국내 온라인동영상서비스(OTT) 플랫폼 티빙에서 총 3954만 개에 달하는 계정 정보가 유출됐다. 해커가 개발자 접속키를 탈취해 내부망에 침투한 뒤 24GB 규모의 핵심 데이터를 해외로 반출한 사실이 정부 합동조사 결과 드러났다. 접속키를 평문으로 방치하고 2024년 모의해킹 경고를 무시하는 등 기초적인 보안 관리 체계가 총체적으로 부실했던 탓으로 분석된다.
과학기술정보통신부는 3일 이 같은 내용이 담긴 티빙 침해사고 민관합동조사단 조사 결과를 발표했다.
◆ 활성·휴면 포함 3954만 계정 털려…실제 피해 규모 분석 중
조사 결과 로그인이 가능한 활성 계정 2206만 개와 휴면·탈퇴 등 비활성 계정 1737만 개, 테스트 계정 11만 개 등 티빙이 보유한 전체 3954만 개 계정 정보가 유출됐다.
다만 전체 수치가 곧바로 실제 피해자 수를 의미하는 것은 아니다. 티빙은 자체 가입 외에도 CJ ONE 통합회원, 네이버·카카오 등 다양한 SNS 간편가입을 지원해 1인 다계정 구조를 띤다. 실제로 한 이용자가 13개 계정을 보유한 사례도 확인됐다.
조사단이 연계정보(CI)가 있는 1904만 개 계정을 대조한 결과, 중복된 약 580만 개를 제외한 실제 계정은 1324만 개로 집계됐다. 반면 CI가 없는 2040만 개 계정은 중복 여부를 완전히 가려내지 못했다. 이에 따라 구체적인 순수 개인정보 유출 규모는 개인정보보호위원회의 추가 조사를 거쳐 확정될 예정이다. 아울러 KT가 침해사고 보상용으로 지급했던 티빙 쿠폰 이용자 52만 7000건의 정보도 별도로 빠져나간 것으로 나타났다.
◆ 암호화키까지 통째 유출…사실상 평문 노출
유출된 항목은 아이디, 성명, 전화번호, 이메일, 생년월일, 결제이력 등 총 20개 항목 70종이다. CI 보유 계정은 평균 11.1개 항목 17.6종, 미보유 계정은 평균 4.6개 항목 5.9종이 각각 유출됐다.
휴대전화번호와 이메일주소 등 주요 정보는 암호화 조치가 돼 있었으나, 이를 해독할 수 있는 복호화 암호키가 함께 탈취됐다. 보안 조사단은 사실상 데이터가 평문으로 노출된 것과 다름없다고 판단했다. 다만 비밀번호는 일방향 암호화가 적용돼 원래 값을 복구할 수 없는 상태였으며, 환불 계좌번호 역시 안전하게 암호화돼 있었던 것으로 파악됐다.
조사단은 유출된 개인정보가 스미싱이나 보이스피싱, 다크웹 불법 유통 등 2차 피해에 악용될 소지가 있다고 경고했다. 현재까지 이용자 대상 직접 피해나 다크웹 유통 정황은 확인되지 않은 것으로 전해졌다.
◆ 접속키 평문 저장에 권한 남발…경고받고도 방치
조사단에 따르면 해커는 개발자 접속키를 확보해 개발환경에 침투했고 소스코드가 포함된 개발 프로젝트 361건을 빼돌렸다. 프로젝트 내부에는 실제 서비스 운영환경 접속키 43개가 평문으로 기재돼 있었으며, 해커는 이 중 2개를 활용해 내부 데이터베이스(DB) 관리자 권한까지 장악했다. 해커는 가상서버를 생성해 이용자 데이터 24GB를 해외 서버로 반출한 뒤 해당 가상서버를 삭제하는 치밀함을 보였다.
보안 체계의 허점은 도처에서 발견됐다. 티빙은 개발자 전원에게 전체 프로젝트 접근 권한을 부여해 키 하나만 뚫려도 전체 시스템이 노출되는 구조를 유지했다. 사내 메신저로 접속키를 공유하는 관행도 만연했다.
2024년 모의해킹 당시 접속키 노출 취약점이 이미 지적됐음에도 사후 조치는 이뤄지지 않았다. 전체 임직원 265명 중 개발 인력은 149명에 달했으나 외주를 제외한 전담 보안 인력은 4명 안팎에 불과했다.
◆ 신고 지연에 과태료 처분…ISMS 인증 실효성 도마
사고 인지 및 초동 대응도 미흡했다. 이상 징후가 발생한 뒤 정보보호최고책임자(CISO)에게 보고되기까지 약 14시간이 소요됐다. 법정 침해사고 신고 기한인 24시간도 지키지 못했다. 조사단은 침해사고 인지 시점을 5월 31일 오전 10시 10분쯤으로 특정했으나, 실제 신고는 6월 1일 오후 3시 8분쯤 접수됐다. 과기정통부는 정보통신망법 위반에 따라 티빙에 3000만 원 이하 과태료를 부과할 방침이다.
정보보호 관리체계(ISMS) 인증을 취득한 기업에서 기초적인 보안 수칙이 붕괴됐다는 비판도 나온다. 임정규 과기정통부 정보보호네트워크정책관은 “인증받은 기업에서 이러한 문제가 발생한 것에 대해 죄송하다”며 “이번에 확인된 키 관리체계 문제는 현행 ISMS에도 명확히 규정돼 있는 사항으로 이같은 방식으로 관리해서는 안 된다”고 밝혔다.
정부는 티빙에 접근 권한 및 접속키 관리 체계 전면 재구축, 이상 징후 모니터링 강화, 보안 전문 인력 및 예산 확충 등을 요구했다. 티빙은 9월 중 재발 방지 이행계획을 정부에 제출해야 하며, 당국은 오는 10월부터 12월까지 이행 여부를 현장 점검할 예정이다.