이소영 중소벤처기업부 장관(가운데)이 지난달 20일 서울 마포구 SVC에서 열린 모두의 창업 2기 출범식에서 기념촬영을 하고 있다. 연합뉴스

중소벤처기업부가 주관하는 ‘2차 모두의창업’에서 개인정보 유출 사고가 1차 프로젝트와 마찬가지로 취약한 응용 프로그램 인터페이스(API)를 노린 해킹 공격으로 비롯된 것으로 파악됐다.

중기부는 지난 7월 1차 사고 이후 재발 방지를 위해 API를 전면 개선하고 참여 업체 선정 기준을 강화했다고 밝혔지만, 보안 약점이 여전히 노출된 셈이다.

13일 IT업계 등에 따르면 해킹 사고가 발생한 AI 솔루션 업체인 아미쿠스렉스는 “관리자 페이지로부터 SQL 인젝션 공격으로 일부 정보 탈취 시도가 확인돼 조치 사항으로 취약한 API 코드 삭제를 진행했다”고 이번 ‘침해사고 유출신고서’에 적었다.

중기부와 창업진흥원은 1차 프로젝트의 개인정보 유출사고 당시 특정 API 호출과 웹 크롤링 등을 통해 취득이 가능했으며, 도전자 프로필과 심사평 등 일부 서버 API의 보안이 미흡했다고 밝혔다.

중기부가 1차 사고의 후속 대책을 발표하면서 ‘API 전면 개선’을 공언했음에도 또다시 API의 취약점이 드러난 것이다.

공격받은 서버가 1차는 모두의 창업 플랫폼이고, 2차는 프로젝트에 참여한 업체라는 점은 다르지만, 동일한 취약점을 노린 유출사고라는 점에서 보안 대책이 실효성이 있었느냐는 지적이 나온다.

특히 중기부가 지난달에 AI·소프트웨어(SW) 기술 전문가로 구성된 평가위원회를 통해 기술과 보안 등을 종합적으로 평가해 솔루션 기업 50곳을 선정했다고 밝힌 지 한 달 만에 이들 업체 중 한 곳에서 사고가 발생했다는 점도 당시 선정 과정이 제대로 이뤄졌는지에 대한 의문이 제기된다. 사고가 발생한 지 이틀이 넘게 지나서야 중기부가 이를 공개한 것을 두고도 뒷말이 나온다.

아미쿠스렉스가 제출한 유출신고서를 보면 유출사고 발생 시점은 11일 오전 5시 38분이고, 인지 시점은 같은 날 오전 8시 30분이다. 신고 시점은 같은 날 오후 3시 45분이다.

그러나 중기부는 사고 60시간 만이자, KISA에 신고가 접수된 지 49시간 만인 13일 오후 5시 8분에서야 이런 사실을 외부에 공개했다.

김승주 고려대 정보보호대학원 교수는 “1차 사고 당시 각 부처가 함께 전수조사에 나선 지 몇 달 만에 사고가 났다는 건 정부 전체의 보안 관리체계가 문제가 있다는 방증”이라며 “모두의 창업 플랫폼과 참여 업체 등에 대한 점검이 제대로 이뤄졌는지, 관리 시스템상 문제가 있는지 확인할 필요가 있다”고 말했다.