문서 ID:CTI-2026-0618-MODOO발행일:2026년 6월 18일분석가:Dennis Kim (김호광 / HoKwang Kim) — CEO, Betalabs Inc. / Independent CTI Analyst / Microsoft Azure ex-MVPTLP:CLEAR사고 발생일: 2026년 6월 15일
Executive Summary (요약)
본 보고서는 중소벤처기업부(중기부)가 주관하고 창업진흥원이 운영하는 대국민 창업 오디션 플랫폼 '모두의 창업'에서 2026년 6월 15일 발생한 데이터 침해 사고를 분석한다. 1차 합격자 5,000명의 프로필이 6월 15일 오전 9시 공개된 직후, 다수의 IP가 플랫폼의 비공개(private) 데이터 필드에 무단 접근하여 이메일 주소, 아이디어(비즈니스 모델) 요약본, 그리고 심사위원 평가 내용을 외부로 유출했다.
이 사고가 일반적인 정부 사이트 개인정보 유출과 구별되는 본질적 특징은 두 가지다. 첫째, 유출 대상이 단순 PII(개인식별정보)를 넘어 참가자의 핵심 자산인 사업 아이디어 요약본과 비공개 심사평을 포함한다는 점 — 즉 영업비밀·지식재산(IP) 침해의 성격을 띤다. 둘째, 침해 방식이 외부 시스템 해킹이 아니라 플랫폼 자체의 접근통제 결함을 정상 인터페이스로 악용한 데이터 스크래핑일 가능성이 높다는 점이다.
본 보고서의 사실관계는 중기부 발표와 언론 보도(헤럴드경제, 머니투데이 등 2026.06.17~18)에 근거하며, 침해의 기술적 메커니즘에 관한 서술은 공개 정보에 기반한 분석가의 평가(assessment)로, 확정된 사고 원인이 아니다. 정확한 원인은 국가사이버안보센터·KISA의 침해사고 조사 결과로 규명될 것이다.
핵심 결론 (Key Judgments)
| # | 핵심 판단 | 신뢰도 |
|---|---|---|
| KJ-1 | 침해는 외부 침입(intrusion)이 아니라, 프로필 공개 시점에 비공개 필드가 접근 가능 상태로 노출된 접근통제 결함(Broken Access Control)을 다수 IP가 자동화 수집(scraping)한 것일 가능성이 높다. | Medium |
| KJ-2 | 유출 데이터에 아이디어 요약본·심사평이 포함되어, 본 사고는 PII 유출을 넘어 참가자 IP 자산 및 비공개 평가 정보 침해로 평가된다. | High |
| KJ-3 | 유출 직후 합격자에게 닉네임을 특정한 '정책 지원사업 합격 로드맵', 'R&D 지원금 확보' 등 표적 광고·피싱 메일이 발송되어, 유출 데이터가 이미 사회공학 공격에 활용되고 있다. | High |
| KJ-4 | 6만 3천 명 지원·12.6대 1 경쟁이라는 대규모 플랫폼이 단기간에 출범하면서, 속도 우선 개발(launch-first)에 따른 보안 검증 공백이 구조적 원인일 개연성이 높다. | Medium |
| KJ-5 | 본 사고는 향후 7월 출범 예정인 2차 프로젝트(선발 규모 1만 명으로 2배 확대)와 연계 사업(모두의 아이디어, AI 경진대회)으로 동일 위험이 전이될 수 있는 선례적 사고다. | Medium-High |
사고 평가 요약 (Incident Assessment)
| 항목 | 평가 |
|---|---|
| 사고 유형 | 비공개 데이터 무단 접근 및 유출 (Data Exposure / Unauthorized Access) |
| 추정 메커니즘 | 접근통제 결함(BOLA/IDOR 추정) 기반 자동화 데이터 수집 — 분석가 평가 |
| 영향 대상 | 1차 합격자 5,000명 (지원자 총 63,000명 중) |
| 유출 정보 | 이메일 주소, 아이디어(비즈니스 모델) 요약본, 심사위원 평가 내용 |
| 미유출 확인(중기부) | 실명, 휴대전화 번호, 도전 신청서 원문(상세 아이디어) — 현재까지 조회·유출 사례 없음 |
| 접근 주체 | 9개 IP (중기부 발표) |
| 노출 창(window) | 2026.06.15 09:00 ~ 16:00 (약 7시간) |
| 2차 피해 | 표적 광고·피싱 메일 발송 확인 |
| 운영 영향 | 정부 신뢰도 훼손, 참가자 IP 자산 노출, 후속 사업 위험 전이 |
1. 사고 개요 및 타임라인
1.1 플랫폼 배경
'모두의 창업'은 중기부가 2026년 3월 25일 '국가창업시대 전략회의'에서 발표한 대국민 창업 오디션 프로젝트다. 아이디어 중심의 간결한 서류만으로 누구나 참여할 수 있는 개방형 플랫폼으로, 창업진흥원이 운영을 맡았다. 핵심 수치는 다음과 같다.
