중소벤처기업부와 창업진흥원이 운영하는 '모두의 창업' 프로젝트에서 심각한 보안 관리 부실로 인해 이용자들의 개인정보와 창업 아이디어가 유출되는 사고가 발생했다. 창업진흥원은 사전 보안 감사에서 15개 항목의 미비점을 지적받았음에도 7개 항목을 조치하지 않은 상태였다.
이 틈을 타 한 AI 솔루션 업체가 비정상적인 API 호출과 데이터 크롤링을 통해 정보를 수집하고, 이를 바탕으로 이용자들에게 직접 홍보 메일을 발송함으로써 유출 사실이 드러났다. 이에 중소벤처기업부는 피해자 통지, KISA 신고, 피해신고센터 운영 및 경찰 수사 의뢰 등의 후속 조치를 취했다.
현재 경찰은 해당 AI 솔루션 업체 대표를 입건하고 관련 서버 관리 업체 4곳을 압수수색하는 등 강제 수사를 진행하고 있으며, 정부 차원에서는 차관 주재 TF를 구성하여 보안 체계 전면 개편과 사후 구제 방안을 마련하고 있다.
중소벤처기업부는 보안 개선 조치를 완료하고 행정절차 마무리 후 2기 모집을 진행할 예정입니다. 경찰은 AI 솔루션 업체 대표를 입건하여 법적 책임 규명을 위한 수사를 계속하고 있습니다.
2025년 중소벤처기업부가 시행한 정보보안 감사에서 창업진흥원은 총 15개 항목에 대해 미비점이 확인돼 감점을 받았다. 지적된 주요 문제는 관리자 접근통제 미흡, 중요 파일 암호 미설정, 보안 계정 관리 미흡, OLE 객체 삽입 취약, 계정 사용 이력 관리 미흡, 네트워크 프로토콜 관리 미흡 등이다.
감사 결과에 따르면 이 중 절반 가량은 이미 개선되었거나 조치 중이며, 반·출입 및 점검 실적 없음, 로컬 보안 정책관리 미흡, SSH 버전 관리 미흡 등 7개 항목은 아직 완전히 시정되지 않았다.
중소벤처기업부가 산하기관을 대상으로 실시한 정보보안 실태 점검에서 창업진흥원이 총 15개 항목에 걸쳐 보안 미비점으로 감점을 받았습니다. 주요 지적 사항에는 관리자 접근 통제 미흡, 중요 파일 암호 설정 누락, 보안 계정 및 계정 사용 이력 관리 부실, OLE 객체 취약점 등이 포함되었습니다.
창업진흥원은 개선 계획을 통해 8개 항목의 조치를 완료했으나, 나머지 7개 항목은 사고 임박 시점까지 방치했습니다. 특히 통신 암호화 표준인 TLS 1.3 구축과 정보보안 전담 조직 신설 등 핵심 보안 사항은 예산이나 여건을 이유로 조치를 미루거나 검토 단계에 머물렀습니다.
창업진흥원이 2025년 상반기 중소벤처기업부의 정보보안 실태 점검에서 15개 항목의 감점을 받았으나, 이 중 7개 항목을 방치했다. 특히 보안 네트워크 프로토콜(SSH) 버전 관리와 로컬 보안 정책 관리를 하반기로 미뤘으며, 최신 통신 암호화 표준인 TLS 1.3 구축은 가용 자원 검토를 이유로 연기했다.
정보보안 전담 조직 신설 지적에 대해서도 기한 없이 검토하겠다는 입장을 보였다. 이러한 보안 관리 부실은 이후 '모두의 창업' 프로젝트에서 공식 협력사에 의한 대규모 개인정보 및 아이디어 유출 사고로 이어졌다.
루머 1건
ZDNet 기사에 따르면, 창업진흥원은 '모두의 창업' 프로그램에서 1차 합격자들의 프로필이 유출된 해킹 사건이 외부 해커가 아닌 사업 지원 업체의 행위라고 보고했으며, 솔루션 공급 기업 목록에 포함된 업체 중 한 곳이 참가자들의 정보를 해킹한 정황이 파악됐다고 밝혔다.
