티빙 계정 2200만개 정보 유출…"휴면·탈퇴·중복 계정 상당수" [종합]

임정규 과학기술정보통신부 정보보호네트워크정책관이 3일 서울 종로구 정부서울청사에서 티빙(TVING) 침해사고 조사결과를 발표하고 있다. / 사진=뉴스1

온라인동영상서비스(OTT) 플랫폼 티빙에서 이용자 계정 약 3954만 개와 소스코드가 포함된 기술 자산 361건이 외부로 유출된 것으로 조사됐다. 로그인할 수 있는 활성화 계정이 2206만 개로 가장 많았고, 휴면·탈퇴 상태인 비활성화 계정 1737만 개, 테스트 계정 11만 개가 포함됐다.

과학기술정보통신부는 3일 정부서울청사에서 민관합동조사단의 티빙 침해사고 조사 결과를 이 같이 발표했다. 다만 한 사람이 최대 13개의 계정을 보유한 사례가 확인되는 등 중복 계정이 상당수 포함된 것으로 파악됐다.

임정규 과기정통부 정보보호네트워크정책관은 이날 브리핑에서 "활성화·비활성화·테스트 계정까지 티빙의 모든 계정이 유출됐다"고 밝혔다.

지난해 KT 개인정보 유출 사고 당시 지급된 보상 쿠폰을 이용해 티빙에 가입한 이용자 정보 52만7000건도 외부로 빠져나간 것으로 조사됐다. 해당 수치는 이번 유출 계정 집계에는 포함되지 않았다.가입 방식별로 보면 네이버·카카오·페이스북·애플·X 등 소셜네트워크서비스(SNS)를 통한 간편가입 계정이 2247만 개였다. CJ ONE 통합회원은 863만 개, 티빙 자체가입 계정은 726만 개로 나타났다.

외부로 유출된 정보에는 아이디와 CJ ONE 통합 아이디, 비밀번호를 비롯해 이름·생년월일·휴대전화번호·이메일 주소·연계정보(CI) 등 20개 항목, 70종의 정보가 포함됐다.

비밀번호는 일방향 암호화돼 있어 복호화가 불가능한 상태다. 반면 휴대전화번호와 이메일 주소는 암호화키까지 함께 유출된 만큼 사실상 평문으로 유출된 것과 같은 수준이라고 조사단은 판단했다.

CI를 보유한 계정과 그렇지 않은 계정 사이에서도 유출 정보 규모에 차이가 있었다. CI 보유 계정 1904만 개에서는 계정당 평균 11.1개 항목, 17.6종의 정보가 유출됐다. CI 미보유 계정 2040만 개의 경우 평균 4.6개 항목, 5.9종이 빠져나갔다.

개인정보별 구체적인 유출 규모는 개인정보보호위원회가 별도로 확정할 예정이다.

기술 자산 피해도 확인됐다. 소스코드가 포함된 개발 프로젝트 361건, 약 30.35GB 규모의 자료가 외부로 유출됐다.

여기에는 이용자 맞춤형 콘텐츠 추천·검색 알고리즘을 비롯해 이용자 관리 및 인증체계, 결제 관리, 유료 서비스 운영 등에 사용되는 핵심 기술 자산이 포함된 것으로 조사됐다.

◇ 개발환경 접속키 탈취해 운영환경까지 침투

조사단은 공격자가 개발자의 '개발환경 접속키'를 사전에 탈취한 뒤 지난 5월 29일부터 31일까지 개발환경에 무단으로 접속한 것으로 파악했다.

공격자는 이 과정에서 개발 프로젝트를 빼낸 데 이어 소스코드 안에 저장돼 있던 '운영환경 접속키' 43개를 추가로 확보했다. 이를 통해 아마존웹서비스(AWS) 기반 운영환경까지 침투한 것으로 조사됐다.

5월 30일에는 첫 번째 정보 유출 시도가 이뤄졌다. 당시 데이터베이스(DB) 서버에 과부하가 발생하면서 이상징후 알림이 울렸고 티빙이 이를 차단했다.

하지만 공격자는 이튿날인 31일 가상서버를 새로 생성한 뒤 이용자 정보 24GB를 한꺼번에 저장해 외부 서버로 전송했다. 이후 공격 흔적을 없애기 위해 해당 가상서버도 삭제했다.

조사단은 개발자 단말기를 포렌식하고 여러 공격 가능성을 분석하며 최초 접속키 탈취 경로를 추적했지만 구체적인 경로는 확인하지 못했다.

