투데이e코노믹 = 우혜정 기자 | 국내 온라인동영상서비스(OTT) 티빙(TVING)에서 약 3954만 개의 이용자 계정과 소스코드 등 핵심 기술자산이 외부로 유출된 것으로 확인됐다. 공격자는 개발자의 접속키를 탈취해 개발환경에 침투한 뒤 소스코드에 저장돼 있던 운영환경 접속키까지 확보한 것으로 조사됐다.

 

과학기술정보통신부는 3일 민관합동조사단의 티빙 침해사고 조사 결과를 발표했다.

 

조사 결과 유출된 계정은 로그인 가능한 활성화 계정 2206만 개, 휴면·탈퇴 상태인 비활성화 계정 1737만 개, 테스트 계정 11만 개 등 총 3954만 개다. 다만 한 사람이 최대 13개의 계정을 보유한 사례가 확인되는 등 중복 계정이 포함된 수치다.

 

가입 방식별로는 네이버·카카오·페이스북·애플·X 등 소셜 계정 등을 이용한 간편가입 계정이 2247만 개로 가장 많았다. CJ ONE 통합회원은 863만 개, 티빙 자체가입 계정은 726만 개였다.

 

유출된 정보에는 아이디와 비밀번호를 비롯해 이름, 생년월일, 휴대전화번호, 이메일 주소, 연계정보(CI) 등 20개 항목, 70종의 개인정보가 포함됐다.

 

비밀번호는 일방향 암호화돼 복호화가 어려운 상태였지만 휴대전화번호와 이메일 주소의 경우 암호화키까지 함께 유출됐다. 조사단은 사실상 평문 정보가 유출된 것과 같은 수준으로 판단했다.

 

특히 주민등록번호를 대신해 온라인상에서 개인을 식별하는 데 활용되는 CI를 보유한 계정도 대거 포함됐다. CI 보유 계정 1904만 개에서는 계정당 평균 11.1개 항목, 17.6종의 정보가 유출된 것으로 조사됐다.

 

개인정보뿐만 아니라 티빙의 핵심 기술자산도 외부로 빠져나갔다. 소스코드가 포함된 개발 프로젝트 361건, 약 30.35GB 규모다. 이용자 맞춤형 콘텐츠 추천·검색 알고리즘과 이용자 관리·인증체계, 결제 관리, 유료서비스 운영 등에 활용되는 기술도 포함됐다.

개발자 접속키 하나 뚫리자 운영환경까지 침투

 

이번 사고는 개발자가 보유한 ‘개발환경 접속키’가 탈취되면서 시작됐다.

 

조사단에 따르면 공격자는 사전에 확보한 개발환경 접속키를 이용해 지난 5월 29일부터 31일까지 티빙의 개발환경에 무단 접속했다. 이후 개발 프로젝트를 빼내면서 소스코드 내부에 저장돼 있던 운영환경 접속키를 추가로 확보했다.

 

티빙은 운영환경 접속키를 별도 보안공간에서 관리하지 않고 소스코드 안에 직접 저장하는 이른바 ‘하드코딩’ 방식으로 관리하고 있었다. 환경변수와 이용자 정보 DB에 접근하기 위한 아이디·비밀번호 등도 암호화하지 않은 평문 상태로 저장돼 있었던 것으로 조사됐다.

 

공격자는 이를 이용해 아마존웹서비스(AWS) 기반 운영환경까지 침투했다.

 

지난 5월 30일 첫 번째 개인정보 유출 시도에서는 DB 서버의 CPU 사용률이 100%까지 치솟으면서 이상징후가 감지됐다. 티빙은 당시 공격을 차단했지만 완전히 막지는 못했다.

 

공격자는 이튿날 다시 침투했다. 이번에는 CPU 점유율을 10% 이내로 제한해 이상징후 탐지를 피하면서 가상서버에 이용자 정보 약 24GB를 저장한 뒤 외부 서버로 전송했다. 이후 흔적을 지우기 위해 해당 가상서버도 삭제한 것으로 조사됐다.

 

조사단은 개발자 단말기 포렌식 등을 통해 최초 접속키 탈취 경로를 추적했지만 정확한 경로와 공격자의 신원은 확인하지 못했다. 다만 유출된 정보가 해외 계정으로 전송된 사실은 확인됐다.

 

지난해 취약점 발견하고도 방치...정보보호 전담인력은 4명

 

대규모 피해의 배경에는 티빙의 부실한 정보보호 관리체계가 있었던 것으로 나타났다.

 

티빙은 2024년 실시한 모의해킹에서 접속키 하드코딩과 관련한 취약점을 이미 확인했지만 이후 충분한 개선 조치를 하지 않은 것으로 조사됐다.

 

정보보호 인력도 부족했다. 티빙의 전체 임직원은 265명, 개발인력은 149명이었지만 외주인력을 제외한 정보보호 전담인력은 4명 안팎에 불과했다.

 

접속기록 관리에도 허점이 있었다. 일부 시스템의 로그만 저장·관리됐고 새로 도입된 가상사설망(VPN) 장비에는 접속기록이 6일치만 남아 있었던 것으로 확인됐다.

 

티빙은 정보보호 관리체계(ISMS) 인증을 받은 상태였지만 대규모 침해사고를 막지 못했다. 정부는 이번 사고를 계기로 ISMS 인증 기준과 현장 점검을 강화하는 등 제도 개선도 추진할 방침이다.

 

사고 신고도 늦었다. 현행 정보통신망법상 사업자는 침해사고를 인지한 뒤 24시간 이내에 신고해야 한다.

 

조사단은 티빙이 사고를 인지한 시점을 5월 31일 오전 10시10분으로 판단했다. 하지만 한국인터넷진흥원(KISA)에 실제 신고한 시점은 다음 날인 6월1일 오후 3시8분이었다. 이에 과기정통부는 관련 규정에 따라 과태료를 부과할 예정이다.

 

티빙은 조사 결과를 받아들이고 정보보호 체계를 전면 재정비하겠다는 입장이다.

 

우선 2030년까지 정보보호 투자를 직전 5년 대비 약 4배 규모로 확대할 계획이다. 현재 4명 안팎인 내부 정보보호 전담인력도 연말까지 10명 수준으로 늘리고, 향후 5년간 내·외부 전문인력을 현재의 약 3배 수준으로 확대한다는 방침이다.

 

정부도 티빙에 접속키 관리·통제체계 개선과 접근권한 재정비, 비정상 행위 탐지 및 대량 데이터 조회 모니터링 강화, 로그 저장·관리체계 개선 등을 요구했다.

 

이번 사고의 개인정보별 구체적인 유출 규모는 개인정보보호위원회가 별도로 확정할 예정이다.

 

오는 11일부터는 반복적이거나 중대한 과실로 대규모 개인정보 유출 사고를 일으킨 사업자에게 전체 매출액의 최대 10%까지 징벌적 과징금을 부과할 수 있도록 한 개정 개인정보보호법이 시행된다. 다만 티빙 사고는 개정법 시행 이전에 발생해 해당 규정은 적용되지 않는다.