중소벤처기업부와 국가정보원은 2026년 5월 12일부터 축적된 플랫폼 시스템 로그를 바탕으로 정보 유출 경로와 범위를 확인하는 합동 조사를 시행했다.
이번 사고는 6월 15일 합격자 5,000명의 프로필이 공개된 이후 발생했으며, 조사 결과 권한 없는 외부 주체가 웹 크롤링을 통해 비공개 정보가 포함된 API를 수집한 것으로 드러났다. 특히 정보가 암호화되어 있었으나 암호키가 소스코드에 함께 노출되어 실제 복호화가 가능했던 점이 핵심 원인으로 파악됐다.
중소벤처기업부는 조사 결과 비공개 정보에 접근을 시도한 국내 IP가 총 39개임을 확인하고 현재 경찰청과 함께 세부 내역 및 특정 인공지능 솔루션 업체와의 연관성을 수사하고 있다.
2026년 5월 15일 모두의 창업 프로젝트 합격자 5,000명의 이메일 주소, 심사평, 200자 이내의 창업 아이디어 요약본이 외부로 유출됐다. 중소벤처기업부와 국가정보원의 합동 조사 결과, 국내 IP 39개가 웹 크롤링 수법으로 API 비공개 정보에 접근한 것으로 확인됐다.
유출된 데이터는 암호화 상태였으나 암호키가 API 내 소스코드 형태로 함께 포함되어 있어 평문 복호화가 가능했다. 중기부는 이에 대응해 신규 암호화 솔루션을 도입하고 개인정보 관리체계를 전면 개편했으며, 8월 중순까지 행정 절차를 마무리한 뒤 2기 모집을 시작할 계획이다.
루머 2건
피해신고센터에 창업 아이디어가 도용됐다는 의혹이 제기된 사례가 2건 접수되었으나, 중소벤처기업부가 전문기관을 통해 조사한 결과 실제 도용은 아닌 것으로 파악됨.
연합뉴스 기사에 따르면, '웹 크롤링'은 인공지능(AI) 기반 자동 수집 기능이며, 이번 개인정보 유출 사고를 일으킨 업체가 이 수법을 사용한 것으로 알려졌다.
2026년 5월, 모두의 창업 플랫폼에서 한 줄 아이디어 1만 6,000건과 비공개 설정된 팀원 정보 8,000여 명이 외부에 노출되었다는 사용자 제보가 접수되었다. 플랫폼 개발사는 해당 제보를 확인한 후 즉시 차단 조치를 시행했다.
하지만 개발사는 이 사실을 중소벤처기업부나 창업진흥원에 보고하지 않고 자체적으로 처리했다. 이로 인해 정부 차원의 초기 대응이 지연되었으며, 이후 중소벤처기업부는 보고 누락 경위에 대해 법률적 검토를 거쳐 엄정한 책임을 묻겠다고 밝혔다.
2026년 7월 21일, 창업진흥원(창진원)이 중소벤처기업부가 운영하는 ‘모두의 창업’ 개인정보를 관리하면서 보안감사에서 15개 항목에 미비점이 확인돼 감점을 받았다.
창진원은 지난달 제출한 개선 계획에 따라 8개 항목은 이미 개선했으나, 나머지 7개 항목은 아직 조치되지 않은 상태였으며, 이 중 반·출입 점검 실적 부재, 로컬 보안 정책 관리 미흡, SSH 프로토콜 버전 관리 미흡 등이 포함된다.
창진원 관계자는 7개 미조치 항목 중 1개는 올해 초에 완료했고, 추가 5개는 최근 마무리됐으며, 마지막 1개는 예산 확보 후 연내에 완료할 예정이라고 밝혔다.
2026년 6월 15일 오전 9시, 중소벤처기업부·창업진흥원이 운영하는 ‘모두의 창업’ 플랫폼에서 1차 합격자 프로필이 공개된 직후, 프로젝트에 참여한 AI 솔루션 업체가 비정상적인 API 호출과 자동 웹 크롤링을 시작했다.
이 업체는 백엔드 API에서 권한 검증 없이 비공개 설정된 참가자들의 이메일 주소, 심사평, 창업 아이디어 요약본, 자기소개 등 5,000명에 달하는 개인정보를 대량으로 수집했으며, 같은 날 오후 4시에는 해당 취약점을 차단하고 자동 수집 방어 조치를 적용하였다.
