오픈소스 '미토스' 취약점 48시간 만에 12개 기관 연쇄 해킹, 47만 건 유출

오픈소스 라이브러리 '미토스(Mythos)'의 치명적 원격코드실행(RCE) 취약점이 공개되자마자 공격자들이 이를 무기화해 전자상거래·의료·공공 분야 12개 기관을 동시다발적으로 해킹했다. 신용카드 정보부터 진료기록, 주민등록번호까지 총 47만 건의 민감정보가 유출됐으며, 피해 기관 전체가 소프트웨어 구성요소 관리체계(SBOM)를 갖추지 않은 것으로 드러나 공급망 보안의 근본적 허점이 다시 한번 도마에 올랐다.

---

사례 분석: 48시간의 골든타임, 왜 막지 못했나

이번에 악용된 취약점은 CVSS 9.8점으로, '치명적(Critical)' 등급에 해당한다. 해당 취약점이 보안 커뮤니티에 공개된 지 불과 이틀 만에 공격이 현실화됐다는 점에서 제로데이에 준하는 대응 속도가 요구됐으나, 12개 기관 모두 패치 적용에 실패했다.

유출된 정보의 규모와 민감도는 심각한 수준이다.

유출 정보 유형	건수	관련 분야
신용카드 정보	18만 건	전자상거래
진료기록	12만 건	의료
주민등록번호 포함 개인식별정보	17만 건	공공
총계	47만 건	-

특히 진료기록과 주민등록번호는 개인정보보호법상 민감정보 및 고유식별정보로서 별도의 동의와 암호화 조치가 필수인 항목이다. 이들 정보의 대량 유출은 2차 피해로 이어질 가능성이 높아 피해자 구제에 상당한 시일이 소요될 전망이다.

---

공통 패턴: SBOM 부재가 부른 '보이지 않는 위험'

이번 침해사고의 핵심 원인으로 SBOM(Software Bill of Materials) 관리체계 부재가 지목됐다. SBOM은 소프트웨어에 포함된 모든 구성요소의 명세서로, 특정 라이브러리에 취약점이 발견됐을 때 해당 라이브러리가 어디에 사용됐는지 즉시 파악할 수 있게 해준다.

문제는 피해 기관 12곳 모두 자체 시스템에 '미토스'가 탑재되어 있다는 사실조차 인지하지 못했다는 점이다. 수십, 수백 개의 오픈소스가 의존성(dependency)으로 얽혀 있는 현대 소프트웨어 환경에서 SBOM 없는 보안 관리는 사실상 불가능하다.

---

기업·기관 대응 방안

1. SBOM 체계 즉시 구축
모든 운영 시스템에 대해 SBOM을 생성·관리하고, 신규 취약점 공개 시 영향받는 자산을 실시간으로 식별할 수 있는 프로세스를 마련해야 한다.

2. 취약점 모니터링 및 긴급 패치 체계 확립
CVSS 9.0 이상의 치명적 취약점에 대해서는 24시간 내 대응할 수 있는 긴급 패치 절차를 수립해야 한다.

3. 공급망 보안 점검 강화
외부 라이브러리 도입 시 보안성 검토를 필수화하고, 정기적으로 의존성 라이브러리의 취약점 현황을 점검해야 한다.

4. 민감정보 암호화 및 접근통제 재점검
유출 시에도 피해를 최소화할 수 있도록 고유식별정보·민감정보에 대한 암호화 적용 현황과 접근권한을 전면 재검토해야 한다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

[ISMS-P 2.10.4 오픈소스 보안관리]

인증기준에서는 오픈소스 소프트웨어 사용 시 라이선스 준수와 함께 취약점 관리를 요구한다. 특히 SBOM을 활용한 구성요소 현황 관리, 신규 취약점 모니터링, 보안 패치 적용 절차 수립이 핵심 통제항목이다. 시험에서는 "오픈소스 라이브러리의 취약점이 발견되었을 때 조직이 취해야 할 조치"를 묻는 문제가 출제될 수 있으므로, SBOM의 개념과 목적, 패치 관리 프로세스를 숙지해야 한다.

---

백남정 기자 namjeong@privacy-news.kr