최초 공격자의 신원 역시 특정되지 않았다. 다만 유출 정보가 해외 계정으로 전송된 사실은 확인됐다.

현재 경찰 수사가 진행되고 있으며 구체적인 국가와 서버 위치 등은 향후 수사를 통해 확인될 것으로 정부는 보고 있다.

◇ 소스코드에 접속키 그대로 저장…보안 관리 부실

조사 과정에서는 티빙의 키 관리체계와 로그 관리 등 정보보호 체계 전반의 문제점도 드러났다.

티빙은 운영환경 접속키를 별도 공간에 분리해 보관하지 않고 개발 편의를 이유로 소스코드 내부에 그대로 저장하는 이른바 '하드코딩' 방식으로 관리한 것으로 나타났다.

개발환경에서 프로그램을 구동하기 위해 사용하는 설정값인 환경변수도 별도의 암호화 조치 없이 평문 상태로 관리됐다.

이용자 정보가 담긴 DB에 접속할 때 필요한 아이디와 비밀번호 역시 암호화하지 않은 채 평문으로 저장돼 있었던 것으로 조사됐다.

정보보호 인력도 충분하지 않았던 것으로 나타났다. 티빙의 전체 임직원은 265명, 개발인력은 149명이었지만 외주인력을 제외한 정보보호 전담인력은 4명 안팎에 그쳤다.

과거 지적된 보안 취약점에 대한 후속 조치도 미흡했다. 2024년 모의해킹 과정에서 하드코딩 관련 취약점이 확인됐지만 개선 조치가 이뤄지지 않았다.

시스템 접속 기록도 일부만 저장·관리됐다. 특히 새로 도입된 가상사설망(VPN) 장비에는 접속기록이 6일치만 남아 있었던 것으로 확인됐다.

티빙이 정보보호 관리체계(ISMS) 인증을 받은 상태에서 대규모 침해사고가 발생한 것과 관련해 임 정책관은 "키 관리체계 문제점은 ISMS에 명확히 규정된 부분"이라며 "ISMS 인증제 실효성 강화 방안에 따라 인증 기준을 강화하고 현장 점검 방식으로 심사를 개편했다"고 말했다.

다만 현행 제도에는 ISMS 인증을 취소할 수 있는 규정이 없다. 정부는 관련 제도를 보완하는 방안을 추진하고 있다.

◇ 사고 신고도 법정 기한 넘겨…최대 3000만원 과태료

티빙의 침해사고 신고가 법정 기한보다 늦게 이뤄진 사실도 확인됐다.

정보통신망법에 따르면 사업자는 침해사고를 인지한 뒤 24시간 안에 신고해야 한다.

조사단은 티빙이 사고를 인지한 시점을 5월 31일 오전 10시10분으로 판단했다. 그러나 티빙이 한국인터넷진흥원(KISA)에 신고한 시점은 다음 날인 6월 1일 오후 3시8분이었다.

이에 과기정통부는 정보통신망법 제76조에 따라 티빙에 최대 3000만원의 과태료를 부과할 예정이다.

정부는 티빙에 재발방지 대책도 요구했다.

접속키에 대한 관리·통제와 접근권한 체계를 새로 구축하고 이를 상시 점검하도록 하는 한편 비정상 행위 탐지, 대량 데이터 조회 모니터링, 접근제어 정책을 강화하도록 했다.

충분한 규모의 정보보호 전담인력과 예산을 확보하고 관련 부서 체계를 재정비하는 방안도 요구했다. 이와 함께 로그 저장·관리 정책을 마련하고 모의해킹 등 정기적인 취약점 점검과 개선 조치를 실시하도록 주문했다.

과기정통부는 티빙에 이달 안으로 재발방지 이행계획을 제출하도록 하고 내년 1월부터 실제 이행 여부를 점검할 방침이다.

오는 11일부터 시행되는 개정 개인정보보호법에 따라 반복적이거나 중대한 과실로 대규모 개인정보 유출 사고를 일으킨 경우 전체 매출액의 최대 10%까지 징벌적 과징금이 부과될 수 있다.

다음 달 1일부터 시행되는 개정 정보통신망법에는 정보보호 인력·예산 확보 의무화, 정부의 선제적 조사 착수 근거와 이행강제금 신설 등의 내용이 담겼다.

다만 티빙 침해사고는 두 개정법 시행 전에 발생한 만큼 이번 사건에는 개정 규정이 적용되지 않는다고 정부는 설명했다.

이수 한경닷컴 기자 2su@hankyung.com