[중소벤처기업부] ‘2차 모두의창업' AI 솔루션 공급기업(아미쿠스렉스) 해킹으로 참가자 818명 개인정보 유출…5개월 만에 재발_2026년 11월

중소벤처기업부의 창업 지원 사업 ‘2차 모두의 창업’에 참여한 AI 솔루션 공급기업 아미쿠스렉스(서비스명 ‘로폼’)가 2026년 11월 11일 외부 해킹을 당했다. 이 사고로 이용자 20,028명의 이름·전화번호·이메일이 유출됐고, 이 가운데 모두의 창업 참가자 818명이 포함됐다. 1차 사업 유출 이후 약 5개월 만의 재발이다.

□  개요 

   중소벤처기업부는 2026년 11월 13일, ‘2차 모두의 창업’ 프로젝트의 AI 솔루션 공급기업 아미쿠스렉스가 외부 해킹을 당해 참가자 818명의 개인정보가 유출됐다고 발표했다.
    모두의 창업은 창업 아이디어 검증과 사업화를 돕기 위해 외부 AI 솔루션 이용료를 지원하는 사업이다. 중기부가 솔루션을 직접 운영하지 않고, 지난달 AI·SW 전문가 평가위원회가 선정한 민간 공급기업 50곳이 각자 시스템에서 서비스를 제공한다. 참가자는 계정 발급에 필요한 개인정보를 공급기업에 제공하는 데 동의하고 서비스를 이용한다. 아미쿠스렉스는 이 50곳 가운데 하나로, AI 법률문서 서비스 ‘로폼’을 운영한다. 공격자는 11월 11일 오전 5시 38분경 관리자 페이지에 SQL 인젝션 공격을 시도해 침입한 것으로 알려졌다. 아미쿠스렉스는 같은 날 오전 8시 30분 이를 포착했다. 회사 전체 이용자 20,028명의 이름, 전화번호, 이메일 주소가 유출됐고, 이 가운데 모두의 창업 참가자는 818명이다.
    아미쿠스렉스는 취약한 API 코드를 삭제하고 해외 IP 접속을 차단했으며, 11월 11일 15시 45분 한국인터넷진흥원(KISA)에 신고했다. 창업진흥원과 중기부는 12일 18시 10분에 사고 사실을 전달받았고, 13일 15시 유출 이용자에게 개별 통지가 이뤄졌으며, 중기부는 같은 날 17시 8분 사고를 발표했다. 침해부터 공식 발표까지 약 60시간이 걸렸다. 중기부는 침해된 시스템이 민간 기업이 독자 운영하는 것으로 사업 공식 플랫폼과는 별개라고 밝혔다. 다른 공급기업에는 자체 보안 상태와 개인정보 관리 실태를 점검하도록 요청했다. 1차 사업에서도 서버 API 보안 취약점으로 합격자 약 5,000명의 이메일, 심사평, 창업 아이디어 요약 등이 유출돼 중기부가 재발 방지 대책을 내놓은 바 있다. 1차는 사업 플랫폼, 2차는 참여 업체에서 일어났지만 비슷한 API·웹 취약점이 노려졌다는 점에서 대책의 실효성과 공급기업 보안 검증에 대한 비판이 나온다. 정부 지원 사업 참가자 정보가 민간 공급기업 50곳에 분산 저장되는 구조여서, 가장 보안이 약한 업체가 전체 사업의 위험 지점이 될 수 있다(추정).

 

□  사고내용 요약  

    1. 기관명 : 중소벤처기업부·창업진흥원(모두의 창업) / 피해 업체 아미쿠스렉스(로폼)
    2. 사고유형
        - 해킹 : 공급기업 관리자 페이지 SQL 인젝션 시도, 취약 API를 통한 이용자 정보 유출
    3. 유출규모
        - 모두의 창업 참가자 818명(아미쿠스렉스 전체 이용자 20,028명 중)

    4. 유출항목
        - 이름, 전화번호, 이메일 주소

    5. 특이사항
        - 정부 창업 지원 사업에서 5개월 만에 재발(1차 사업 유출 이후)
        - 사업 공식 플랫폼이 아닌 민간 공급기업 시스템에서 발생(공급망 사고)
        - 침해부터 중기부 공식 발표까지 약 60시간 소요
        - 공급기업 50곳 선정 때 개인정보 보안을 평가했다고 밝혔으나 검증 실효성 비판
        - 1차 사고 시점은 보도마다 다름(아래 표 참고)

