출 주체라고 확정해 말하기 어려운 상황이다. 해당 업체는 공개된 정보만 활용했다고 주장하고 있고 수사가 진행 중이기 때문이다.

다만 정보 유출 정황과 피해 가능성을 고려해 최대 5000명이 피해 대상이 될 수 있다고 보고 1차 합격자 전원에게 안내했다.

Q. 유출된 아이디어가 제3자에 의해 도용되거나 악용되는 것을 기술적으로 완벽히 차단할 수 있나.

A: 이미 유출된 정보가 어떻게 활용될지 100% 차단할 수 있느냐는 지적은 엄중하게 받아들이고 있다. 중기부는 우선 영업비밀 원본증명 등록을 통해 해당 아이디어가 도전자 본인의 것임을 입증할 수 있도록 지원한다.

사업자 등록을 한 경우에는 기술임치까지 무상 지원한다. 구체적 피해가 발생한 경우에는 피해 신고센터를 통해 접수하고 손해배상이나 손실보상 등 관련 절차에 따라 대응할 계획이다.

Q. 아이디어 요약뿐 아니라 심사평도 유출됐다. 이를 변형해 다음 사업에 지원하는 사례가 생길 수 있는데 어떻게 막을 것인가.

A: 심사평 유출에 대해서는 굉장히 엄중하게 인식하고 있다. 영업비밀 원본증명을 통해 해당 아이디어의 소유주를 분명하게 확인할 수 있도록 하겠다.

또한 1차 때 확보한 데이터베이스가 있는 만큼 2기에서 다소 변형된 형태로 유사 아이디어가 신청되는 경우 선별할 수 있는 심사 체계를 구축하겠다.

Q. 이번 유출은 정상적인 API 호출로도 정보가 노출된 것인가. 아니면 해킹인가.

A: 프론트엔드 화면에는 보이지 않는 정보가 백엔드에 존재한다. 정상적으로 권한이 있는 사용자가 요청하면 제공될 수 있지만 이번 사안은 권한이 없는 자가 권한이 있는 것처럼 AI 활용 툴 등을 통해 암호화된 정보를 가져간 것으로 보고 있다.

권한이 없는 자가 정보를 획득했다는 점에서 비정상적인 API 호출로 볼 수 있다. 관련 기관에서는 해킹 행위의 한 유형으로 본다는 입장을 들었지만, 최종 판단은 조사 결과를 봐야 한다.

Q. 비정상적인 API 호출이라고 판단한 근거는 무엇인가.

A: 이메일을 공개로 설정하지 않은 도전자에게도 연락이 간 사례가 있었다. 이 때문에 공개 정보만 활용한 정상적인 접근으로 보기 어렵다고 판단했다. 현재까지 9개 IP에서 비정상적인 API 호출이 확인됐고 구체적인 위치와 사업자 등에 대한 세부 조사가 진행 중이다.

Q. 지난 15일 오후 개인정보 접근 시도를 확인하고 18일 피해자에게 통보했다. 통보까지 시간이 걸린 이유는 무엇인가.

A: 개인정보보호법에 따라 개별 통보를 하려면 유출된 정보가 무엇인지, 대상자가 누구인지, 피해자가 어떤 절차를 통해 대응해야 하는지 등을 확인해야 한다.

유출 정보의 범위와 대상을 확정하고 피해 신고센터 등 대응 절차를 마련하는 데 시간이 필요했다. 법정 기한인 72시간 내 대상 확정이 어렵다고 판단해 최대 인원인 5000명 전원에게 안내했다.

Q. 지난 5월에도 보안 취약점 관련 제보가 있었던 것으로 알려졌다. 당시 중기부는 보고를 받았나.

A: 지난 5월 공개된 1만6000건의 한 줄 아이디어와 비공개인 8000여명의 팀원 정보가 노출됐다는 제보가 있었다.

당시 플랫폼 개발사가 즉시 차단 조치를 완료했지만 해당 제보와 조치 내용을 창업진흥원과 중기부에 보고하지 않았다. 개발사의 보고 누락 경위에 대해서는 법률 검토를 거쳐 엄정하게 책임을 묻겠다.

