티빙, 모든 계정 유출됐다…접속키 하나에 DB까지 접근(종합)

(서울=뉴스1) 나연준 신민경 기자 = 온라인동영상서비스(OTT) 티빙이 해킹 사고로 활성·휴면·탈퇴 계정 등 보유한 모든 계정의 이용자 정보가 유출된 것으로 확인됐다. 공격자는 개발자의 접속키 하나를 탈취해 개발환경에 침투한 뒤 운영환경과 데이터베이스(DB)까지 접근했다.

특히 티빙은 2024년 모의해킹에서 접속키를 소스코드에 그대로 저장하는 취약점을 확인하고도 개선하지 않은 것으로 조사됐다.

과학기술정보통신부는 3일 티빙 침해사고에 대한 민관합동조사단 조사 결과를 발표했다.

조사 결과 공격자는 총 3954만 개 계정의 정보와 소스코드가 포함된 개발 프로젝트 361건(30.35GB)을 유출했다.

로그인이 가능한 활성 계정이 2206만 개였고 비활성 계정은 1737만 개였다. 비활성 계정에는 휴면 계정 850만 개와 탈퇴 계정 887만 개가 포함됐다. 테스트 계정도 11만 개 유출됐다.

임정규 과기정통부 정보보호네트워크정책관은 "비활성 계정, 활성 계정, 테스트 계정 등 (티빙의) 모든 계정이 유출된 것이 맞다"고 말했다.

다만 3954만 개는 실제 이용자 수가 아니라 중복을 포함한 계정 수다. 티빙은 동일인이 여러 계정을 만들 수 있으며 조사 과정에서는 한 명이 최대 13개 계정을 보유한 사례도 확인됐다.

가입 방식별로는 네이버·카카오·페이스북·애플·X(옛 트위터) 등을 통한 SNS 간편가입 계정이 2247만 개로 가장 많았다. CJ ONE 통합회원은 863만 개, 티빙 자체가입 계정은 726만 개였다.

유출된 정보에는 △ID △비밀번호(일방향 암호화) △CJ ONE 통합ID △성명 △휴대전화 번호 △이메일 주소 △생년월일 △연계정보(CI) 등 20개 항목(70종)이 포함됐다.

휴대전화 번호와 이메일 주소 중 일부는 암호화돼 있었지만 암호화키도 함께 유출돼 복호화가 가능한 것으로 조사됐다.

계정별로 실제 유출된 개인정보 종류에는 차이가 있었다. CI를 보유한 계정은 1904만 개로 중복을 제거하면 1324만 개였다. 이들 계정에서는 평균 11.1개 항목, 17.6종의 정보가 유출됐다. CI가 없는 2040만 개 계정에서는 평균 4.6개 항목, 5.9종의 정보가 유출됐다.

실제 개인정보가 유출된 이용자 수는 추가 조사가 필요하다. 개인정보보호위원회는 유출 항목을 상세 분석한 뒤 구체적인 개인정보 유출 규모를 별도로 발표할 예정이다.

공격은 개발자의 '개발환경 접속키'가 탈취되면서 시작됐다. 공격자는 이를 이용해 개발환경에 침투한 뒤 개발 프로젝트를 빼냈다.

소스코드에는 실제 서비스를 운영하는 환경에 접근할 수 있는 '운영환경 접속키' 43개가 그대로 노출돼 있었다.

공격자는 운영환경 접속키를 이용해 아마존웹서비스(AWS)에 침투한 뒤 평문으로 저장돼 있던 DB 접속정보까지 확보했다. 이후 5월 31일 운영환경 내부에 가상서버를 만들어 이용자 정보 24GB를 저장한 뒤 외부 서버로 유출하고 가상서버를 삭제했다.

조사단은 공격자의 신원을 특정하지 못했다. 유출된 정보는 해외 계정으로 전송됐으며 경찰이 관련 내용을 수사하고 있다.

현재까지 확인된 2차 피해는 없다는 게 정부 설명이다.

정부 관계자는 "정부와 티빙이 모니터링 중인데 2차 피해는 아직 신고된 것이 없었다"며 "앞으로도 계속 주시할 것"이라고 말했다.

조사 과정에서는 티빙의 접속키와 접근권한 관리 문제도 확인됐다. 모든 개발자에게 전체 개발 프로젝트에 접근할 수 있는 권한을 부여했고 일부 접속키는 사내 메신저 등을 통해 공유했다.

특히 티빙은 2024년 모의해킹에서 개발·운영환경 접속키를 소스코드에 그대로 저장하는 '하드코딩' 취약점을 발견했지만 이후 개선하지 않았다.

침해사고 대응 과정에서도 문제가 확인됐다. 이상징후 발생 이후 정보보호 전담조직과 정보보호 최고책임자(CISO)에게 상황이 전달되기까지 약 14시간이 걸렸다. 사고를 인지한 뒤 한국인터넷진흥원(KISA)에 신고한 시점도 법정 기한인 24시간을 넘겼다.

과기정통부는 신고 지연이 정보통신망법 위반에 해당한다고 보고 과태료를 부과할 예정이다.

과기정통부는 티빙에 재발방지 대책에 따른 이행계획을 이달 중 제출하도록 하고 2027년 1월 이행 여부를 점검할 계획이다. 점검 결과 보완이 필요한 사항에는 정보통신망법에 따라 시정조치를 명령할 방침이다.

티빙은 이날 별도 설명회를 열고 고객 보상과 정보보호 강화 계획을 발표했다.

고객에게 5000원 상당의 티빙 포인트를 제공한다. 이와 함께 △해킹·피싱 안심보험 △프리미엄급 시청 환경 업그레이드 △엔터테인먼트 쿠폰 등으로 구성된 보상 패키지를 제공한다.

보상 패키지는 이달 7일부터 30일까지 신청을 받아 다음 달 6일부터 적용한다.

정보보호 체계도 재정비한다. △정보보호 투자·보안인력 확대 △제로 트러스트 기반 보안체계 재구축 △보안 거버넌스 및 조직문화 재정립 △외부 전문가 검증 강화 등을 추진한다.

2030년까지 정보보호 투자를 직전 5년 대비 약 4배로 확대한다. 보안조직은 프로덕트 보안·클라우드 보안·전사 IT 보안·컴플라이언스 보안 체계로 세분화하고 전문인력은 향후 5년간 현재의 3배로 확충한다.

최주희 티빙 대표이사는 "이번 침해 사고로 고객 여러분께 심려와 불안을 끼쳐드린 점 진심으로 사과드린다"며 "고객의 신뢰를 회복할 수 있도록 재발방지 대책을 책임 있게 이행하겠다"고 말했다.

yjra@news1.kr