3954만 계정 유출된 티빙…내부 접속키 털리고 유출 정보는 해외로(종합)

탈퇴·휴면계정도 유출…ID·PW·CI·연락처·생년월일 등 포함
티빙 내부 개발 프로젝트·소스코드도 유출
"개발·운영환경 접속키 관리 소홀"

공격자 정보는 경찰 수사…"유출 정보, 해외로 빠져나가"
티빙, 오늘 오후 보상방안 발표

지난 6월 온라인동영상서비스(OTT) 티빙의 개인정보 유출 사고 당시 계정 3900만여개와 소스 코드가 포함된 기술 자산 361건이 유출된 것으로 나타났다. 티빙은 개발자들이 활용하는 접속키 관리에 소홀해 공격자에게 전체 이용자 개인정보와 개발 프로젝트 등 핵심 데이터를 내주게 됐다.

과학기술정보통신부는 티빙의 개인정보 유출 침해사고에 대한 민관합동조사단(합조단)의 이 같은 조사 결과를 3일 발표했다.

이번 사고는 지난 5월30일 티빙 데이터베이스(DB) 서버에 시스템 과부하 이상징후가 나타나면서 시작됐다. 티빙은 외부인이 내부 서버에 무단 접근해 이용자 정보를 조회한 사실을 파악하고 한국인터넷진흥원(KISA)에 침해사고를 신고했다. 이후 과기정통부는 지난 6월2일 민관합동조사단을 꾸리고 본격적인 조사에 착수했다.

유출 계정정보 3954만개…ID·비밀번호·CI·이름·연락처 등 유출

온라인동영상서비스(OTT) 플랫폼 '티빙'에서 소스 코드가 포함된 기술 자산 361건과 이용자 계정 약 3천954만 개가 유출된 것으로 확인됐다. 과학기술정보통신부는 3일 정부서울청사에서 민관합동조사단의 티빙 침해사고 조사 결과를 이같이 발표했다. 3일 정부서울청사에서 임정규 과기정통부 정보보호네트워크정책관이 조사 결과를 발표하고 있다. 연합뉴스

조사 결과 유출된 계정은 총 3954만개로, 티빙 회원 계정 전체가 유출된 것으로 확인됐다. 티빙은 한 사람이 여러 개의 계정을 보유할 수 있어 중복이 포함된 수치다. 한 사람이 최대 13개의 계정을 보유한 경우도 있었다. 계정 유형별로는 로그인이 가능한 활성화 계정 2206만개, 휴면 계정 850만개, 탈퇴 계정 887만개, 테스트 계정 11만개 등으로 집계됐다.

유출된 계정을 가입 방식을 기준으로 나눠보면 티빙 자체가입 726만개, CJ 원(ONE) 통합회원 863만개, SNS 간편가입 2247만개 등으로 나타났다. 티빙은 네이버, 카카오, 페이스북, 애플, X(옛 트위터) 등 타사 계정을 활용한 가입을 지원하고 있다.

유출된 정보는 ▲ID ▲비밀번호 ▲CJ 원 통합ID ▲성명 ▲휴대전화 번호 ▲이메일 주소 ▲생년월일 ▲연계정보(CI) ▲중복가입 확인정보(DI) 등을 포함해 최대 20개 항목(70종)인 것으로 나타났다. CI는 개인을 식별하기 위한 고윳값으로, 본인인증 과정에서 주민등록번호를 대신해 수집된다.

유출된 정보 중 비밀번호는 암호화된 상태로 유출돼 평문으로 복호화가 불가능하다고 합조단은 설명했다. 다만 휴대전화 번호, 이메일 주소 등 다른 정보들은 일부 암호화된 상태로 유출됐더라도, 암호화키가 함께 유출돼 복호화가 가능하다.

계정별로 나눠보면 CI를 보유한 계정에서 더 많은 정보 유출이 발생했다. 본인인증을 거쳐 CI를 보유한 계정 1904만개에서는 평균 11.1개의 항목이 유출됐고, 이를 거치지 않아 CI가 없는 계정 2040만개는 평균 4.6개 항목의 정보가 유출됐다.

이번 침해사고로 티빙이 진행하던 개발 프로젝트 361건 전체 데이터 역시 유출됐다. 이 데이터는 총 30.35기가바이트(GB)에 달한다. 개발 프로젝트에는 이용자 맞춤형 콘텐츠 추천과 검색 알고리즘, 이용자 관리 및 인증체계, 결제 관리, 유료 서비스 운영 등의 기술이 포함됐다.

