모두의 창업 5000명 개인정보 유출, API에 암호키 함께 보관한 치명적 설계 오류

핵심 요약

- '모두의 창업' 플랫폼에서 API에 개인정보와 암호키를 함께 보관해 5000명분 개인정보 유출 발생 - 암호화된 데이터와 복호화 키를 동일 저장소에 보관하는 치명적 설계 오류, 국내 IP 39개에서 비정상 접근 시도 포착 - 국정원·행안부·개인정보보호위원회 등 관계기관 협의로 공공 정보시스템 암호키 관리 체계 전면 재점검 예고

주요 내용

2026년 7월 31일 확인된 '모두의 창업' 개인정보 유출 사건은 암호화 체계의 기본 원칙을 위반한 전형적인 설계 오류 사례다. API 서버에 암호화된 개인정보를 저장하면서 해당 데이터를 복호화할 수 있는 암호키까지 함께 보관한 것으로 드러났다. 이는 금고와 열쇠를 같은 장소에 두는 것과 같은 수준의 보안 허점으로, 공격자가 API 접근 권한만 획득하면 즉시 개인정보를 평문으로 복호화할 수 있는 구조였다.

경찰 조사 결과 국내 IP 주소 39개에서 비정상적인 접근 시도가 포착됐으며, 이 중 일부는 AI 기반 자동화 공격 도구를 사용한 것으로 추정된다. 특히 우려되는 부분은 최근 급증하는 '바이브 코딩(Vibe Coding)' 개발 환경에서 이러한 취약점이 발생했을 가능성이다. 바이브 코딩은 개발자가 자연어로 요구사항을 제시하면 ChatGPT, GitHub Copilot 등 생성형 AI가 자동으로 코드를 작성하는 방식으로, 빠른 개발 속도와 편의성으로 2025년 이후 스타트업과 공공 프로젝트에서 급속히 확산됐다.

문제는 AI가 생성한 코드가 기능 구현에는 성공하더라도 보안 설계 원칙을 준수하지 않는 경우가 빈번하다는 점이다. LLM(대규모 언어모델)은 학습 데이터에 포함된 코드 패턴을 재현하는데, 암호키와 데이터를 분리 저장하는 'Key Separation' 원칙이나 HSM(Hardware Security Module) 활용 같은 고급 보안 패턴은 훈련 데이터에서 상대적으로 적게 나타나 제대로 반영되지 않는다. 실제로 2026년 상반기 KISA 분석 보고서에 따르면 AI 생성 코드의 37%에서 인증·인가 누락, 하드코딩된 자격증명, 부적절한 암호화 구현 등의 취약점이 발견됐다.

이번 사건을 계기로 국가정보원, 행정안전부, 개인정보보호위원회는 공공 정보시스템의 암호키 관리 체계를 전면 재점검하기로 했다. 특히 AI 보조 개발 도구를 활용한 프로젝트에 대해서는 별도의 보안 검증 절차를 의무화하는 방안이 검토되고 있다. 바이브 해킹(Vibe Hacking) - AI 코드 생성 과정에 악의적 프롬프트를 주입해 취약한 코드를 의도적으로 생성시키는 공격 기법 - 에 대한 대응 지침도 마련될 예정이다.

전문가 시각

ISMS-P 선임심사원 관점에서 이번 사건은 개인정보 암호화 조치(ISMS-P 3.1.3)와 암호키 관리(3.1.4)의 분리 원칙을 명백히 위반한 사례다. 「개인정보의 안전성 확보조치 기준」 제7조는 암호화된 개인정보와 암호키를 별도 저장소에 분리 보관하도록 규정하고 있으며, 암호키는 안전한 키 관리 시스템(KMS)이나 HSM에 보관해야 한다. API 서버에 양쪽을 함께 저장한 것은 기술적 조치의 근본 취지를 무시한 것으로, 사후 암호화 무용론에 빌미를 제공할 수 있어 우려스럽다.

바이브 코딩 환경에서 개발하는 조직은 반드시 'AI 생성 코드 보안 검증 프로세스'를 수립해야 한다. ① AI 생성 직후 정적 분석 도구(SAST)로 취약점 스캔 ② 보안 담당자의 코드 리뷰 필수화 ③ OWASP Top 10, CWE Top 25 기준 수동 검증 ④ 암호화·인증 관련 코드는 검증된 라이브러리 사용 강제 등의 단계가 필요하다. 특히 공공기관과 개인정보 처리 사업자는 AI 도구 사용 시 프롬프트에 "ISMS-P 인증 기준 준수", "개인정보보호법 제29조 안전조치 적용" 같은 보안 요구사항을 명시적으로 포함시키고, 생성된 코드가 이를 실제로 구현했는지 검증하는 체크리스트를 운영해야 한다.

CPPG·ISMS-P 연계 포인트

암호키 분리 보관 원칙 (ISMS-P 3.1.4)
암호화된 개인정보와 암호키는 물리적·논리적으로 분리된 저장소에 보관해야 하며, 암호키는 KMS·HSM 등 전용 관리 시스템에 저장해야 한다. 동일 DB·서버·API에 함께 저장 시 암호화 효과가 무력화되므로 반드시 분리 원칙을 준수해야 한다.

AI 생성 코드의 보안 취약점 관리
바이브 코딩으로 생성된 코드는 인증 우회, SQL 인젝션, 하드코딩된 자격증명, 경쟁조건(Race Condition) 등 전형적인 취약점을 포함할 가능성이 높다. 개발 단계에서 SAST·DAST 도구 활용, 보안 코드 리뷰, 침투 테스트를 필수화하고, 특히 개인정보 처리 로직은 수동 검증을 거쳐야 한다.