오픈소스 'RCE 취약점' 48시간 만에 12개 기관 연쇄 침해…47만 건 유출

---

2026년 8월, 오픈소스 라이브러리 '미토스'의 치명적 원격코드실행(RCE) 취약점이 공개된 지 단 이틀 만에 국내 12개 기관이 동시다발적으로 해킹당했다. 전자상거래부터 의료기관, 공공 위탁업체까지 업종을 가리지 않고 피해가 확산됐으며, 유출된 개인정보는 결제정보·진료기록·주민등록번호 등 민감정보 47만 건에 달한다.

---

사례 분석: 공급망 취약점의 연쇄 폭발

이번 침해사고의 시작은 오픈소스 라이브러리 '미토스'에서 발견된 CVSS 9.8점의 치명적 RCE 취약점이었다. 해당 라이브러리는 웹 애플리케이션 개발에 광범위하게 사용되는 범용 컴포넌트로, 취약점 공개 직후 개념증명(PoC) 코드가 빠르게 유포되면서 공격자들의 대규모 스캔이 시작됐다.

피해 기관 12곳의 면면은 다양하다. 전자상거래 플랫폼 3곳에서는 신용카드 결제정보와 배송지 주소가, 의료기관 4곳에서는 환자 진료기록과 처방전 정보가 유출됐다. SaaS 기업 2곳과 공공 위탁업체 3곳에서는 주민등록번호를 포함한 신원정보가 대량으로 탈취됐다.

특히 주목할 점은 취약점 공개부터 대규모 침해까지 소요된 시간이 불과 48시간이라는 것이다. 과거 수일에서 수주가 걸리던 공격 준비 기간이 급격히 단축되면서, 기관들의 대응 여력이 사실상 제로에 가까웠다.

---

공통 패턴: SBOM 부재가 부른 참사

침해 기관 12곳을 조사한 결과, 공통적으로 SBOM(Software Bill of Materials, 소프트웨어 자재 명세서) 관리 체계가 전무했던 것으로 드러났다. SBOM은 소프트웨어에 포함된 모든 구성요소와 버전 정보를 명시한 목록으로, 취약점 발생 시 영향받는 시스템을 신속히 식별하는 핵심 도구다.

피해 기관들은 자사 시스템에 미토스 라이브러리가 사용되고 있다는 사실조차 파악하지 못했다. 외주 개발 의존도가 높은 기관일수록 소프트웨어 구성요소 파악이 어려웠고, 이는 곧 취약점 패치 지연으로 이어졌다.

또한 피해 기관 중 8곳(67%)은 개인정보처리시스템에 대한 접근통제 및 이상징후 탐지 체계가 미흡했으며, 침해 발생 후에도 수일간 이를 인지하지 못한 것으로 확인됐다.

---

기업·기관 대응 방안

첫째, SBOM 관리 체계 도입이 시급하다. 자사 시스템에 사용된 오픈소스 라이브러리 목록을 실시간으로 관리하고, 취약점 데이터베이스(NVD, KEV 등)와 자동 연동하여 즉각 대응할 수 있는 체계를 구축해야 한다.

둘째, 취약점 대응 프로세스의 시간을 단축해야 한다. CVSS 9.0 이상의 치명적 취약점에 대해서는 24시간 이내 긴급 패치 또는 임시 완화조치가 이뤄지도록 사전 계획을 수립해야 한다.

셋째, 공급망 보안 계약 조항을 강화해야 한다. 외주 개발 계약 시 사용 라이브러리 목록 제출을 의무화하고, 취약점 발생 시 통보 및 패치 의무를 명시해야 한다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

개인정보의 안전성 확보조치 기준 제6조(접근통제) 및 ISMS-P 인증기준 2.10.3(취약점 점검 및 조치)와 직결되는 사례입니다. 시험에서는 "오픈소스 취약점 관리를 위한 기술적·관리적 보호조치"를 묻는 문제가 출제될 수 있으며, △SBOM 관리 △취약점 모니터링 체계 △긴급 패치 프로세스를 핵심 키워드로 숙지하시기 바랍니다.

---

개인정보보호 전문기자 백남정 | 2026.08.15