오픈소스 '미토스' 취약점 하나에 12개 기관 연쇄 침해…SBOM 관리 부재가 부른 참사

---

2026년 8월, 오픈소스 라이브러리 '미토스(Mithos)'에서 발견된 치명적 원격코드실행(RCE) 취약점이 국내 전자상거래·의료기관·공공기관 위탁업체 등 12곳의 개인정보 침해사고로 이어졌다. CVSS 9.8점의 초고위험 취약점이었으나, 대다수 기관이 해당 라이브러리 사용 여부조차 파악하지 못한 채 피해를 입었다.

---

사고 개요 및 피해 현황

지난 8월 15일 공개된 CVE-2026-XXXXX 취약점은 미토스 라이브러리의 입력값 검증 미흡으로 인해 공격자가 원격에서 임의 코드를 실행할 수 있는 치명적 결함이다. 미토스는 데이터 직렬화 처리에 널리 사용되는 오픈소스로, 국내에서도 다양한 시스템의 백엔드에 적용되어 왔다.

취약점 공개 후 48시간 내 국내에서만 12건의 침해사고가 확인됐다. 피해 기관은 다음과 같이 분포한다.

분야	피해 건수	주요 유출 정보
전자상거래	5건	결제정보, 배송지, 연락처
의료기관	3건	진료기록, 건강보험번호
SaaS 기업	2건	기업 고객 계정정보
공공기관 위탁업체	2건	민원인 개인정보

특히 의료기관의 경우 민감정보인 진료기록이 유출되어 정보주체 피해가 심각한 것으로 파악된다.

---

공통 원인 분석: 세 가지 보안 사각지대

첫째, SBOM(소프트웨어 자재명세서) 관리 부재다. 피해 기관 12곳 중 10곳이 자사 시스템에 미토스 라이브러리가 포함된 사실을 사고 발생 전까지 인지하지 못했다. 직접 도입하지 않았더라도 다른 오픈소스의 의존성(dependency)으로 자동 설치된 경우가 대부분이었다.

둘째, 위탁업체 보안점검 미흡이다. 공공기관 2건은 모두 위탁업체 시스템에서 발생했다. 위탁자는 수탁자의 오픈소스 사용 현황과 보안 패치 적용 여부를 점검하지 않았고, 이는 「개인정보 보호법」 제26조(업무위탁에 따른 개인정보 처리 제한)상 관리·감독 의무 위반에 해당한다.

셋째, 패치 적용 지연이다. 미토스 개발 커뮤니티는 취약점 공개와 동시에 보안 패치를 배포했으나, 피해 기관 대부분이 패치 적용까지 평균 5일 이상 소요됐다. 제로데이 공격 대응 체계가 사실상 부재했던 셈이다.

---

기업·기관 대응 방안

1. SBOM 의무화 및 자동화 도입
모든 시스템에 사용된 오픈소스 컴포넌트를 명세화하고, 취약점 데이터베이스(NVD, KISA 보안공지)와 연동하여 실시간 모니터링해야 한다.

2. 위탁업체 보안 계약 강화
수탁자의 오픈소스 관리 현황을 계약서에 명시하고, 정기·수시 점검을 실시해야 한다. 취약점 발생 시 24시간 내 통보 의무 조항도 필수다.

3. 긴급 패치 프로세스 수립
CVSS 9.0 이상 취약점에 대해서는 24시간 내 패치 적용을 목표로 하는 비상 대응 체계를 마련해야 한다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

개인정보 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한)

- 위탁자는 수탁자가 개인정보를 안전하게 처리하는지 정기적으로 교육·감독해야 함

- 수탁자의 기술적·관리적 보호조치 이행 여부를 문서로 점검하고 기록 보관

- ISMS-P 인증기준 2.3.4(외부자 보안)에서도 위탁업체의 보안 통제 현황 확인을 요구

>

👉 출제 예상: "위탁자의 수탁자에 대한 관리·감독 의무 사항을 3가지 이상 서술하시오"

---

백남정 기자 | 개인정보보호 전문 리포트