구체적인 개인정보 유출 규모는 개인정보보호위원회에서 조사 후 확정할 예정이다. 개인정보 유출에 따른 과징금 등 처분 역시 개인정보위에서 결정한다.

해커, 개발환경 접속키 탈취…접속키 2종·DB 접속정보 무방비로 털려

합조단은 이번 유출사고가 공격자가 티빙 개발자들이 사용하는 '개발환경 접속키'를 탈취해 시스템 내부에 침투하면서 발생했다고 설명했다. 공격자는 개발자가 보유하고 있는 개발환경 접속키를 탈취해 개발 프로젝트를 먼저 빼냈다.

이후 공격자는 유출한 개발 프로젝트 내 소스코드에 저장된 '운영환경 접속키' 역시 확보했다. 이 키를 활용하면 티빙 운영환경에 침투할 수 있다. 이 과정에서 이용자 정보 DB에 접근할 수 있는 접속정보(ID, PW)가 암호화되지 않고 평문으로 저장된 것을 확인해 함께 탈취했다.

공격자는 지난 5월30일 DB 접속정보와 운영환경 접속키를 악용, 이용자 DB에 접속해 정보 조회와 유출을 시도했지만 서버 작업량이 급상승한 것을 알아챈 티빙 측에서 작업을 차단해 실패했다. 이에 공격자는 다음날 가상서버 생성 권한이 있는 운영환경 접속키를 이용해 내부에 가상서버를 생성했고, 이를 통로로 이용자 정보를 빼 냈다.

최초 공격자 미확인...유출된 데이터는 해외로

합조단은 최초 공격자가 누구인지와 개발환경 접속키가 어떤 과정을 거쳐 탈취됐는지는 확인되지 않았다고 설명했다. 티빙 공격자에 대한 조사는 현재 경찰에서 진행하고 있다. 아울러 합조단은 유출된 이용자 데이터가 해외로 빠져나갔다고도 부연했다.

합조단은 티빙이 접속키 관리를 제대로 하지 않아 공격에 노출됐다고 판단했다. 개발·운영 환경에 접근하기 위한 접속키를 소스코드 내부에 그대로 노출하거나 암호화 처리 없이 평문으로 저장했다는 것. 여기에 임직원들이 사내 메신저를 통해 이 키를 타인과 공유하기도 했고, 모든 개발자에게 전체 개발 프로젝트에 접근할 수 있는 권한을 부여한 점도 확인됐다.

아울러 티빙은 2024년 모의해킹에서 개발·운영환경 접속키를 소스코드 내부에 노출하는 취약점을 발견했지만 이를 개선하지 않은 것으로도 나타났다.

합조단은 티빙이 공격 행위를 탐지·대응하는 체계를 제대로 갖추지 않았고, 비정상 접속을 통제하기 위한 네트워크 및 시스템 접근제어 정책을 마련하지 않았다고 설명했다. 정보보호 전담인력 역시 4명 내외로 한계가 있었다는 게 합조단의 설명이다. 임정규 과기정통부 정보보호네트워크정책관은 "정보보호 전담인력은 비슷한 인력 규모를 갖춘 유사 업종의 기업과 비교한 뒤 후 협의와 검토를 거쳐 설정하게 된다"고 설명했다.

침해사고 발생 이후 신고 역시 법정 시한을 넘겼다. 정보통신망법에 따라 침해사고 인지 후 24시간 이내에 과기정통부 또는 KISA에 신고해야 하지만, 티빙은 인지 후 24시간이 지난 뒤 KISA에 신고했다. 과기정통부는 이에 따라 과태료를 부과할 예정이다.

과기정통부는 이번 합조단 조사 결과를 토대로 티빙에 재발 방지 대책에 따른 이행계획을 제출하도록 할 계획이다. 이후 티빙의 이행 여부를 점검하고, 보완이 필요한 내용에 대해서는 시정조치를 명령한다.

한편, 티빙은 이날 오후 사이버 침해 사고 관련 공식 사과·설명회를 열고 개인정보 유출 사태 관련 공식 입장과 고객 보상 방안을 설명할 예정이다. 이 자리에는 최주희 티빙 대표와 주요 경영진이 참석해 개인정보 유출 사태에 대해 공식 사과하고, 향후 정보보안 강화 계획을 밝힐 예정이다. 구체적인 고객 보상 방안 역시 발표한다.

이명환 기자 lifehwan@asiae.co.kr