혁신 키운다더니 아이디어 털렸다 ‘모두의 창업’ 5000명 정보 유출

핵심 요약

중소벤처기업부와 창업진흥원이 운영하는 '모두의 창업' 플랫폼에서 비인가 접근을 통해 1차 합격자 5000명의 개인정보 및 아이디어가 유출되는 사고가 발생했습니다. 이번 사고는 플랫폼에 대한 비인가 접근(Initial Access(TA0001))을 통해 개인정보가 무단으로 수집된 것으로, 이는 시스템의 접근 통제(A01:2021 – Broken Access Control) 또는 인증(A07:2021 – Identification and Authentication Failures) 메커니즘에 심각한 취약점이 존재했음을 시사합니다. 특히 특정 AI 솔루션 업체의 홍보 메일 발송으로 발각된 점은 유출된 정보가 실제 악용되었음을 보여줍니다. IT 감사인은 공공기관 및 관련 서비스 제공자의 개인정보 처리 시스템에 대한 접근 통제, 인증 체계, 그리고 침해 사고 탐지 및 대응 절차의 적절성을 중점적으로 점검하여 유사 사고 재발 방지 및 법규 준수 여부를 확인해야 합니다.

💡 개선 권고안

• ✔기술적 조치개인정보 처리 시스템에 대한 접근 통제 및 인증 메커니즘을 강화하고, 비인가 접근 시도를 탐지하고 차단할 수 있는 보안 솔루션(예: WAF, IPS)을 도입 및 운영할 것을 권고함.
• ✔기술적 조치개인정보를 포함하는 데이터베이스 및 파일 시스템에 대한 접근 권한을 최소 권한 원칙(Least Privilege)에 따라 재검토하고, 불필요한 접근 권한을 제거할 것을 권고함.
• ✔관리적 조치개인정보 유출 사고 발생 시 정보주체 통지 및 관계 기관 신고 절차를 포함한 침해 사고 대응 계획(CSIRT)을 재정비하고, 모의 훈련을 통해 실효성을 검증 및 강화할 것을 권고함.
• ✔관리적 조치개인정보 처리 시스템에 대한 정기적인 취약점 점검 및 모의 해킹을 수행하고, 발견된 취약점에 대한 조치 이력을 철저히 관리하며, 보안 감사 절차를 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문