| 항목 | 내용 |
|---|---|
| 총 지원자 | 약 63,000명 |
| 경쟁률 | 12.6 대 1 |
| 1차 합격자 | 5,000명 (2026.06.16 선발) |
| 최종 지원 규모 | 최우수 1명 최대 10억 원 상금·투자 연계 |
| 개인정보 제공처(공지) | 창업진흥원, 소상공인시장진흥공단, 신한카드 |
| 수집 정보 | 닉네임, 이메일, 휴대폰 번호, 실명, 성별, 생년월일 |
플랫폼은 프로필 항목을 공개/비공개로 구분한다. 공개 항목은 닉네임·팔로우 수·라운드 진출 여부이며, 비공개 선택 항목은 이메일 주소·아이디어 요약·자기소개다. 이 비공개 항목이 이번 사고의 유출 대상이 되었다는 점이 핵심이다.
1.2 사고 타임라인 (확인된 사실)
| 일시 | 사건 |
|---|---|
| 2026.06.15 09:00 | 1차 합격자 5,000명 프로필 공개. 직후 비공개 정보에 대한 접근 시도 시작 |
| 2026.06.15 09:00~16:00 | 9개 IP가 비공개 데이터(이메일·아이디어 요약·심사평)에 무단 접근 |
| 2026.06.15 16:00경 | 중기부, 허가되지 않은 접근 경로 차단 |
| 2026.06.16 | 1차 합격자 5,000명 공식 선발 발표 (출범식) |
| (유출 후) | 합격자에게 닉네임 특정 '정책 지원사업 합격 로드맵', 'R&D 지원금 확보' 광고·피싱 메일 발송 확인 |
| 2026.06.18 13:00 | 중기부, 한국인터넷진흥원(KISA)에 개인정보 유출 신고 |
| 2026.06.18 | 모두의 창업 홈페이지 사과문 게재, 피해신고센터 운영. 국가사이버안보센터 등과 침해사고 조사 착수. 합격자 전원에 개별 통지 |
2. 유출 데이터 분석
2.1 유출 정보의 분류와 민감도
| 데이터 유형 | 분류 | 민감도 | 비고 |
|---|---|---|---|
| 이메일 주소 | PII | 중 | 표적 피싱의 1차 식별자. 닉네임과 결합 시 사회공학 효과 증폭 |
| 아이디어(비즈니스 모델) 요약본 | 영업비밀 / IP | 상 | 참가자의 핵심 자산. 다수가 의도적으로 비공개 설정한 정보 |
| 심사위원 평가 내용 | 비공개 내부 평가 | 상 | 평가의 공정성·기밀성 훼손. 심사위원-참가자 양측 모두에 민감 |
중기부는 실명·휴대전화 번호 등 추가 PII와 도전 신청서 원문(상세 아이디어)은 현재까지 조회·유출 사례가 없다고 확인했다. 즉 유출은 비공개 프로필 필드에 한정된 것으로 보이나, 그 안에 IP 자산과 내부 평가가 포함되었다는 점이 본 사고의 무게를 결정한다.
2.2 왜 '아이디어 유출'이 본질인가?
일반적인 개인정보 유출은 PII의 부정 사용(스팸·명의도용)을 우려한다. 그러나 창업 오디션 플랫폼에서 아이디어 요약본은 곧 참가자의 사업 자산이다. 중기부 스스로 스타트업의 아이디어를 핵심 자산으로 보고 '아이디어 임치제도'를 운영해 왔다는 점에서, 정부 플랫폼이 이를 보호하지 못한 것은 정책 일관성의 문제로도 이어진다.
심사평 유출은 또 다른 차원의 문제다. 비공개를 전제로 작성된 평가가 외부에 노출되면, 향후 평가의 솔직성이 훼손되고 심사위원이 법적·평판 리스크에 노출될 수 있다. 평가 정보가 경쟁 참가자에게 흘러갈 경우 선발 절차의 공정성 자체가 의심받게 된다.
