모두의 창업 정보 유출: 확인된 피해 범위와 이용자 점검 사항

모두의 창업 정보 유출에서 먼저 확인할 것은 어떤 정보가 노출됐고, 공식 조사에서 어디까지 확인했는가입니다. 암호화를 했다는 사실만으로 안전을 판단할 수는 없습니다. 다만 확인되지 않은 서버 구성이나 특정 업체의 책임을 사실처럼 덧붙이는 것도 피해야 합니다.

공식 브리핑에서 확인된 피해 범위

중소벤처기업부의 2026년 7월 31일 브리핑은 합격자 5,000명의 이메일 주소, 심사평, 200자 이내 창업 아이디어 요약 유출을 설명했습니다. 일부 API에 비공개 정보와 암호화 키가 함께 포함돼 복호화가 가능했다고 밝혔습니다. 추가 유출 정황은 당시 조사에서 확인되지 않았으며 경찰 수사는 진행 중이었습니다. 중소벤처기업부 브리핑·정책브리핑

이는 7월 31일 발표 범위입니다. 9월 현재의 최종 수사 결과, 개별 이용자의 피해 확정, 서비스의 완전한 안전성을 뜻하지 않습니다. 이전 글에서 정상 인증을 거친 접근으로 단정한 설명은 제거했습니다. 서버와 암호키가 물리적으로 같은 곳에 있었는지도 이 글의 확인 자료만으로 단정하지 않습니다.

로그인과 권한 확인은 왜 다른가

로그인은 누구인지 확인하는 과정이고, 권한 확인은 그 사람이 해당 자료를 읽거나 수정해도 되는지 판단하는 과정입니다. OWASP는 요청마다 권한을 검증하고 기본적으로 접근을 거부하도록 권고합니다. 화면에서 항목을 숨기는 것만으로는 서버가 반환하는 데이터를 보호할 수 없습니다. OWASP 권한 관리 지침

예를 들어 참가자 A가 자기 신청서를 볼 수 있다는 사실은 참가자 B의 신청서도 볼 수 있다는 뜻이 아닙니다. 이 예시는 권한 검사를 설명하기 위한 가상의 상황이며, 해당 사건에서 실제로 사용된 공격 절차를 재현한 것이 아닙니다.

이용자가 정리해 둘 세 가지

다음은 피해 여부를 단정하는 진단표가 아니라, 문의할 때 사실관계를 빠뜨리지 않기 위한 준비 목록입니다.

내가 받은 안내: 공식 유출 통지와 발송 날짜를 보관하고, 어떤 항목이 내게 해당하는지 운영기관에 확인합니다.
문의 내용: 가입 시점, 제출한 자료 종류, 받은 답변을 시간순으로 정리합니다. 공개 게시판에는 원문 아이디어나 개인정보를 다시 올리지 않습니다.
추가 연락 확인: 지원금·보상·심사를 내세운 메시지를 받으면 메시지 속 링크 대신 기존에 알고 있던 공식 창구로 확인합니다. 의심스러운 요청의 화면과 수신 시점을 보관합니다.

이 글은 비밀번호나 금융정보까지 유출됐다고 주장하지 않습니다. 확인된 항목과 추정되는 위험을 나눠야 불필요한 불안과 잘못된 대응을 줄일 수 있습니다. 법적 책임이나 보상 가능성은 이 기술 해설로 판단하지 않습니다.

운영자는 무엇을 검증해야 하나

아래는 일반적인 방어 점검 제안이며, 해당 플랫폼에 지금도 같은 취약점이 남아 있다는 뜻은 아닙니다.

응답 데이터: 공개 프로필 응답에 이메일·심사 내용·비밀키처럼 불필요한 필드가 포함되지 않는지 확인합니다.
접근 권한: 비로그인 사용자와 서로 다른 권한의 시험 계정으로 각 자료의 접근 허용·거부를 검증하고 회귀 테스트에 남깁니다. OWASP 권한 검증 지침
키 유출 대응: 노출된 비밀은 삭제만 하지 말고 폐기·교체 절차를 확인해야 합니다. 새 키를 발급해도 이미 외부로 나온 데이터가 회수되지는 않습니다. OWASP 비밀정보 관리 지침
조치의 증거: 수정한 항목, 테스트한 날짜, 담당자, 재점검 결과를 묶어 관리합니다. 요청 속도를 제한하는 조치만으로 데이터별 권한 검사를 대신하지 않습니다.

재개 공지를 읽을 때는 완료와 계획을 구분

서비스를 다시 열었다는 문장과 보안 검증이 끝났다는 문장은 다릅니다. 이용자는 공지의 적용 날짜와 대상 기능을 확인하고, 운영자는 조치 완료 항목과 추가 검증 항목을 구분해 설명하는 편이 좋습니다. 이 글에서는 현재 모집 일정이나 재개 완료 여부를 검증하지 않았으므로 과거의 8월 계획을 현재 일정으로 안내하지 않습니다.

내용 보강: 2026년 9월 14일. 7월 31일 정부 발표와 방어 지침을 대조해 사실·해석·일반 점검 항목을 분리했습니다. 확인되지 않은 인증 경로와 서버 구성에 대한 단정을 제거했습니다. 최초 발행일과 주소는 유지했습니다.