티빙, 계정 3954만개 털렸다…최대 20개 항목 정보 유출

탈퇴·휴면계정도 유출…ID·PW·CI·연락처·생년월일 등 포함
티빙 내부 개발 프로젝트·소스코드도 유출
"개발·운영환경 접속키 관리 소홀"

지난 6월 발생한 온라인동영상서비스(OTT) 티빙의 개인정보 유출 사고에서 유출된 계정이 3900만여개에 달하는 것으로 나타났다. 유출된 개인정보 역시 이름, 연락처, 이메일, 연계정보(CI)를 포함해 계정별 최대 20개 항목(70종)에 달했다.

과학기술정보통신부는 티빙의 개인정보 유출 침해사고에 대한 민관합동조사단(합조단)의 이 같은 조사 결과를 3일 발표했다.

조사 결과 이번에 유출된 계정은 총 3954만개(중복 포함)에 달하는 것으로 확인됐다. 계정 유형별로는 로그인이 가능한 활성화 계정 2206만개, 휴면 계정 850만개, 탈퇴 계정 887만개, 테스트 계정 11만개 등으로 집계됐다. 유출된 계정을 가입 방식으로 나눠보면 티빙 자체가입 726만개, CJ 원(ONE) 통합회원 863만개, 사회관계망서비스(SNS) 간편가입 2247만개 등으로 나타났다.

침해사고로 유출된 정보는 ▲ID ▲비밀번호(일방향 암호화) ▲CJ 원 통합ID ▲성명 ▲휴대전화 번호 ▲이메일 주소 ▲생년월일 ▲연계정보(CI) ▲중복가입 확인정보(DI) 등을 포함해 최대 20개 항목인 것으로 나타났다. CI는 개인을 식별하기 위한 고유값으로, 본인인증 과정에서 주민등록번호를 대체해 수집된다. 유출된 정보 중 비밀번호는 암호화된 상태로 유출돼 평문으로 복호화가 불가능하다고 합조단은 설명했다.

이번 침해사고로 티빙의 개발 프로젝트 역시 유출됐다. 합조단은 공격자가 티빙 시스템 내부에 있던 소스코드가 포함된 개발 프로젝트 361건 전체를 유출했다고 확인했다. 유출된 개발 데이터는 총 30.35GB에 달한다. 개발 프로젝트에는 이용자 맞춤형 콘텐츠 추천과 검색 알고리즘, 이용자 관리 및 인증체계, 결제 관리, 유료 서비스 운영 등의 기술 자산이 포함됐다.

조사단은 이번 유출 사고가 공격자가 티빙 개발자들이 사용하는 '개발환경 접속키'를 탈취해 시스템 내부에 침투하면서 발생했다고 설명했다. 공격자는 개발자가 보유하고 있는 개발환경 접속키를 탈취해 개발 프로젝트 361건 전체를 빼 갔다.

이후 공격자는 유출한 개발 프로젝트 내 소스코드에 저장된 '운영환경 접속키'와 이용자 정보 DB에 접근할 수 있는 접속정보(ID·PW)를 함께 탈취했다. 공격자는 이렇게 확보한 운영환경 접속키와 접속정보를 악용해 이용자 정보를 유출했다.

합조단은 티빙이 접속키 관리를 제대로 하지 않아 공격에 노출됐다고 판단했다. 아울러 티빙은 2024년 모의해킹에서 개발·운영환경 접속키를 소스코드 내부에 노출하는 취약점을 발견했지만, 이를 개선하지 않은 것으로도 나타났다.

합조단은 티빙이 공격 행위를 탐지·대응하는 체계를 제대로 갖추지 않았고, 비정상 접속을 통제하기 위한 네트워크 및 시스템 접근제어 정책을 마련하지 않았다고 판단했다. 정보보호 전담인력 역시 4명 내외로 한계가 있었다는 게 합조단의 설명이다.

침해사고 발생 이후 신고 역시 법정 시한을 넘겼다. 정보통신망법에 따라 침해사고 인지 후 24시간 이내에 과기정통부 또는 KISA에 신고해야 하지만, 티빙은 인지 후 24시간이 지난 뒤 KISA에 신고했다. 과기정통부는 이에 따른 과태료를 부과하기로 했다.

과기정통부는 이번 합조단 조사 결과를 토대로 티빙에 재발 방지 대책에 따른 이행계획을 제출하도록 할 계획이다. 이후 티빙의 이행 여부를 점검하고, 보완이 필요한 내용에 대해서는 시정조치를 명령할 예정이다.

이명환 기자 lifehwan@asiae.co.kr