3. 침해 메커니즘 분석 (분석가 평가)
본 절은 확정된 조사 결과가 아니라, 공개된 사고 정황으로부터 도출한 가설적 평가다. 실제 원인은 KISA·국가사이버안보센터 조사로 확정된다.
3.1 핵심 정황 — '공개 직후 비공개 접근'
가장 중요한 단서는 프로필이 공개된 직후 비공개 정보에 대한 접근 시도가 시작됐다는 중기부 설명이다. 이는 침해가 다음 순서로 전개되었을 가능성을 강하게 시사한다.
- 6월 15일 09:00, 5,000명의 공개 프로필이 일제히 게시됨 (닉네임·팔로우·라운드 정보)
- 공개 프로필은 내부적으로 사용자 식별자(user ID, 순번 등)에 의해 참조됨
- 비공개 필드(이메일·아이디어 요약·심사평)가 동일한 식별자로 API 또는 객체 참조를 통해 조회 가능한 상태였던 것으로 추정
- 9개 IP가 식별자를 순회(enumeration)하며 비공개 필드를 자동 수집
3.2 추정 취약점 — Broken Object-Level Authorization (BOLA/IDOR)
위 정황은 접근통제 결함의 전형적 패턴과 부합한다.
| 항목 | 내용 |
|---|---|
| 취약점 유형(추정) | BOLA(Broken Object-Level Authorization) / IDOR(Insecure Direct Object Reference). OWASP API Security Top 10의 1위(API1) |
| MITRE ATT&CK | T1190 (Exploit Public-Facing Application), T1213 (Data from Information Repositories), TA0009 (Collection) |
| 메커니즘 | 클라이언트는 비공개 필드를 표시하지 않으나, 백엔드 API가 요청자의 권한을 객체 단위로 검증하지 않아 식별자만 알면 비공개 필드를 반환 |
| 자동화 | 9개 IP의 7시간 집중 접근은 수작업이 아닌 스크립트 기반 대량 수집(scraping)을 시사 |
이 패턴은 단기간에 출범한 정부·공공 플랫폼에서 반복적으로 발견되는 결함이다. 프런트엔드에서 '비공개'로 숨기지만 API 응답에는 해당 데이터가 그대로 포함되거나, 별도 엔드포인트가 권한 검증 없이 데이터를 반환하는 경우다.
3.3 대안 가설
- 권한 오설정(Misconfiguration): 프로필 공개 배치(batch) 작업 시 비공개 플래그가 일시적으로 무력화되었을 가능성.
- 내부자/제공처 경유 유출: 개인정보 제공처(창업진흥원·소상공인시장진흥공단·신한카드) 또는 운영 위탁 과정의 유출 가능성. 단, '9개 IP의 외부 접근'이라는 발표는 이 가설보다 외부 수집 가설에 무게를 둔다.
- 자격증명 탈취: 운영자 계정 탈취 가능성. 단, 비공개 필드에 한정된 유출 범위는 전면적 DB 침해보다 제한적 접근통제 결함에 부합한다.
4. 2차 피해 분석 — 표적 사회공학
유출 데이터는 이미 공격에 활용되고 있다. 합격자들은 본인의 닉네임을 정확히 특정한 '정책 지원사업 합격 로드맵' 제목의 이메일과, '자사가 국가 R&D 지원금 확보를 돕겠다'는 광고 메일을 수신했다. 한 합격자는 닉네임·이메일을 누구에게도 알린 적이 없음에도 이를 언급한 메일을 받아 유출을 인지했다.
| 단계 | 공격 양상 |
|---|---|
| 데이터 확보 | 닉네임 + 이메일 + 합격 여부 + (일부) 아이디어 맥락 |
| 신뢰 구축 | 합격 사실과 닉네임을 인용해 "정부/공식 연계"인 듯한 신뢰감 조성 |
| 후속 행동 유도 | R&D 지원금·정책 자금 확보 명목의 컨설팅·결제·정보 입력 유도 가능 |
| 위험 | 합격자의 기대 심리를 악용한 표적 피싱·사기로 확대될 수 있음 |
합격이라는 긍정적 사건의 맥락을 악용하는 점이 이 사회공학의 위험 요소다. 피해자는 메일을 합격 후속 안내로 오인하기 쉽다.
