800개 투자조합 관리사…미라파트너스 개인 정보 유출됐다

벤처펀드 백오피스 서비스 업체인 미라파트너스가 8월 27일 홈페이지를 통해 자사 투자조합 관리 서비스인 미라판(MIRA FAAN)이 외부 공격으로 인해 개인 정보가 유출됐다고 밝혔다.

벤처펀드 백오피스 서비스란 투자사가 펀드를 만들고 운용할 때 후방 지원이나 관리 업무를 대신 처리해주는 대행 서비스를 말한다. 투자 조합 결성이나 출자자 관리, 자금 납입이나 배분 기록 같은 업무는 물론 장부 정리나 재무 보고서 같은 회계 업무, 주주명부 관리 등 행정 업무를 한곳에서 해결할 수 있게 해준다. 미라파트너스는 한마디로 투자사를 위한 대행사라고 할 수 있는 것.

당연히 미라판을 이용 중인 주요 고객은 벤처캐피털, 액셀러레이터, 신기술금융사 같은 GP(General Partner) 그러니까 펀드는 직접 만들고 운용하는 업무집행조합원이다. 벤처투자종합포털 현황을 기준으로 벤처투자회사(창투사) 258개사, 액셀러레이터 530개사, 신기술사업금융사업자는 정확하지는 않지만 2023년 보도 기준으로 172개사다. 실적 관리를 위해 주로 액셀러레이터가 관리하는 개인투자조합도 대량으로 포함되어 있을 가능성이 있어 펀드 수로 점유율을 추정하기는 어렵지만 고객사가 800곳이라는 것만으로도 높은 점유율을 갖춘 건 분명하다.

◇ 유출 항목은 개인 정보 7종 포함한 26종=회사 측이 발표한 내용으로 사건을 재구성해보면 이렇다. 미라판에 외부 비인가 접근이 발생한 시점은 지난 8월 20일 12시 13분부터 21일 14시 31분까지. 회사 측은 21일 오후 사고를 인지하고 같은 날 14시 33분 서비스를 중단했다. 사고 확인 직후에는 외부 접근 경로와 공격 IP를 차단하고 접근 기록 원본을 무결성이 확보된 상태로 보존했다. 또 21일부터 22일까지 취약점 코드를 수정하고 같은 유형 취약점을 전수점검하고 보존한 접근 기록을 분석해 유출 범위와 대상을 확인했다.

미라파트너스가 밝힌 유출 항목은 모두 26종이다. 회원 정보 한 곳에서 조회된 것으로 개인정보 7종과 계정 이력 정보 19종으로 나뉜다. 개인정보 7종은 성명과 이메일 주소, 전화번호, 주소, 상세주소, 직위, 주민등록번호다. 이 중 주민등록번호는 암호화된 상태이며 나머지 6종은 암호화되지 않은 상태다.

계정·이력 정보 19종은 회원 고유번호나 피투자기업 고유번호, 휴면·정지·삭제 여부 등 식별번호 3종과 계정 상태 5종, 동의 정보 4종, 가입·접속 이력 5종, 수정 이력 2종이다.

미라파트너스 측은 개인정보 외에 펀드·조합 정보는 유출되지 않았다고 밝혔다. 조합명과 출자·납입 금액, 지분 비율, 투자·분배 내역, 계좌번호는 물론 특정 회원이 어느 조합에 참여하고 있는지에 대한 사실도 유출 데이터에 포함되지 않았다는 것. 금융계좌번호와 인증정보, 신분증 관련 정보 역시 유출 항목에 없다고 밝혔다.

회사 측은 22일 한국인터넷진흥원에 침해 사고를 신고했다. 이어 24일에는 개인정보보호위원회에 개인정보 유출을 신고하고 같은 날 유출 대상자에게 이메일과 문자로 개별 통지도 진행했다. 다만 개별 통지 외에 전체 유출 규모는 공개하지 않았다.

FAQ를 통해 2차 피해에 대해선 자사가 확인한 범위에선 현재까지 확인된 사례는 없다고 설명했다. 다만 유출된 이름과 연락처, 주소를 이용한 사칭 연락이 있을 수 있다면서 인증번호나 계좌 등 금융 정보를 요구하는 연락에 응하지 말 것을 당부하기도 했다.

◇ “구체적 사안은 조사 마무리된 뒤 브리핑할 계획”=미라파트너스 측은 사건 발생 이후 전체 기능에 대한 보안 취약점 확대 점검, 이상 접근 탐지 모니터링 상시 운영, 침해 시도 시뮬레이션 등 방어 상태 검증을 진행 중이라고 밝혔다. 앞으로 외부 보안 전문 업체를 통해 모의해킹 점검을 받고 주요 정보 암호화 체계를 강화해 웹방화벽(WAF)과 이상행위 탐지 시스템을 도입하겠다고 밝혔다. 이를 반대로 생각해보면 도입 예정 이전에는 어떤 체계를 갖추고 있었는지가 중요하다. 개인정보에 대한 안전성 확보 조치 기준은 접속 IP를 분석해 개인 정보 유출 시도를 탐지‧대응하도록 규정하고 있다. 사고 시점 이 체계가 어떤 수준으로 갖춰져 있었는지가 관련 기관 조사에서 쟁점이 될 수 있다.

박미라 미라파트너스 대표는 “숨기려는 건 없고 공지사항을 통해 현재 공개 가능한 부분은 공개한 상태”라면서 “앞으로도 투명하게 밝히겠다”고 밝혔다. 다만 “유출 규모나 공격 방식 등 구체적 사안에 대해선 확정적인 설명은 조사가 마무리된 뒤 브리핑을 할 계획”이라고 설명했다.