'가입자 192만명' 노란우산까지…중기업계 잇단 정보유출

[서울=뉴시스]강은정 기자 = 최근 중소기업계에서 보안 사고가 잇달아 터지면서 현장 불안이 커지고 있다. 전문가들은 인공지능(AI) 기술 발달로 누구나 해킹을 할 수 있는 시대가 된 만큼, 사전 예방과 후속 대처의 중요성을 강조했다.

14일 관가 등에 따르면 중소벤처기업부(중기부)의 2차 '모두의창업' 프로젝트에 참여한 AI 솔루션 공급기업 중 한 곳인 '아미쿠스렉스'에서 총 2만28명의 개인정보가 유출됐고, 이 중 2차 모두의창업 참가자 818명이 포함된 것으로 확인됐다.

중기부는 2차 모두의창업 참가자들의 아이디어 검증과 사업화를 돕고자 AI 솔루션 지원 프로그램을 운영하고 있다.

2차 모두의창업의 경우 AI·소프트웨어(SW) 기술 전문가로 구성된 평가위원회의 개인정보 보안 여부, 기술·가격 적정성 등 심사를 거쳐 AI 솔루션 공급기업 50개사의 103개 솔루션을 선정했다. 이 같은 검증 절차는 1차 모두의창업 합격자 5000명의 개인정보가 유출되는 사고가 있은 후 중기부가 내놓은 보안 강화 조치 중 하나다.
 
이번 개인정보 유출 사고가 발생한 시스템은 중기부 공식 플랫폼이 아닌 민간기업의 자체 운영 시스템이다.

AI 솔루션 지원 프로그램은 외부 공급기업이 업체별 시스템에서 AI 솔루션을 제공하면, 중기부가 참가자에 솔루션 이용료를 지급하는 식으로 진행된다. 참가자들은 각자 선택한 AI 솔루션 계정 발급에 필요한 개인정보의 제3자 제공에 동의한 뒤 서비스를 이용해 왔다.

AI 기반의 법률 문서 작성 플랫폼 '로폼'을 운영 중인 아미쿠스렉스는 지난 12일 오후 6시 10분 창업진흥원에 개인정보 유출 사실을 신고했다. 중기부가 밝힌 유출 정보는 AI 솔루션 이용자의 ▲이름 ▲전화번호 ▲이메일 주소다.

아미쿠스렉스는 사고 직후 해외 인터넷 주소(IP) 접속 차단 등 기술적 보안 조치를 했고, 유출이 확인된 이용자에게 전날 오후 5시 유출 사실을 개별 통지한 것으로 알려졌다.

이와 별도로 중기부와 창업진흥원은 모두의창업 참가자에게 사고 경위 및 유출 항목, 스미싱 같은 2차 피해 예방 방법을 안내했다. 또 다른 AI 솔루션 공급기업에도 유사 사고 예방을 위한 보안 상태와 관리 실태 점검을 요청했다.

중기부는 "피해 방지를 위해 노력하고 전체 AI 솔루션 공급기업을 대상으로 개인정보 접근 권한 관리, 보유기간 경과 후 파기 여부 등 개인정보 보호조치 이행 실태를 지속 점검 및 관리하겠다"고 말했다.

이날 중소기업중앙회(중기중앙회)의 노란우산에서도 개인정보 유출 가능성이 제기됐다.

중기중앙회는 공지문을 올리고 "지난 11일 외부 비인가자의 노란우산 홈페이지에 대한 비정상적인 접근이 있었다"며 "노란우산 일부 고객 개인정보의 제3자 조회 의심 정황을 확인했다"고 밝혔다.

노란우산은 중기중앙회가 2007년부터 운영 중인 소기업·소상공인을 위한 공제제도로 누적 가입자 수는 341만명, 부금액은 34조원을 돌파했다. 지난 9월 기준 재적 가입자는 192만1053명이다.

중기중앙회가 공개한 조회 가능성이 있는 개인정보의 항목은 ▲성명 ▲주민등록번호 앞 7자리 ▲휴대전화 번호 ▲자택 주소 ▲자택 전화번호 ▲이메일 주소 ▲문자메시지·이메일 수신 동의 여부 등 7가지다.

중기중앙회는 "공격에 이용된 인터넷 주소(IP)를 차단하고 해당 조회 화면에 대한 접근 통제를 강화했다"며 "한국인터넷진흥원(KISA)에 침해사고를 신고했으며 관계 기관의 조사에 성실히 협조하겠다"고 말했다.

주민등록번호 뒷자리는 복호화할 수 없는 암호화 방식으로 관리하고 있고, 고객마다 유출 가능성있는 개인정보 항목이 다르다고 중기중앙회는 설명했다. 중기중앙회는 이날 오후 2시 15분 개인정보 유출 가능성이 있는 고객에 개별 문자를 발송했다.

중기중앙회는 "문의 및 피해 접수를 위해 대응 창구를 운영하고, 피해 발생 시 사실 확인을 한 뒤 관계 법령에 따라 신속히 피해 구제 절차를 진행하겠다"며 "개별 문자를 받지 않은 고객은 현재까지 확인된 조회 의심 대상에 포함돼 있지 않다"고 했다. 또 피해 예방을 위해 중기중앙회나 노란우산 관계자를 사칭한 연락에 응하지 말 것과 출처가 불분명한 문자메시지 또는 이메일 링크 접속을 하지 말 것을 당부했다.

중기중앙회는 "이번 사안을 매우 엄중하게 받아들이고 있으며 실제 조회 여부와 피해 범위를 신속히 확인하겠다"며 "재발 방지를 위해 필요한 조치를 다하겠다"고 전했다.

이처럼 보안 사고가 연달아 발생하자 온라인 커뮤니티 중심으로 불안감이 확산하고 있다.

중기부 모두의창업 플랫폼의 문의사항에는 '기사보고 문의드립니다. 개인정보 유출', '피해자는 진실을 알 권리가 있습니다' 등의 글이 올라오고 있다.

모두의창업 2차 1라운드 참여자라고 자신을 소개한 한 작성자는 "정부가 운영하는 사업이라 신뢰하고 정보를 제출했는데 개인정보 유출 사고까지 발생했다. 그 과정에서 발생한 위험과 손실은 누가 책임지냐"며 철저한 후속 조사를 요구했다.

자영업자 커뮤니티인 '아프니까 사장이다'에도 '노란우산 가입 한 달 차인데 해지도 못 하고 이게 뭐냐', '노란우산 개인정보 털렸다. 내 정보는 하도 여기저기서 털어가서 1원도 안 할 듯'라는 글이 작성됐다.

전문가들은 개인정보 유출 사고 후 예방 대책과 강화된 후속 조치 수립이 중요하다고 말했다.

임종인 고려대 정보보호대학원 교수는 "지금은 특별한 해킹 기술이 없는 사람도 해킹이 가능한 시대"라며 "해킹을 완벽하게 막을 순 없지만 사전 예방과 재발 방지가 매우 중요하다"고 했다.

임 교수는 "해킹을 당했을 때 불가항력적인 사유였는지 아니면 태만으로 생긴 것인지를 확실하게 확인하고, 태만의 경우라면 그에 상응하는 제재를 해야 할 것"이라고 덧붙였다.


◎공감언론 뉴시스 [email protected]