5. 공공기관 및 정부 영향 분석
5.1 직접 영향
- 정부 주관 사업의 신뢰도 훼손: 중기부가 직접 추진하고 국무총리 후보자(한성숙 장관)가 출범식에서 강조한 간판 사업에서 발생한 사고로, 정책 신뢰에 직접 타격.
- 정책 일관성 문제: 아이디어를 핵심 자산으로 보호하겠다던 정부가(아이디어 임치제도 운영) 정작 자체 플랫폼에서 아이디어 요약본을 유출.
- 법적 리스크: 개인정보보호법상 안전조치 의무 위반 여부, 피해 참가자의 손해배상 청구 가능성. (참고: 동시기 티빙 이용자들이 개인정보 유출로 1인당 30만 원 손해배상 소송을 제기한 사례가 보도됨.)
5.2 후속 사업으로의 위험 전이
7월 출범 예정인 2차 프로젝트는 선발 규모를 5,000명에서 1만 명으로 2배 확대하며, 연계 사업으로 지식재산처의 '모두의 아이디어', 과기정통부의 'AI 경진대회'가 예정되어 있다. 1차에서 드러난 접근통제 결함이 동일 아키텍처를 공유하는 후속 플랫폼에 그대로 전이되면, 피해 규모가 비례 확대될 수 있다. 2차 출범 전 구조적 보안 검증이 선행되어야 한다.
5.3 공공 플랫폼 일반에 대한 시사점
| 시사점 | 내용 |
|---|---|
| 속도-보안 트레이드오프 | 대규모 대국민 플랫폼이 정책 일정에 맞춰 단기 출범하면서 보안 검증이 후순위로 밀리는 구조적 문제 |
| API 권한 검증 부재 | '비공개' 표시가 UI 차원에 그치고 API/객체 단위 인가가 누락되는 전형적 결함 |
| 데이터 분류 부재 | PII와 IP 자산(아이디어·평가)을 동일 수준으로 다뤄, 고민감 데이터에 대한 차등 보호 미흡 |
| 위탁·제공처 관리 | 다수 기관(창업진흥원·공단·카드사)에 정보가 분산되어 책임 소재·관리 경계가 불명확 |
6. 침해 지표 및 탐지 (Indicators & Detection)
현재 공개된 기술적 IOC는 제한적이다. 아래는 보도된 사실과 동종 사고 대응을 위한 탐지 관점이다.
6.1 확인된 지표
| 유형 | 값 |
|---|---|
| 접근 주체 | 9개 IP (구체적 IP는 미공개) |
| 노출 창 | 2026.06.15 09:00 ~ 16:00 |
| 피싱 메일 제목(예시) | "정책 지원사업 합격 로드맵" |
| 피싱 미끼 | "국가 R&D 지원금 확보 지원" |
6.2 동종 결함 탐지 권고 (BOLA/IDOR)
- 단일 또는 소수 IP가 순차적 식별자(user_id, 순번)로 대량 객체를 조회하는 패턴 탐지
- 동일 세션/IP에서 짧은 시간 내 비정상적으로 많은 프로필/리소스 조회 (rate anomaly)
- 비공개 필드를 반환하는 API 엔드포인트에 대한 인가 실패 없이 성공한 비소유자 요청 로그
- 정상 UI 흐름과 무관한 직접 API 호출(User-Agent 이상, Referer 부재 등)
7. 대응 및 재발 방지 권고
7.1 즉시 조치 (사고 대응)
- 영향받은 5,000명 전원에 유출 항목을 구체적으로 고지하고, 피싱 주의 안내 병행 (완료/진행 중)
- 유출 데이터를 악용한 피싱·광고 메일 발신 도메인·계정 신고 및 차단
- 비공개 필드를 반환하던 엔드포인트의 인가 로직 긴급 점검 및 차단 (15일 16시 접근 경로 차단은 응급 조치이며, 근본 원인 패치 필요)
- 접근 로그 전수 보존 및 9개 IP의 수집 범위 정밀 분석
7.2 구조적 재발 방지
| 영역 | 권고 |
|---|---|
| 인가 설계 | 모든 API에 객체 단위 권한 검증(Object-Level Authorization) 강제. UI의 '비공개'는 백엔드 인가로 반드시 뒷받침되어야 함 |
| 데이터 분류 | PII와 IP 자산(아이디어·평가)을 분리 분류하고, 고민감 데이터는 별도 암호화·접근 최소화·감사 적용 |