구분	1차 모두의 창업	2차 모두의 창업
시점	2026년 6월 / 7월(보도마다 다름)	2026년 11월 11일
발생 위치	사업 플랫폼(서버 API)	참여 공급기업(아미쿠스렉스)
원인	API 보안 취약, 웹 크롤링·특정 API 호출	관리자 페이지 SQL 인젝션 시도, 취약 API
규모·항목	합격자 약 5,000명 이메일, 심사평, 창업 아이디어 요약 등	참가자 818명 이름·전화번호·이메일

※ 1차 사고 시점은 보도마다 6월과 7월로 달라 함께 표기함

□  사고대응 타임라인  

    - 2026년 06월~07월
        . (참고) 1차 모두의 창업 플랫폼 API 취약점으로 합격자 정보 유출, 7월 말 재발 방지 대책 발표
    - 2026년 10월
        . (참고) 2차 사업 AI 솔루션 공급기업 50곳 선정
    - 2026년 11월 11일(수)
        . 05:38경 아미쿠스렉스 관리자 페이지 침해(SQL 인젝션 시도)
        . 08:30 아미쿠스렉스 해킹 정황 포착, 취약 API 코드 삭제·해외 IP 차단
        . 15:45 KISA 신고
    - 2026년 11월 12일(목)
        . 18:10 창업진흥원·중기부에 사고 전달
    - 2026년 11월 13일(금)
        . 15:00 유출 이용자 개별 통지
        . 17:08 중기부 사고 발표, 다른 공급기업에 보안 점검 요청
    - 진행 중
        . 정확한 경위 조사, 전체 공급기업 보호조치 이행 실태 점검

□  중기부·업체 안내 및 입장  

< 중소벤처기업부·창업진흥원 >
· 침해 시스템은 민간 기업이 독자 운영하는 시스템으로 사업 공식 플랫폼과는 별개
· 참가자에게 사고 경위, 유출 항목, 스미싱 등 2차 피해 예방법을 별도 안내
· 다른 공급기업에 자체 시스템 보안 상태와 개인정보 관리 실태 점검 요청
· 전체 공급기업 대상 개인정보 접근 권한 관리, 보유기간 경과 정보 파기 등 보호조치 이행 실태 지속 점검 예정
· 공급기업 선정 과정에서 개인정보 보안 여부를 평가했음

< 아미쿠스렉스 >
· 취약 API 코드 삭제, 해외 IP 접속 차단 등 기술적 보안 조치
· KISA 신고, 유출 이용자 개별 통지(11월 13일 15시)

※ 중기부·업체의 별도 공지 원문은 확인되지 않아, 발표 내용을 요약함

 

□  대응내역  

    - (아미쿠스렉스) 취약 API 코드 삭제, 해외 IP 접속 차단, KISA 신고, 유출 이용자 개별 통지
    - (중소벤처기업부·창업진흥원) 사고 발표, 참가자 2차 피해 예방 안내, 공급기업 전체 보안 점검 요청
     ※ 공격 주체, 개인정보보호위원회 신고 여부, 업체 통지 지연 사유는 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 관리자 페이지 외부 접근 차단과 MFA 적용
        - SQL 인젝션 방지(파라미터 바인딩)와 웹 방화벽(WAF) 적용
        - API 인증·권한 검증과 호출 빈도 제한, 로그 기반 이상행위 탐지

    2. 관리적 조치
        - 정부 지원 사업 공급기업 선정 시 모의해킹·취약점 점검 결과 제출 의무화
        - 공급기업 사고 발생 시 주관기관 통지 기한(예: 24시간) 협약 반영
        - 참가자 정보 제공 최소화와 사업 종료 후 파기 확인

□  관련기사(출처)  

• 모두의 창업 또 개인정보 유출… 이번엔 참여 업체 API 뚫려 - 보안뉴스
• ‘모두의 창업’ 참가자 818명 개인정보 유출…AI 솔루션 업체 해킹 - 이투데이
• 중기부 2차 ‘모두의창업’ 5개월 만에 또 개인정보 뚫렸다 - 파이낸셜뉴스
• ‘2차 모두의 창업’ 참가자 818명 개인정보 유출…AI 업체 해킹 - 헤럴드경제
• 중기부 ‘모두의 창업’ 개인정보 ‘또’ 유출…5개월 만에 사고 재발 - 신아일보

감사합니다.