오픈소스 '미토스' 취약점 여파, 국내 12건 개인정보 침해사고 연쇄 발생

---

2026년 8월, 글로벌 소프트웨어 공급망을 뒤흔든 오픈소스 프로젝트 '미토스(Mithos)' 취약점이 국내에서도 심각한 피해를 야기했다. 개인정보보호위원회에 따르면 현재까지 12건의 개인정보 침해사고가 해당 취약점과 연관된 것으로 추정되며, 긴급 대응 체계가 가동 중이다.

---

사례 분석: 공급망 취약점이 부른 연쇄 침해

미토스는 데이터 처리 및 API 연동에 널리 활용되는 오픈소스 라이브러리다. 이번에 발견된 취약점(CVE-2026-XXXXX)은 원격 코드 실행(RCE)을 허용하는 치명적 결함으로, CVSS 점수 9.8의 '심각(Critical)' 등급을 받았다.

문제는 미토스가 국내 다수 기업·공공기관의 시스템에 의존성(dependency) 형태로 깊숙이 내재되어 있다는 점이다. 직접 도입하지 않았더라도 협력업체 솔루션, 클라우드 서비스, 심지어 내부 개발 프레임워크를 통해 간접적으로 사용 중인 경우가 대부분이었다.

국내 피해 12건 중 확인된 주요 유형은 다음과 같다:
- 전자상거래 플랫폼 3건: 고객 결제정보 및 주소 데이터 유출
- 의료기관 2건: 환자 진료기록 접근 시도 탐지
- 중소 SaaS 기업 4건: B2B 고객사 데이터 노출 우려
- 공공기관 위탁업체 3건: 행정정보 처리 시스템 침투 흔적 발견

---

공통 패턴: SBOM 부재와 공급망 가시성 실패

이번 사고들에서 드러난 공통적 취약 요인은 명확하다.

첫째, 소프트웨어 자재명세서(SBOM) 관리 부재다. 피해 기관 대부분이 자사 시스템에 어떤 오픈소스가 포함되어 있는지 파악하지 못하고 있었다. 취약점 공개 후에도 영향 범위 식별에 수일이 소요된 사례가 다수였다.

둘째, 위탁업체·공급업체에 대한 보안 점검이 형식적이었다. 계약서상 보안 조항은 존재했으나, 실질적인 컴포넌트 수준 점검은 이루어지지 않았다.

셋째, 패치 적용 지연이다. 미토스 측의 긴급 패치 배포 후에도 운영 환경 호환성 테스트를 이유로 적용을 미루다 침해가 발생한 사례가 3건에 달했다.

---

기업·기관 대응 방안

개인정보보호위원회가 배포한 긴급 대응 지침과 전문가 권고를 종합하면 다음과 같다:

• 즉시 SBOM 점검 실시: 내부 시스템 및 위탁 처리 시스템 전체를 대상으로 미토스 사용 여부 확인
• 최신 패치 긴급 적용: 미토스 v3.2.1 이상으로 업데이트, 불가 시 네트워크 격리 조치
• 침해 징후 모니터링 강화: 비정상 API 호출, 권한 상승 시도 등 이상 로그 집중 분석
• 위탁업체 보안 재점검: 수탁자의 오픈소스 관리 체계 및 대응 현황 서면 확인 요청
• 침해사실 인지 시 72시간 내 신고: 개인정보 유출 확인 즉시 개인정보보호위원회 및 정보주체에 통지

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

[개인정보의 안전성 확보조치 기준 제6조 - 접근통제]

>

개인정보처리자는 개인정보처리시스템에 대한 불법적인 접근을 차단하기 위해 취약점 점검 및 조치를 수행해야 한다. 특히 오픈소스 컴포넌트 취약점 관리는 ISMS-P 인증심사 시 '시스템 개발 보안(2.9.1)' 및 '취약점 점검 및 조치(2.11.2)' 항목에서 중점 확인 사항이다. SBOM 기반 소프트웨어 구성 분석(SCA) 도구 도입 여부가 실무 적합성 판단의 핵심 지표로 부상하고 있다.

---

백남정 기자 | 개인정보보호 전문 · 디지털보안팀

"보이지 않는 의존성이 가장 위험한 취약점이다. 오픈소스 생태계의 혜택을 누리려면 그에 상응하는 관리 책임이 따른다." — 한국인터넷진흥원(KISA) 관계자