티빙에서 CI 계정만 1904만개 유출…"개인정보와 결합 땐 위험"

(서울=뉴스1) 나연준 기자 = 온라인동영상서비스(OTT) 티빙 해킹 사고로 이용자가 직접 변경하기 어려운 연계정보(CI)도 유출됐다. CI만으로 다른 서비스에 로그인하거나 불법 거래에 악용될 가능성은 낮지만 이름·전화번호 등 다른 개인정보와 결합하면 개인을 특정할 수 있어 피싱·스미싱 등에 활용될 가능성을 완전히 배제하기는 어렵다.

과학기술정보통신부는 3일 티빙 침해사고에 대한 민관합동조사단 조사 결과를 발표했다.

조사 결과 공격자는 티빙 내부 시스템에 무단 침투해 총 3954만 개 계정의 정보와 소스코드가 포함된 개발 프로젝트 361건(30.35GB)을 유출했다. 티빙의 모든 계정의 정보가 털린 것이다.

CI는 주민등록번호 대신 개인을 식별하기 위한 고유값으로 개인을 식별하기 위해 활용되는 연계정보다. 티빙에서는 유료결제, 성인인증 등의 과정에서 CI를 생성·수집해 왔다.

이번 사고로 정보가 유출된 계정 중 CI 보유 계정은 1904만 개, 중복 제거 시 1324만 개였다. 1324만 중 휴면 계정은 370만 개, 탈퇴 개정은 5만 개였다.

CI는 일반적인 ID, 비밀번호와 같이 이용자가 직접 변경할 수 없다. 이에 CI가 유출되고 다른 정보와 결합할 경우 위험할 수 있다.

임정규 과기정통부 정보보호네트워크정책관은 "CI는 이용자가 직접 입력하는 ID나 비밀번호와 같은 정보가 아니다"며 "이를 통해서 직접 로그인이나 불법거래에 악용될 가능성은 굉장히 낮다"고 말했다.

다만 임 정책관은 "CI 값이 다른 개인정보와 결합하게 된다면 개인을 특정할 수 있다. 그렇기 때문에 CI 값이 있으면 스미싱, 피싱 등에 악용될 가능성을 배제할 수 없다"고 덧붙였다.

아직 2차 피해는 발생하지 않았다는 것이 정부의 설명이다.

정부 관계자는 "정부와 티빙이 모니터링 중인데 2차 피해는 아직 신고된 것이 없었다. 앞으로도 계속 주시할 것"이라고 말했다.

이번 사고에서는 활성화 계정뿐 아니라 휴면 계정 약 850만 개, 탈퇴 계정 약 887만 개에서도 정보가 유출됐다.

정부는 전자상거래법에 따라 계약 또는 청약철회 등에 관한 기록은 5년, 소비자 분쟁 관련 기록은 3년 동안 보관할 수 있다고 설명했다. 다만 이번에 정보가 유출된 계정들이 법적 보관 사유에 해당하는지는 별도 확인이 필요하다고 했다.

정부 관계자는 "해당 정보가 정확히 계약철회 또는 분쟁에 대비한 기록인지는 하나씩 확인해야 한다"며 "개인정보보호위원회 조사 과정에서 명확히 밝혀질 것"이라고 설명했다.

yjra@news1.kr