6월 18일 경에는 피해자에게 문자 통지를 하고 국가사이버안보센터 등 외부 전문기관과의 합동 조사가 시작되었다.
2026년 6월 15일, 중소벤처기업부가 주관한 전 국민 창업 오디션 ‘모두의 창업’ 1기 합격자 5,000명의 비공개 프로필이 외부에 노출되는 정보유출 사고가 발생했다.
비공개 이메일, 닉네임, 합격 여부, 창업 아이디어 요약본 및 심사평 등은 공개됐으나 실명·전화번호는 제외됐으며, 원인은 공식 협력업체인 국내 AI 솔루션 업체가 보안이 미비한 API를 웹 크롤링해 데이터를 수집한 것으로 드러났다.
이 사실은 동일 날 오후 이용자 제보를 통해 인지되었으며, 중소벤처기업부는 즉시 4시경 비인가 접근 경로를 차단하고, 70시간 뒤(6월 18일) 관계기관에 공식 신고했으며, 6월 22일 한성숙 장관이 사과와 재발 방지 대책을 발표했다.
루머 2건
제공된 근거에서는 비공개 이메일이 외부에 드러났다는 구체적인 내용이나, 개인정보 유출 건수가 최대 4천건 수준까지 늘어날 가능성이 제기됐다는 언급이 없습니다. 해당 자료는 중소벤처기업부 창업 지원사업에서 5천명의 합격자 프로필이 외부에 노출된 사례만을 다루고 있어, 주장과 직접적으로 연결되는 증거가 없음을 확인했습니다.
중소벤처기업부가 운영하는 창업지원사업에서 5천 명의 합격자 개인 프로필이 15일 오전 9시에 외부에 공개된 뒤, 외부 접근 시도가 확인됐지만 정부는 같은 날 오후 3시에야 이를 인지하고 오후 4시에 허가되지 않은 접근 경로를 차단했다. 이처럼 외부 접근 통제가 제때 이루어지지 않아 개인정보가 유출된 점이 관리 부실을 입증한다.
2026년 6월 15일, 정부가 주관하는 대국민 창업 경연 ‘모두의 창업’에서 합격자 5,000명의 프로필이 공개된 뒤 비공개 정보에 대한 외부 접근 시도가 발생했다.
중소벤처기업부는 같은 날 오후 3시에 이용자 문의를 통해 유출 가능성을 인지했고, 오후 4시에 접근 경로를 차단했으며, 6월 16일에는 AI 자동 수집 차단 조치를 추가했다.
6월 18일에는 피해자에게 통지를 하고 한국인터넷진흥원(KISA)에 신고를 완료했으며, 유출된 정보는 이메일 주소, 아이디어 요약, 심사평이며 실명·휴대전화·상세 사업계획서는 확인되지 않았다.
2026년 6월 22일, 한성숙 국무총리 후보자(중소벤처기업부 장관)는 중기부가 운영하던 ‘모두의 창업’ 프로젝트에서 6월 15일 발생한 개인정보 유출 사고와 관련해 서울 종로구 금융감독연수원 인사청문회 준비 사무실에 출근해 공식 사과했다.
그녀는 “걱정과 불편을 겪은 이용자 여러분께 진심으로 사과드린다”며 주무 부처 장관으로서 책임을 통감한다는 의사를 표명했고, 피해자 보호와 재발 방지를 위한 긴급 보안 조치, 외부 보안 전문기관과의 협업, 조사 결과의 투명 공개 등을 약속했다.
유출된 정보는 1차 합격자 5,000명의 비공개 이메일, 닉네임, 합격 여부, 창업 아이디어 요약본 및 심사평 등이며, 이름·전화번호는 포함되지 않았다. 사고 원인은 프로젝트 참가자를 지원하던 외부 업체가 해킹당해 연쇄적으로 정보가 노출된 것으로 파악되었다.