6월22일 정부서울청사에서 '모두의 창업' 프로젝트 정보유출 관련 브리핑이 진행되고 있다. [사진=채성오기자]

Q. 이번 사고가 5월 제보 때 지적된 취약점과 같은 구조에서 발생한 것인가.

A: 5월 당시 노출된 것은 한 줄 아이디어와 창업 팀원 정보였다. 한 줄 아이디어는 공개 자료였고 창업 팀원 정보는 비공개 자료였다.

그 부분에 대한 차단 조치는 이뤄졌으며 이번 유출 내용에는 해당 정보가 포함되지 않은 것으로 파악하고 있다. 다만 당시 조치 내용이 중기부와 창업진흥원에 보고되지 않은 점은 엄중하게 보고 있다.

Q. 사이트가 AI 코딩 도구인 클로드 코드로 구축돼 보안이 허술했다는 주장도 있다.

A: 일부 인터넷에서 그런 주장이 제기된 것으로 알고 있다. 개발사 측에 확인한 바로는 클로드를 통한 코드 작성은 하지 않았다고 답했다.

다만 이 부분 역시 조사 과정에서 확인될 사안이다. 어쨌든 유출 사고가 발생한 만큼 사이트 보안 점검과 감사가 미흡했다는 지적에 대해서는 과오를 인정하고 외부 업체를 통해 보안을 강화하겠다.

Q. 모두의 창업 2기 프로젝트는 예정대로 7월 초 진행되나.

A: 이번 정보 유출 사고의 가장 큰 문제는 정부에 대한 신뢰를 지켜드리지 못했다는 점이다. 해당 플랫폼에 대한 보안 보완을 통해 신뢰를 회복하는 것이 우선이다.

따라서 2기 출범 시점은 조정할 계획이다. 조정 폭은 조사 결과와 시스템 보안 일정에 따라 추후 설명하겠다.

Q. AI 솔루션 공급기업 일부가 제외된 이유는 무엇인가.

A: 현재는 본격적인 서비스 단계가 아니기 때문에 과다 홍보와 관련한 사유로 이해하면 된다. AI 솔루션 업체 참여 조건에는 과다 홍보 금지가 포함돼 있다. 정보 유출 혐의가 조사 결과 인정된다면 법률적 책임을 물을 예정이다.

Q. AI 솔루션 공급기업의 가격 변동 민원이 있었다. 실제 조치가 이뤄졌나.

A: 실제 가격 변동 사례가 있어 공지와 조치가 이뤄졌다. 정부 바우처 사업에서는 공급기업이 정부 사업을 이유로 가격을 부풀려 폭리를 취하는 사례가 있었고 이로 인한 기업 만족도 저하 등 문제가 확인된 바 있다. 모두의 창업도 설계 단계에서 기존 가격을 임의로 조정하지 않는 조건을 넣었다.

Q. 모두의 창업 TF가 포상금을 받은 것으로 알려졌다. 정보 유출 이후 변동이 있나.

A: 현재 최우선 과제는 5000명의 아이디어 보호와 시스템 보안 강화, 신뢰 회복이다. 다만 이번 사고가 발생한 경위와 책임은 철저히 조사할 예정이다. 조사 결과에 따라 모두의 창업 TF 포상이 적절했는지 여부도 판단하고 필요한 조치를 하겠다.

당시 포상은 기존 창업지원사업과 다른 새로운 접근을 시도했다는 점, 6만3000명 규모의 창업 생태계 반응을 얻었다는 점 등이 반영됐다. 단순히 지원자 수 때문만은 아니다.

Q. 창업진흥원 등 산하기관 전반의 보안 점검도 필요한 것 아닌가.

A: 모두의 창업 TF를 확대 개편하면서 사이버안보팀을 추가했다. 우선은 모두의 창업 플랫폼을 중심으로 점검하겠지만, 산하기관 전반의 사이버안보 문제도 집중적으로 점검하겠다. 중소벤처기업부 산하기관이 보유한 다양한 정보에 대해서도 재발 방지 차원의 대응책을 마련하겠다.

Copyright ⓒ 디지털데일리. 무단전재 및 재배포 금지