온라인동영상서비스(OTT) 플랫폼 ‘티빙’에서 3900만개가 넘는 이용자 계정과 자체 개발 프로젝트 360여건이 유출된 것으로 나타났다. 시스템 접속용 ‘디지털 열쇠’를 분리 보관하지 않고 소스코드(프로그램 원본 코드)에 저장하는 등 키 관리와 보안 모니터링 체계가 미흡했던 것으로 조사됐다.
과학기술정보통신부는 3일 이런 내용이 담긴 민관합동조사단의 티빙 침해사고 조사 결과를 발표했다. 조사단은 공격자가 티빙 내부 시스템에 무단 침투해 소스코드가 포함된 개발 프로젝트 361건과 이용자 정보를 유출한 사실을 확인했다.
유출된 이용자 계정은 3954만697개다. 로그인이 가능한 활성화 계정 2206만3021개, 휴면·탈퇴 등 비활성화 계정 1737만853개, 테스트 계정 10만6823개가 포함됐다. 이는 중복 계정이 포함된 수치로 유출 계정이 피해자 수를 의미하진 않는다. 실제 한 명이 최대 13개 계정을 보유한 사례도 확인됐다.
유출 정보는 아이디와 비밀번호, 성명, 휴대전화번호, 생년월일, 연계정보(CI) 등 20개 항목 70종이다. 비밀번호는 암호화돼 암호문을 일반인이 읽을 수 없는 상태였다. 반면 휴대전화번호와 이메일 주소는 암호화키까지 함께 빠져나가 사실상 평문이 유출된 것과 다름없는 것으로 판단됐다. 개인정보 세부 유출 규모는 개인정보보호위원회가 별도로 확정할 방침이다. 현재까지 유출 정보로 인한 이용자 피해 사례나 다크웹 등에서의 불법 유통 정황은 확인되지 않았다.
조사 결과 공격자는 개발자의 ‘개발환경 접속키’를 사전에 탈취해 지난 5월29일 티빙 개발환경에 들어갔고, 소스코드가 포함된 개발 프로젝트를 빼냈다. 이후 해당 소스코드 안에 저장돼 있던 ‘운영환경 접속키’ 43개를 추가 확보해 실제 서비스가 운영되는 클라우드 환경까지 침투했다.
티빙은 지난 5월30일 공격자의 1차 유출 시도 당시 데이터베이스 서버 과부하로 이상징후를 확인하고 작업을 차단했다. 그러나 공격자는 다음 날 중앙처리장치(CPU) 사용량을 낮추는 방식으로 이상징후 알림을 피했고, 가상서버를 활용해 이용자 정보를 외부 서버로 유출했다. 유출 뒤에는 해당 가상서버를 삭제해 흔적을 없앴다. 과기정통부 관계자는 “최초의 공격자를 찾기 위해 여러 시나리오를 조사했지만 공격자를 확인하지 못했다”고 말했다.
조사단은 티빙의 정보보호 체계가 전반적으로 미흡했다고 지적했다. 접속키 상당수가 소스코드 내부에 그대로 적혀 있거나 평문으로 저장돼 있었고, 사내 메신저 등을 통해 무분별하게 공유된 사실도 확인됐다. 모든 개발자에게 전체 개발 프로젝트 접근 권한을 부여해 접속키 하나만 탈취돼도 전 프로젝트에 접근할 수 있는 구조도 문제로 지목됐다. 과기정통부는 티빙의 침해신고 지연에 대해 과태료를 부과하고 재발방지 이행 계획 제출을 요구할 계획이다.
티빙 경영진은 이날 기자회견을 열고 침해사고에 대해 공식 사과했다. 티빙은 고객 보상안으로 1인당 최대 300만원을 보장하는 해킹·피싱 안심보험과 시청 환경 업그레이드, 5000원 상당 티빙 포인트 등을 제공하기로 했다.