| API 게이트웨이 | rate limiting, 이상 조회 탐지, 식별자 순회 차단을 게이트웨이 레벨에 적용 |
| 출시 전 검증 | 대국민 플랫폼 출범 전 모의침투(특히 BOLA/IDOR 중심 API 보안 테스트) 의무화 |
| 위탁 관리 | 제공처·운영 위탁 기관 간 데이터 흐름·책임 경계 명문화 및 접근 감사 |
| 2차 사업 선반영 | 7월 2차 프로젝트 및 연계 사업(모두의 아이디어, AI 경진대회)에 동일 점검을 출범 전 적용 |
7.3 정책 권고
- 정부 대국민 플랫폼에 대해 출시 일정과 독립적인 보안 검증 게이트(security gate) 제도화
- 창업 플랫폼의 아이디어·평가 정보를 영업비밀 수준으로 보호하는 별도 가이드라인 수립 (정부의 아이디어 임치제도 철학과 일관)
- 침해사고 발생 시 피해자에 대한 IP 노출 영향 평가 및 구제 절차 마련
8. 맺음말 — '비공개'가 비공개가 아니었을 때
이 사고의 교훈은 단순하다. 화면에서 가린다고 데이터가 보호되는 것은 아니다. '비공개'로 표시된 이메일, 아이디어, 심사평은 백엔드에서 식별자만 알면 조회 가능한 상태였던 것으로 보이며, 9개의 IP는 공개 프로필이 게시된 바로 그 순간 이 틈을 7시간 동안 체계적으로 수집했다.
특히 이번 사고가 무거운 이유는 유출된 것이 단순 연락처가 아니라 참가자들이 의도적으로 비공개로 설정한 사업 아이디어와, 공정성을 전제로 작성된 심사평이라는 점이다. 창업 오디션에서 아이디어는 곧 자산이며, 평가의 기밀성은 곧 절차의 정당성이다. 정부가 보호하겠다고 선언한 바로 그 자산을, 정부 플랫폼이 노출했다.
6만 명이 몰린 플랫폼이 12.6대 1의 경쟁을 치르는 동안, 보안 검증은 그 속도를 따라가지 못했다. 7월 2차 프로젝트는 규모를 두 배로 키운다. 같은 결함을 두 배의 인원에게 반복하지 않으려면, 출범 일정이 아니라 인가 로직부터 다시 봐야 한다.
질문은 하나다. 우리 플랫폼에서 '비공개'는 UI의 약속인가, 백엔드의 보증인가? 그 답이 전자에 머무는 한, 다음 사고는 시간문제다.
부록 A: 참고 자료 및 출처
- 헤럴드경제 (2026.06.18): 부애리, "'모두의 창업' 합격자 개인정보 유출…'아이디어 요약본도 털렸다'"
- 머니투데이 유니콘팩토리 (2026.06.17): "[단독] '6만명 몰린' 모두의창업, 개인정보 유출 의혹…정부 '파악 중'"
- 뉴스1 (2026.06.16): "5000명 '모두의 창업' 첫발…한성숙 장관이 꼽은 인재상 '세 가지'"
- 중소벤처기업부 / 모두의 창업 홈페이지: 사과문 및 피해신고센터 공지 (2026.06.18)
- 참고(동시기 사례): 티빙 이용자 개인정보 유출 손해배상 소송 보도 (헤럴드경제)
부록 B: 분석가 정보 및 배포
| 항목 | 내용 |
|---|---|
| 분석가 | Dennis Kim (김호광 / HoKwang Kim) |
| 소속 | CEO, Betalabs Inc. (Seoul) / Independent CTI Analyst / Microsoft Azure ex-MVP |
| 이메일 | [email protected] |
| GitHub | github.com/gameworkerkim |
| Web3Paper | web3paper.net/ko |
| 문서 ID | CTI-2026-0618-MODOO |
| TLP | CLEAR — 자유 배포 가능 (출처 표기 권장) |
| 배포 언어 | 한국어 (원본) |
본 보고서의 사실관계는 공개 언론 보도와 중기부 발표에 근거한다. 침해 메커니즘에 관한 기술적 서술(3절)은 공개 정황에 기반한 분석가의 평가이며, 확정된 사고 원인이 아니다. 정확한 원인과 책임은 KISA·국가사이버안보센터의 침해사고 조사 결과로 규명될 것이다. 정책적 시사점과 권고는 본 분석가의 견해이다.
End of Document