중소벤처기업부 및 창업진흥원의 '모두의 창업' 정보 유출 및 보안 관리 부실

2025년 중소벤처기업부가 시행한 정보보안 감사에서 창업진흥원은 총 15개 항목에 대해 미비점이 확인돼 감점을 받았다. 지적된 주요 문제는 관리자 접근통제 미흡, 중요 파일 암호 미설정, 보안 계정 관리 미흡, OLE 객체 삽입 취약, 계정 사용 이력 관리 미흡, 네트워크 프로토콜 관리 미흡 등이다. 감사 결과에 따르면 이 중 절반 가량은 이미 개선되었거나 조치 중이며, 반·출입 및 점검 실적 없음, 로컬 보안 정책관리 미흡, SSH 버전 관리 미흡 등 7개 항목은 아직 완전히 시정되지 않았다.

중소벤처기업부가 산하기관을 대상으로 실시한 정보보안 실태 점검에서 창업진흥원이 총 15개 항목에 걸쳐 보안 미비점으로 감점을 받았습니다. 주요 지적 사항에는 관리자 접근 통제 미흡, 중요 파일 암호 설정 누락, 보안 계정 및 계정 사용 이력 관리 부실, OLE 객체 취약점 등이 포함되었습니다. 창업진흥원은 개선 계획을 통해 8개 항목의 조치를 완료했으나, 나머지 7개 항목은 사고 임박 시점까지 방치했습니다. 특히 통신 암호화 표준인 TLS 1.3 구축과 정보보안 전담 조직 신설 등 핵심 보안 사항은 예산이나 여건을 이유로 조치를 미루거나 검토 단계에 머물렀습니다.

한성숙 국무총리 후보자와 노용석 중소벤처기업부 차관이 '모두의 창업' 서비스에서 발생한 정보 유출 사고에 대해 공식 사과했다. 이번 사태는 창업진흥원이 보안 개선 계획 중 7개 항목을 조치하지 않는 등 관리 소홀이 드러나며 논란이 되었다. 두 책임자는 관리 감독 부실에 따른 책임을 통감한다고 명시했다. 정부는 향후 재발 방지를 위한 보안 체계 강화 대책을 마련할 방침이다.

중소벤처기업부가 창업진흥원을 대상으로 정보보안 감사를 실시하여 보안 관리 체계의 미비점 15개 항목을 적발했다. 창업진흥원은 이에 따라 보안 취약점을 개선하겠다는 계획을 세웠으나, 실제 이행 과정에서 7개 항목에 대한 조치를 누락했다. 이는 '모두의 창업' 플랫폼에서 발생한 대규모 개인정보 유출 사고와 맞물려 관리 부실 논란을 일으켰다. 현재 국가사이버안보센터 등 전문기관이 기술 침해 사고 조사를 진행 중이며 개인정보보호위원회의 정식 조사 가능성도 제기된다.

창업진흥원이 2025년 상반기 중소벤처기업부의 정보보안 실태 점검에서 15개 항목의 감점을 받았으나, 이 중 7개 항목을 방치했다. 특히 보안 네트워크 프로토콜(SSH) 버전 관리와 로컬 보안 정책 관리를 하반기로 미뤘으며, 최신 통신 암호화 표준인 TLS 1.3 구축은 가용 자원 검토를 이유로 연기했다. 정보보안 전담 조직 신설 지적에 대해서도 기한 없이 검토하겠다는 입장을 보였다. 이러한 보안 관리 부실은 이후 '모두의 창업' 프로젝트에서 공식 협력사에 의한 대규모 개인정보 및 아이디어 유출 사고로 이어졌다.

중소벤처기업부는 창업진흥원이 보안 개선 계획 중 7개 항목을 이행하지 않은 점 등 사건의 심각성을 고려해 경찰청에 정식 수사를 의뢰했다. 기존의 내부 처리 방식에서 벗어나 사법 기관을 통한 책임 규명 단계로 전환한 것이다. 또한 신속한 대응과 체계적인 관리를 위해 대응 체계를 차관 주재 TF로 격상했다. 이번 조치는 공공기관의 보안 불감증을 근절하고 재발 방지 대책을 마련하려는 의도로 풀이된다.

2026년 5월 7일, 1기 참가자 A씨는 ‘모두의 창업’ 홈페이지 문의 게시판에 API 호출 시 개인정보가 과도하게 포함된 응답이 발생한다는 보안 문제를 제기했다.

중소벤처기업부와 국가정보원은 2026년 5월 12일부터 축적된 플랫폼 시스템 로그를 바탕으로 정보 유출 경로와 범위를 확인하는 합동 조사를 시행했다. 이번 사고는 6월 15일 합격자 5,000명의 프로필이 공개된 이후 발생했으며, 조사 결과 권한 없는 외부 주체가 웹 크롤링을 통해 비공개 정보가 포함된 API를 수집한 것으로 드러났다. 특히 정보가 암호화되어 있었으나 암호키가 소스코드에 함께 노출되어 실제 복호화가 가능했던 점이 핵심 원인으로 파악됐다. 중소벤처기업부는 조사 결과 비공개 정보에 접근을 시도한 국내 IP가 총 39개임을 확인하고 현재 경찰청과 함께 세부 내역 및 특정 인공지능 솔루션 업체와의 연관성을 수사하고 있다.

2026년 5월 15일 모두의 창업 프로젝트 합격자 5,000명의 이메일 주소, 심사평, 200자 이내의 창업 아이디어 요약본이 외부로 유출됐다. 중소벤처기업부와 국가정보원의 합동 조사 결과, 국내 IP 39개가 웹 크롤링 수법으로 API 비공개 정보에 접근한 것으로 확인됐다. 유출된 데이터는 암호화 상태였으나 암호키가 API 내 소스코드 형태로 함께 포함되어 있어 평문 복호화가 가능했다. 중기부는 이에 대응해 신규 암호화 솔루션을 도입하고 개인정보 관리체계를 전면 개편했으며, 8월 중순까지 행정 절차를 마무리한 뒤 2기 모집을 시작할 계획이다.

2026년 5월, 모두의 창업 플랫폼에서 한 줄 아이디어 1만 6,000건과 비공개 설정된 팀원 정보 8,000여 명이 외부에 노출되었다는 사용자 제보가 접수되었다. 플랫폼 개발사는 해당 제보를 확인한 후 즉시 차단 조치를 시행했다. 하지만 개발사는 이 사실을 중소벤처기업부나 창업진흥원에 보고하지 않고 자체적으로 처리했다. 이로 인해 정부 차원의 초기 대응이 지연되었으며, 이후 중소벤처기업부는 보고 누락 경위에 대해 법률적 검토를 거쳐 엄정한 책임을 묻겠다고 밝혔다.