오픈소스 RCE 취약점 48시간 만에 12개 기관 연쇄 해킹, 47만 건 유출

---

오픈소스 라이브러리 '미토스'의 치명적 보안 취약점이 공개된 지 이틀 만에 국내 12개 기관이 동시다발적으로 해킹당하는 초유의 사태가 발생했다. 신용카드 결제정보, 진료기록, 주민등록번호 등 민감 개인정보 47만 건이 유출되었으며, 피해 기관 전체에서 소프트웨어 구성요소 관리 체계가 부재했던 것으로 드러났다.

---

사례 분석: 공개 후 48시간, 제로데이의 파괴력

2026년 8월 초, 보안 커뮤니티에 오픈소스 라이브러리 '미토스(Mythos)'의 원격코드실행(RCE) 취약점이 공개됐다. CVSS 9.8점의 치명적 등급을 받은 이 취약점은 별도 인증 없이 원격에서 시스템 전체를 장악할 수 있는 수준이었다.

문제는 속도였다. 취약점 공개 후 48시간이 채 지나지 않아 국내 전자상거래 플랫폼 5곳, 중소 의료기관 4곳, 공공기관 위탁업체 3곳이 잇따라 침해당했다. 공격자는 자동화된 스캔 도구로 미토스 라이브러리를 사용 중인 서버를 탐색한 뒤, 공개된 PoC(개념증명) 코드를 즉시 악용한 것으로 분석된다.

유출된 정보는 ▲신용카드 결제정보 18만 건 ▲진료기록 및 처방 내역 12만 건 ▲주민등록번호 포함 개인식별정보 17만 건에 달한다. 특히 의료기관에서 유출된 민감정보는 2차 피해로 이어질 가능성이 높아 우려가 크다.

---

공통 패턴: SBOM 부재가 부른 참사

개인정보보호위원회와 한국인터넷진흥원(KISA)의 합동 조사 결과, 피해 기관 12곳 모두에서 SBOM(Software Bill of Materials, 소프트웨어 구성요소 명세서) 관리 체계가 전무한 것으로 확인됐다.

SBOM은 소프트웨어에 포함된 오픈소스 및 서드파티 라이브러리의 목록과 버전 정보를 체계적으로 관리하는 문서다. 이번 피해 기관들은 자사 시스템에 미토스 라이브러리가 사용되고 있다는 사실조차 파악하지 못했던 것으로 드러났다.

한 피해 기관 관계자는 "외주 개발사가 수년 전 납품한 시스템이라 어떤 오픈소스가 들어있는지 전혀 알지 못했다"고 토로했다. 이는 공급망 보안 관리의 사각지대를 여실히 보여주는 대목이다.

---

기업·기관 대응 방안

첫째, SBOM 구축 및 상시 모니터링 체계 도입이 시급하다. 미국 연방정부는 이미 2021년부터 조달 소프트웨어에 SBOM 제출을 의무화했으며, 국내에서도 주요 기반시설을 중심으로 도입 논의가 본격화되고 있다.

둘째, 취약점 공개 후 긴급 패치 프로세스를 수립해야 한다. 이번 사례처럼 고위험 취약점은 공개 직후 수 시간 내 공격에 활용된다. 24시간 이내 긴급 대응이 가능한 보안운영체계(DevSecOps)가 필수다.

셋째, 외주 개발 및 유지보수 계약에 보안 요건을 명시해야 한다. 개발 완료 후에도 오픈소스 취약점 모니터링과 패치 적용 의무를 계약서에 포함시켜야 공급망 전체의 보안 수준을 확보할 수 있다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

ISMS-P 인증기준 2.10.4 '취약점 점검 및 조치' 항목은 "정보시스템의 취약점이 노출되지 않도록 지속적으로 취약점을 점검·조치해야 한다"고 명시하고 있다. 특히 오픈소스 및 상용 소프트웨어의 알려진 취약점에 대한 정기적 점검과 신속한 보안패치 적용이 핵심 심사 항목이다. 이번 사례는 SBOM 미관리로 인해 취약점 존재 여부조차 파악하지 못한 전형적인 부적합 사례로, 수험생은 '자산 식별 → 취약점 모니터링 → 긴급 패치 체계'의 연계 흐름을 숙지해야 한다.

---

백남정 기자 (security@privacynews.kr)