'모두의 창업' 유출 사태…지재권·영업비밀 문제로 확산하나

창업진흥원, 개인정보위에 유출 신고…정확한 피해 규모 추가 파악 중

아이디어 요약·심사평 포함…개인정보 외 영업비밀·지식재산권 성격 여부 쟁점

모두의 창업 1기 출범식 [사진=연합뉴스]

중소벤처기업부 산하 창업진흥원의 '모두의 창업'에서 발생한 합격자 5000명의 정보 유출 사고가 단순 개인정보 유출뿐 아니라 아이디어 보호, 영업비밀 문제로 확산될 것으로 보인다. 유출 항목에 이메일과 창업 아이디어 요약본, 심사평이 포함된 것으로 확인되면서 해당 정보의 성격과 추가 피해 가능성이 향후 조사 쟁점으로 떠오르고 있다.

22일 정보기술(IT) 업계에 따르면 창업진흥원은 최근 모두의 창업 정보 유출 사고와 관련해 개인정보보호위원회(이하 개인정보위)에 유출 사실을 신고해 조사가 시작된 가운데 단순 개인정보가 아닌 지식재산권, 영업비밀 문제로 확대될 것으로 보인다. 경우에 따라서는 대규모 소송전으로 번질 수 있어 관련 업계도 예의 주시하고 있다.

강승규 국민의힘 의원실이 창업진흥원으로부터 받은 개인정보 유출 신고서에 따르면 지난 15일 오전 9시 프로젝트에 참여한 인공지능(AI) 솔루션 업체가 비정상적인 응용 프로그램 인터페이스(API) 호출을 통해 비공개 이메일 주소를 확보했다. 해당 업체는 확보한 이메일 주소로 홍보 메일을 발송하면서 정보 유출 사실이 알려졌다. 창업진흥원은 이 같은 사실을 같은 날 오후 3시께 민원을 통해 인지했다.

업계는 이번 정보 유출이 이메일 주소뿐 아니라 아이디어 요약과 심사평이 유출 항목에 포함됐다는 점에서 일반적인 개인정보 유출과 다른 성격을 띤다고 보고 있다. 이메일 주소는 개인정보로 분류되는 것과 달리, 아이디어 요약과 심사평은 지식재산권 또는 영업비밀 침해 여부로 다뤄질 수 있기 때문이다.

해당 정보에는 예비 창업자의 사업 모델과 평가 내용이 담겼을 가능성이 있어 공공 지원 사업에 제출한 아이디어가 외부로 흘러나간 경우 추가 피해로 이어질 수 있다는 지적이 나온다.

창업진흥원이 제출한 유출 경위에 따르면 비공개로 설정됐던 이메일 주소는 외부 화면상으로 표출되지 않았다. 하지만 API 접근 권한이 없었던 해당 업체는 특정 API 호출과 인공지능(AI) 기반 자동 수집, 웹 크롤링으로 정보 취득이 가능했던 것으로 파악됐다.

또 서비스 화면에서는 접근할 수 없도록 기능이 차단돼 있었으나 도전자 프로필, 심사평 등 일부 서버 API 역시 보안이 미흡했다는 내용도 담겼다.

강승규 의원실은 창업진흥원이 제출한 개인정보 유출 신고서만으로는 구체적인 유출 경위와 보안 수준을 판단하기 어렵다고 설명했다. 강승규 의원실 관계자는 "신고서상 자세한 정황이 드러나 있지는 않다"며 "당시 보안 수준에 대해서는 추가 확인이 필요하다"고 말했다.

더불어 이번 사고는 내부 접근 수단 관리 문제가 부각됐던 쿠팡 개인정보 유출 사고와도 비교된다. 지난해 쿠팡에서 발생한 개인정보 유출 사고는 전직 직원이 인증 체계와 서명키를 악용한 정황이 확인되면서 내부 접근 권한과 인증 수단 관리 문제가 쟁점이 됐다. 업계는 모두의 창업 정보 유출 역시 사업 참여 업체로부터 불거진 사건이라는 점에서 쿠팡 건과 비슷하다고 지적했다.

업계는 이번 사고의 처분 수위가 실제 유출 규모와 피해 범위, AI 솔루션 업체의 API 접근 경위, 창업진흥원의 사전 보안 조치 수준에 따라 달라질 것으로 보고 있다. 다만 유출 규모와 실제 피해 범위, 해당 업체의 접근 권한 보유 여부, 창업진흥원의 안전조치 이행 수준이 아직 확정되지 않아 현 단계에서 가중 처분 가능성을 단정하기는 어려운 상황이다. 개인정보위 관계자는 "중대성 여부는 조사를 통해 확인해야 알 수 있을 것"이라고 말했다.

한편 창업진흥원은 사고 인지 후 개인정보 유출 통지서를 작성해 정보 주체에게 문자로 통지했다고 신고했다. 정보 주체가 개인정보 유출 여부를 확인할 수 있도록 홈페이지에 확인 기능을 마련하고, 추가 피해를 최소화하기 위한 피해 접수 창구도 운영할 계획이다.