중기부 '모두의 창업' API 정보유출 사고, AI 솔루션 보안 취약점 드러나 - 5천명 피해

핵심 요약

- 중소벤처기업부 '모두의 창업' 플랫폼에서 비공개 API 접근을 통한 개인정보 유출 사고 발생, 약 5천명 피해 - 국내 39개 IP가 인증되지 않은 API에 무단 접근 시도, AI 솔루션 업체 연계 과정에서 취약점 노출 - 국정원 보안성 검토, 행안부 사전협의, 개인정보보호위원회 영향평가 등 8월 중순까지 긴급 점검 예정

주요 내용

중소벤처기업부가 운영하는 창업 지원 플랫폼 '모두의 창업'에서 2026년 7월 대규모 개인정보 유출 사고가 발생했다. 중기부는 비공개 정보가 포함된 API에 국내 39개 IP 주소로부터 무단 접근이 있었으며, 이로 인해 약 5천명의 개인정보가 유출된 것으로 확인했다고 밝혔다.

이번 사고는 AI 솔루션 업체와의 연계 과정에서 발생한 것으로 추정된다. API 인증 체계가 제대로 구현되지 않은 상태에서 외부 AI 서비스와 데이터 연동이 이루어지면서, 접근 권한이 없는 IP들이 민감정보에 접근할 수 있는 취약점이 노출됐다. 특히 최근 급증하고 있는 'AI 자동 개발' 도구를 활용한 바이브 코딩(Vibe Coding) 방식으로 API가 구축된 경우, 인증·인가 로직이 누락되거나 불완전하게 구현되는 사례가 빈번하다는 지적이 제기되고 있다.

중기부는 8월 중순까지 국가정보원의 보안성 검토, 행정안전부 사전협의, 개인정보보호위원회의 개인정보 영향평가(PIA)를 진행할 예정이다. 세부 IP 내역과 AI 솔루션 업체 명단은 현재 조사 중이며, 접근 시도 경로와 유출된 정보의 범위에 대한 정밀 분석이 진행되고 있다.

이번 사고는 공공기관의 AI 솔루션 도입 시 보안성 검토가 선행되어야 함을 보여주는 사례다. 특히 개발 단계에서 AI 코드 생성 도구를 활용할 경우, 생성된 코드에 대한 보안 검증 절차가 반드시 필요하다는 점이 재확인됐다.

전문가 시각

바이브 코딩 환경의 API 보안 취약점과 대응 방안

이번 사고는 AI 기반 자동 코드 생성 도구(바이브 코딩)가 만들어낸 API의 전형적인 보안 취약점을 보여준다. ChatGPT, GitHub Copilot 등 LLM 기반 코딩 도구는 기능 구현에는 뛰어나지만, 인증(Authentication)·인가(Authorization) 로직을 누락하거나 불완전하게 구현하는 경향이 있다. 특히 "사용자 정보를 조회하는 API 만들어줘"라는 간단한 프롬프트로 생성된 코드는 토큰 검증, IP 화이트리스트, Rate Limiting 등 필수 보안 통제가 빠진 채 배포되는 경우가 많다. ISMS-P 선임심사원 관점에서 볼 때, 이번 사건은 '2.8.3 안전한 소프트웨어 개발' 및 '2.4.2 네트워크 접근 통제' 통제항목의 준수 실패 사례다.

공공기관과 기업은 AI 자동 생성 코드를 프로덕션 환경에 배포하기 전, 반드시 SAST(정적 분석)·DAST(동적 분석) 도구를 활용한 보안 검증을 수행해야 한다. 특히 개인정보를 처리하는 API는 ① OAuth 2.0/JWT 기반 인증 구현 ② IP 기반 접근제어 ③ API Gateway를 통한 Rate Limiting ④ 모든 API 호출 로깅 및 모니터링 ⑤ 개인정보 필드 암호화 등 다층 보안 통제를 적용해야 한다. 또한 외부 AI 솔루션 연계 시에는 사전에 개인정보 영향평가(PIA)와 보안성 검토를 완료하고, 데이터 최소화 원칙에 따라 필요한 정보만 제공하는 API 설계가 필수다.

CPPG·ISMS-P 연계 포인트

1. API 접근통제 및 인증체계 (ISMS-P 2.4.2, 2.8.5)
API는 네트워크를 통한 직접적인 데이터 접근 경로로, 인증되지 않은 접근을 차단하기 위해 OAuth 2.0, API Key, JWT 등 강력한 인증체계 구현이 필수다. 특히 개인정보를 포함한 민감정보 API는 IP 화이트리스트, mTLS(상호 TLS 인증) 등 추가 통제를 적용해야 하며, 모든 접근 시도에 대한 로깅과 실시간 모니터링이 요구된다.

2. 개인정보 영향평가(PIA) 사전 수행 의무 (개인정보보호법 제33조)
공공기관이 개인정보파일을 운용하는 정보시스템을 구축·운용하거나 외부 시스템과 연계하는 경우, 사전에 개인정보 영향평가를 수행해야 한다. AI 솔루션 연계 시에도 데이터 흐름, 제3자 제공 범위, 보안 통제 수준을 평가하고, 개인정보보호위원회의 검토를 거쳐야 법적 리스크를 최소화할 수 있다.