루머 1건
보도에 따르면 창업진흥원은 자체 시스템 대신 구글폼 등 외부 설문 플랫폼을 활용해 '모두의 창업' 프로젝트 참가 신청을 받았으며, 이때 기업명, 솔루션 가격, 연락처, 이메일 등 개인정보가 수집되었다. 외부 설문 도구는 보안 검증이 이루어지지 않아 개인정보보호법상 요구되는 저장 위치, 접근 권한, 삭제·로그 관리, 국외 이전 여부 등에 대한 입증 책임을 이행하기 어렵다. 따라서 구글폼 사용은 보안이 입증되지 않아 개인정보보호법의 안전조치 의무를 위반할 가능성이 있다는 우려가 제기된다.
2026년 7월 14일, 대전경찰청은 ‘모두의 창업’ 프로젝트 참가자들의 개인정보가 유출된 사건과 관련해 AI 솔루션 업체 대표 등을 정보통신망법 위반 혐의로 입건하고, 이달 초 해당 AI 솔루션 업체와 서버 관리 업체 등 총 4곳을 압수수색하였다.
강승규 국민의힘 의원이 공개한 개인정보 유출신고서에 따르면, 해당 AI 솔루션 업체는 비정상적인 API 호출을 통해 비공개 이메일 주소를 수집하고 이를 이용해 홍보 메일을 발송한 것이 확인되었다. 경찰은 압수수색을 통해 확보한 서버 로그 등 자료를 분석하여 유출 경위를 규명하고 있다.
2026년 7월 31일, 중소벤처기업부 장관 직무대행인 노용석 1차관은 서울 종로구 정부서울청사 별관에서 ‘모두의 창업’ 프로젝트 개인정보 유출 사고에 대한 조사 결과와 향후 보완 계획을 발표했다.
중소벤처기업부와 국가정보원은 5월 12일부터 시작한 합동 조사에서 비공개 정보가 포함된 일부 API가 웹 크롤링 등 자동화된 방법으로 수집돼 유출되었으며, 암호화된 데이터와 암호키도 동시에 노출됐음을 확인했다.
유출된 정보는 1기 합격자 5,000명의 이메일 주소, 심사 평점, 200자 이내의 창업 아이디어 요약본이며, 국내 IP 39개가 비공개 정보에 접근을 시도한 것으로 드러났다.
이에 부처는 API 전면 점검·불필요 기능 삭제·새 암호화 솔루션 도입·접근 로그 기록·크롤링 차단 강화 등을 포함한 보안 시스템 강화와 개인정보 보유·파기 기준 개선, 접근 권한 제한, 피해자 지원센터 운영 및 아이디어 보호·컨설팅 지원 확대 등 종합적인 보완 조치를 발표했다.
창업진흥원은 중소벤처기업부의 2025년 정보보안 실태 점검에서 15개 항목의 감점을 받았으며, 이 중 절반가량이 미조치 상태로 방치된 사실이 드러났다. 특히 TLS 1.3 구축과 정보보안 전담 조직 신설 등 핵심 보안 사항을 하반기로 미루거나 검토 대상으로 분류하며 안일하게 대처했다는 지적을 받았다.
논란이 확산하자 창업진흥원은 미조치 항목 중 6건을 최근 완료했으며, 남은 1건도 예산을 확보해 연내에 처리하겠다고 공식 해명했다. 하지만 이미 1차 합격자 5,000명의 정보가 유출된 후의 조치라는 점에서 사후약방문이라는 비판이 제기된다.
관련 루머 1건
중소벤처기업부의 ‘모두의 창업’ 프로젝트에서 5,000명의 개인정보가 외부 해킹이 아닌 프로젝트 진행 과정에서 유출된 것으로 밝혀졌다. 이에 대해 대전경찰청 사이버수사대는 AI 솔루션 업체와 해당 업체의 서버 관리 주체 등 4곳을 압수수색했으며, 정보통신망법 위반 혐의로 관계자를 입건했다. 경찰은 확보한 서버 로그와 전자정보를 분석해 개인정보 취득·활용 과정의 적법성 및 유출 경위를 조사하면서, 시스템 접근 권한·개인정보 관리 절차 전반과 함께 프로젝트 운영 중 보안 관리 책임 여부를 확인하겠다고 밝혔다. 이러한 수사 진행 상황이 정보보호 관리 책임에 대한 논란을 확대하고 있다.
