임정규 과학기술정보통신부 정보보호네트워크정책관이 3일 정부종합청사 본관에서 티빙 개인정보 유출 관련 브리핑을 진행하고 있다. /사진=온라인 e브리핑 캡처


지난 5월 발생한 국내 온라인동영상서비스(OTT) 티빙의 사이버 침해사고로 중복 계정을 포함해 모두 3954만개의 이용자 계정 정보가 유출된 것으로 조사됐다. 정부는 접속키 관리 등 티빙의 기본적인 보안 체계에 문제가 있었다고 판단하고 재발 방지 대책의 이행 여부를 지속해서 점검할 계획이다.

임정규 과학기술정보통신부 정보보호네트워크정책관은 3일 정부서울청사 본관에서 브리핑을 열고 한국인터넷진흥원과 구성한 민관합동조사단의 티빙 침해사고 조사 결과를 발표했다. 조사단은 개발자 단말기 9대(노트북 8대·PC 1대)와 보안장비, 데이터베이스 및 내부 시스템 접속기록(로그) 등을 분석해 공격 경로와 피해 규모를 확인했다.



조사 결과 로그인할 수 있는 활성 계정 2206만개와 휴면·탈퇴 계정 1737만개, 테스트 계정 11만개 등 모두 3954만개의 계정 정보가 유출됐다. 동일 이용자가 여러 방식으로 가입하면서 생성된 중복 계정도 포함됐다. 한 사람이 최대 13개 계정을 보유한 사례도 있었다.

가입 방식별로는 티빙 자체 가입 계정이 726만개, CJ ONE 통합회원 계정이 863만개, 네이버·카카오·페이스북·애플·X(옛 트위터) 등 SNS 간편가입 계정이 2247만개로 확인됐다. PC방 쿠폰 등을 이용한 기타 가입 계정은 117만개였다.

조사단은 이번 사고로 SNS에 보관된 정보까지 탈취됐을 가능성은 없다고 판단했다. 임 정책관은 "네이버나 카카오, 페이스북 등을 통해 티빙에 가입할 수 있지만 SNS에서 티빙으로 제공되는 정보는 통상 이름과 이메일 주소"라고 설명했다.



이어 "네이버는 출생연도와 성별도 제공하지만 티빙이 이후 별도의 본인 확인 절차를 거쳐 휴대전화번호와 연계정보, 중복가입 정보, 생년월일, 성별 등을 수집한다"며 "이 같은 정보가 SNS로 다시 자동 전송되지 않기 때문에 SNS 정보가 유출됐을 가능성은 없다"고 말했다.
임 정책관은 공격 과정을 개발환경 침투와 운영환경 접속키 탈취, 운영환경 침투, 1차 유출 시도, 2차 대규모 정보 유출 등 5단계로 나눠 설명했다.

공격자는 지난 5월 29일 사전에 탈취한 개발환경 접속키를 이용해 티빙의 개발환경에 침입했다. 첫 번째 공격에서 개발 프로젝트 14건을 빼낸 데 이어 두 번째 공격에서는 접근할 수 있는 개발 프로젝트 361건을 모두 유출했다.

1차 유출 시도 당시에는 데이터베이스(DB) 서버에 과도한 작업이 몰리면서 중앙처리장치(CPU) 이용률이 100%로 급상승해 이상징후 알림이 발생했다. 2차 유출 시도 때는 별다른 알림이 발생하지 않았다. 조사단은 공격자가 1차 시도에서 발생한 이상징후를 참고해 CPU 이용률을 제한하는 방식으로 공격한 것으로 판단했다.

조사단은 티빙의 정보보호 체계 전반에서 문제점을 확인했다. 개발·운영환경 접속키가 소스코드에 그대로 입력된 이른바 '하드코딩' 상태였고 암호화되지 않은 평문으로 보관됐다. 접속키를 사내 메신저를 통해 다른 직원과 공유한 사례도 있었다.

모든 개발자에게 전체 개발 프로젝트에 대한 접근 권한을 부여해 접속키 하나만 탈취해도 모든 프로젝트에 접근할 수 있었다. 접속키의 발급과 사용, 변경, 폐기 이력을 관리하는 절차도 마련돼 있지 않았다.

티빙은 2024년 모의해킹을 통해 접속키가 소스코드에 하드코딩된 문제를 발견하고도 이를 개선하지 않았다. 신규 가상사설망(VPN) 장비에는 기존 로그 관리 정책이 제대로 적용되지 않았고, 업무용 PC의 백신 설치와 최신 버전 유지 여부에 대한 정기 점검도 미흡했다.

보안 인력과 내부 대응 체계도 부족했던 것으로 조사됐다. 티빙은 전체 임직원 265명 가운데 개발인력이 149명이지만 외주인력을 제외한 정보보호 전담인력은 4명 안팎에 그쳤다. 첫 이상징후가 발생한 5월 30일 오후 6시부터 정보보호 전담조직과 정보보호 최고책임자에게 상황이 공유되기까지 약 14시간이 걸렸다.

공격자의 신원은 확인하지 못했다. 임 정책관은 "티빙 조사에 상당한 시간이 걸린 것은 최초 공격자를 찾기 위해 다양한 공격 시나리오를 조사했기 때문"이라며 "가능한 시나리오를 모두 확인했지만 공격자는 특정하지 못했다"고 밝혔다. 이어 "경찰이 수사하고 있는 만큼 수사를 통해 밝혀질 것으로 기대한다"고 말했다.

과기정통부는 정보통신망법 제48조의3에 따라 침해사고를 인지한 뒤 24시간 이내에 신고해야 하지만 이를 지키지 않은 티빙에 같은 법 제76조에 따라 3000만원 이하의 과태료를 부과할 예정이다. 티빙에는 이달 안에 재발 방지 대책에 따른 이행계획을 제출하도록 했다. 과기정통부는 오는 10월부터 12월까지 이행 여부를 확인하고 내년 1월부터 현장 점검에 나설 방침이다.

징벌적 과징금 부과 등을 담은 개정 개인정보보호법과 사이버 침해사고 대응 수준을 강화한 개정 정보통신망법은 시행 시점 등의 이유로 이번 티빙 사고에는 적용되지 않는다.