오픈소스 '미토스' 취약점 48시간 만에 12개 기관 연쇄 침해, 47만 건 유출

2026년 8월, 오픈소스 라이브러리 '미토스'의 치명적 원격코드실행(RCE) 취약점이 공개된 지 불과 48시간 만에 국내 12개 기관이 연쇄 침해되는 초유의 사태가 발생했다. 결제정보, 진료기록 등 민감 개인정보 최소 47만 건이 유출된 것으로 추정되며, 피해 기관 전체가 소프트웨어 자재명세서(SBOM) 관리 체계를 갖추지 않았던 것으로 드러났다.

---

사례 분석: 공급망 취약점의 파괴력

이번 침해사고의 시발점은 널리 사용되는 오픈소스 라이브러리 '미토스'에서 발견된 CVSS 9.8점의 치명적 RCE 취약점이다. 공격자는 취약점 공개 직후 자동화된 스캔 도구를 활용해 해당 라이브러리를 사용하는 시스템을 무차별 탐색했고, 패치가 적용되기 전 12개 기관을 순식간에 장악했다.

피해 기관은 전자상거래 플랫폼 4곳, 의료기관 3곳, SaaS 기업 3곳, 공공 위탁업체 2곳으로 다양하다. 유출된 정보에는 신용카드 결제정보, 환자 진료기록, 주민등록번호 등 「개인정보 보호법」상 민감정보와 고유식별정보가 다수 포함되어 있어 2차 피해 우려가 크다.

공통 패턴: SBOM 부재라는 구조적 허점

조사 결과, 12개 피해 기관 모두 SBOM 관리 체계가 부재했던 것으로 확인됐다. SBOM이란 소프트웨어에 포함된 모든 구성요소(오픈소스, 서드파티 라이브러리 등)의 목록으로, 이를 관리하지 않으면 자사 시스템에 어떤 오픈소스가 사용되는지조차 파악할 수 없다.

실제로 피해 기관 담당자들은 "미토스 라이브러리 사용 여부를 취약점 공개 후에야 확인했다"고 진술했다. 취약점 공개부터 패치 적용까지의 '골든타임'을 놓친 것이다. 이는 단순한 기술 부족이 아닌 소프트웨어 공급망 보안에 대한 거버넌스 부재라는 구조적 문제를 보여준다.

기업·기관 대응 방안

첫째, SBOM 관리 체계를 즉시 도입해야 한다. 미국 연방정부는 이미 2021년부터 SBOM 제출을 의무화했으며, 국내에서도 공공·금융 분야를 중심으로 요구가 확대되고 있다. 자동화된 SBOM 생성·모니터링 도구를 도입해 실시간 취약점 알림 체계를 구축해야 한다.

둘째, 취약점 대응 프로세스를 사전에 수립해야 한다. 치명적 취약점(CVSS 9.0 이상) 공개 시 24시간 내 영향 분석, 48시간 내 긴급 패치 또는 임시 차단 조치 등 단계별 대응 절차를 문서화하고 정기 모의훈련을 실시해야 한다.

셋째, 수탁사·협력업체까지 공급망 보안을 확대해야 한다. 이번 사고에서 공공 위탁업체 2곳이 포함된 점은 위탁자의 관리·감독 의무 위반 가능성을 시사한다. 계약 단계부터 보안 요구사항을 명시하고 정기 점검을 수행해야 한다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

ISMS-P 인증기준 2.10.4 '패치관리' 및 2.10.7 '취약점 점검 및 조치'에서는 소프트웨어 구성요소에 대한 취약점 모니터링과 신속한 패치 적용 체계를 요구한다. 특히 오픈소스·서드파티 라이브러리의 경우 SBOM 기반 자산식별이 패치관리의 전제조건이 된다. CPPG 시험에서도 기술적·관리적 보호조치의 일환으로 '소프트웨어 공급망 보안'이 출제 가능성이 높은 영역이므로, 공급망 보안과 패치관리 프로세스의 연계를 숙지할 필요가 있다.

---

백남정 기자 | 개인정보보호 전문