‘모두의 창업’ 또 개인정보 유출사고···중기부 “공급기업 선정 취소 등 추진”

이소영 중소벤처기업부 장관(가운데)이 지난 10월20일 서울 마포구 SVC에서 열린 모두의 창업 2기 출범식에서 기념촬영을 하고 있다. 연합뉴스

중소벤처기업부가 ‘모두의 창업’ 참가자 개인정보 유출 사고가 발생한 인공지능(AI) 서비스 공급업체에 대해 공급기업 선정 취소 등 제재를 추진한다. 다른 공급기업 49곳에 대한 긴급 보안점검과 함께 정부 지원사업 전반의 보안 관리도 강화한다. 지난 6월 1차 사고 이후 재발 방지를 약속했지만 약 5개월 만에 다시 참가자 정보가 유출되면서 우려가 커지고 있다.

중기부는 AI 법률문서 작성 서비스 ‘로폼’ 운영사 아미쿠스렉스에 대해 조만간 사업운영위원회를 열고 2차 모두의 창업 AI 솔루션 공급기업 선정 취소와 1년 이내 참여 제한 등 제재 여부를 심의하겠다고 15일 밝혔다. 심의 결과에 따라 로폼 서비스 제공이 중단되면 이용자에게 기능이 유사한 대체 서비스를 지원하고, 전환 과정에서 이용 공백을 겪은 참가자에게는 지원 기간을 한 달 연장한다. ‘스타트업 원스톱 지원센터’ 법률자문단을 통해 개인정보 유출 피해구제 절차와 신청 방법도 안내한다.

나머지 AI 공급기업 49곳에 대해서는 오는 20일까지 민간 보안 전문업체와 개인정보 보유 현황과 접근권한, 암호화, 사고 대응체계 등을 점검한다. 취약점의 심각성 등을 고려해 보완이 어렵다고 판단되면 선정 취소 등을 검토한다.

중기부 전체의 관리 체계도 손본다. 지원사업 계획·공고 단계부터 개인정보 제공 필요성을 사전 검토하고, 민간 공급기업 선정 평가에 개인정보 보안 전문가를 반드시 참여시키기로 했다. 정보보안 항목을 평가점수에 필수적으로 반영하고, 서비스 개시 전과 운영 중 보안 의무 이행을 점검·시정하는 절차도 지침에 넣는다. 제1차관을 팀장으로 하는 ‘정보보안 관리 태스크포스(TF)’를 구성해 부처 전 영역의 점검을 시작할 방침이다.

중기부에 따르면 아미쿠스렉스는 지난 11일 오전 5시38분 해킹 공격을 받았다. 같은 날 오전 8시30분 공격 정황을 포착했지만, 2차 모두의 창업 참가자 818명이 유출 대상에 포함된 사실은 12일 오후 3시에야 확인했다. 업체는 같은 날 오후 6시10분 창업진흥원에 사고를 보고했고, 피해자들에게는 13일 오후 3시 개별 통지했다. 전체 유출 피해자는 2만28명으로 이름과 연락처, e메일 주소 등이 유출됐다.

중기부는 2차 모두의 창업 참가자들의 시장 조사와 콘텐츠 제작, 서비스 개발 등을 지원하기 위해 AI 공급기업 50곳의 서비스 103개를 선정했다. 참가자들이 이용 과정에서 개인정보를 제공한 민간업체에서 이번 사고가 발생했다.

중기부는 지난 13일 유출 규모와 경위를 공개하고 14일에는 공식 플랫폼이 아닌 민간 공급기업에서 발생한 사고라는 점을 강조했다. 참가자들의 재발 방지와 피해 구제 요구가 이어지자 홈페이지에 사과문을 게시하고 후속 대책을 발표했다.

앞서 중기부는 지난 6월 공식 플랫폼에서 1차 합격자 5000명의 e메일 주소와 심사평, 창업 아이디어 요약 내용이 유출되자 7월 API 개선과 암호화 강화, 외부 전문기관의 보안 진단 등 재발 방지 대책을 내놨다.

이번 사고는 공식 플랫폼이 아닌 참가자 개인정보를 넘겨받은 민간기업에서 발생했다. 중기부는 지난달 공급기업 선정 당시 보안 수준도 평가했다고 밝혔지만 한 달 만에 사고가 발생했다. 공식 플랫폼 보완과 별개로 민간 공급기업의 보안 수준을 제대로 검증하고 관리했는지가 이번 TF의 핵심 점검 대상이 될 전망이다.