사실관계와 책임 범위를 둘러싼 쟁점입니다.
보도에 따르면 외부 해커가 서버를 직접 공격한 흔적은 확인되지 않았으며, 유출 원인으로 외부 공격이 제시된 근거는 현재 제시되지 않았다.
사실관계와 책임 범위를 둘러싼 쟁점입니다.
제공된 뉴스스 기사에서는 한성숙 후보자의 사과에 관한 내용이 전혀 언급되지 않는다. 따라서 현재까지 확인된 자료만으로는 한성숙 후보자가 언제, 어떤 상황에서 공식 사과를 했는지 판단할 근거가 없다.
심각한 보안 사고를 일으킨 플랫폼 개발 및 운영 업체를 교체하지 않고 2기 사업을 진행하기로 한 결정에 대한 논쟁이다.
운영사 변경 시 소요되는 시간적 문제와 추경 예산의 집행 기한, 그리고 현장 간담회를 통해 확인된 빠른 사업 재개 수요 등을 이유로 들었다.
보안 관리 소홀로 인한 대규모 정보 유출 사고가 발생했음에도 불구하고 운영사를 유지하는 것은 부적절하다는 지적이다.
창업진흥원이 보안 감사 지적 사항을 방치한 점이 실제 정보 유출 경로인 API 취약점과 직접적인 인과관계가 있는지에 대한 쟁점입니다.
지난해 보안 감사에서 15개 항목의 감점을 받았음에도 불구하고, 사고 임박 시점까지 7개 핵심 보안 사항을 방치했습니다. 특히 API 응답을 통해 개인정보가 노출되는 구조적 결함에 대해 한 달 전 제보를 받고도 근본적인 개선 없이 임시 조치에 그쳐 결국 대규모 유출을 초래했습니다.
미조치로 알려진 7개 항목 중 1개는 이미 올해 초에 완료했고, 5개는 최근에 마무리를 지었습니다. 남은 1건에 대해서도 예산을 확보하여 연내에 완료할 계획입니다.
사실관계와 책임 범위를 둘러싼 쟁점입니다.
중소벤처기업부는 사고 당일(6월 15일) 플랫폼 이용자 제보를 통해 문제를 인지하고 접근을 차단했지만, 유관 기관에 공식 신고를 하기까지 약 70시간이 걸렸다. 이처럼 신고가 지연된 점은 ‘뒷북 신고’라 불리며, 사전 보안 감사에서 지적받은 미비점이 개선되지 않은 채 프로젝트를 추진한 점과 맞물려 정부의 늑장 대응이라는 비판을 받고 있다.
사고 발생 직후 중소벤처기업부는 비공개 정보에 대한 무단 접근 경로를 차단하고, AI 기반 자동 수집 차단 기능을 추가 적용했다. 이어서 9개 IP에 대한 수사를 경찰청에 의뢰하고, 개인정보보호위원회와 한국인터넷진흥원의 조사를 진행했으며, 차관 주재 TF를 신설해 대응 체계를 격상했다. 또한, 피해 창업가에게 영업비밀 원본증명서 발급·기술임치·무료 법률 상담 등 전면적인 지원책을 마련해 사후 조치를 체계적으로 시행하였다.
데이터가 암호화되어 있었음에도 불구하고 암호키가 동일한 API 내 소스코드 형태로 유출되어 사실상 무력화되었다는 점에 대한 논쟁이다.
정보들이 암호화되어 있었으나 암호키가 함께 유출되며 복호화가 가능했던 것으로 확인되었다고 설명했다.
API에 비공개 정보와 암호키를 분리 없이 소스코드 형태로 함께 보관하는 치명적인 오류를 범해 웹 크롤링 수법에 허무하게 뚫렸다.
사실관계와 책임 범위를 둘러싼 쟁점입니다.
5,000명 전원의 정보가 외부로 나간 것이 확인된 것이 아니라, 피해 가능성이 있는 최대 인원수이다.
사실관계와 책임 범위를 둘러싼 쟁점입니다.
접근 경로는 1시간 만에 차단했으며, 유출 범위 특정 및 피해 대응 절차 구축을 위해 통보까지 약 68시간이 소요된 것이다.