과기정통부 “티빙, 계정 3954만개·개발 프로젝트 361건 유출”

국내 온라인동영상서비스(OTT) 티빙에서 3954만개 계정 정보와 추천·검색 알고리즘 등 핵심 기술자산이 유출된 것으로 확인됐다. 과학기술정보통신부 민관합동조사단은 3일 서울 정부서울청사에서 브리핑을 열고, 티빙이 개발·운영환경 접속키를 허술하게 관리한 것이 대규모 침해사고로 이어졌다고 밝혔다.

조사단에 따르면 유출된 계정은 로그인 가능한 활성 계정 2206만개, 휴면·탈퇴 계정 1737만개, 테스트 계정 11만개 등 총 3954만개다. 동일인이 여러 계정을 보유한 경우를 포함한 수치로, 실제 개인정보 유출 인원과 세부 규모는 개인정보보호위원회가 추후 확정할 예정이다. 유출 정보에는 이름, 휴대전화번호, 아이디, 비밀번호, 생년월일, 연계정보(CI), 결제 이력 등 20개 항목 70종이 포함됐다. 휴대전화번호와 이메일 일부는 암호화돼 있었지만 암호화 키도 함께 빠져나가 복호화가 가능한 상태였던 것으로 조사됐다. 비밀번호는 일방향 암호화돼 있어 복호화는 불가능했다.

개인정보뿐 아니라 티빙 내부의 기술 자료도 함께 유출됐다. 조사단은 개발자가 구축·개발 중인 소스코드가 포함된 개발 프로젝트 361건, 약 30.35GB 규모가 외부로 빠져나간 것으로 파악했다. 이 자료에는 이용자 맞춤형 콘텐츠 추천 및 검색 알고리즘, 이용자 관리와 인증체계 등 핵심 기술자산이 포함돼 있었다.

조사단은 이번 사고의 원인으로 개발·운영환경 접속키 관리 부실을 지목했다. 해커는 사전에 탈취한 개발환경 접속키로 티빙 개발환경에 무단 접속한 뒤 두 차례 공격을 통해 개발 프로젝트 전체를 유출한 것으로 조사됐다. 이 과정에서 아마존웹서비스(AWS) 운영환경에 접근할 수 있는 접속키 43개가 소스코드 안에 그대로 적혀 있거나 별도 암호화 없이 저장돼 있었고, 해커는 이 가운데 2개의 운영환경 접속키를 이용해 개인정보가 담긴 데이터베이스에 접근한 것으로 확인됐다.

첫 공격 시도는 5월30일 이뤄졌지만 서버 CPU 이용률이 100%까지 치솟으면서 이상징후 알림이 발생했고, 티빙은 이를 확인한 뒤 해당 작업을 차단했다. 그러나 해커는 다음 날 별도의 가상 서버를 만들어 이를 유출 통로로 활용했고, 개인정보 24GB를 빼돌린 것으로 조사됐다. 다만 공격의 단초가 된 개발환경 접속키가 어떤 경로로 해커에게 넘어갔는지는 확인되지 않았다.

과기정통부는 티빙이 프로젝트 접근 권한을 업무 목적에 따라 최소화하지 않고 모든 개발자에게 전체 개발 프로젝트 접근 권한을 부여했으며, 접속키를 암호화하지 않은 채 저장하는 등 관리체계가 미흡했다고 지적했다. 2024년 모의해킹에서 소스코드에 접속키를 그대로 적어두는 취약점이 발견됐음에도 개선하지 않았고, 비정상 공격 탐지도 CPU 부하 등 단순 모니터링에 의존해 네트워크와 데이터 흐름을 실시간으로 탐지하는 체계가 부족했다고 봤다. 정보보호 전담인력도 외주를 제외하면 4명 안팎에 그쳐 대응에 한계가 있었다고 조사단은 설명했다.

과기정통부는 티빙이 침해사고 신고를 지연했다고 보고 과태료를 부과할 예정이다. 조사단은 티빙이 5월31일 오전 10시10분 최초 침해 사실을 인지하고도 약 29시간 뒤인 6월1일 오후 3시8분께 한국인터넷진흥원(KISA)에 신고한 것으로 판단했다. 정보통신망법은 침해사고를 알게 된 때부터 24시간 이내 신고하도록 규정하고 있다. 과기정통부는 조사 결과를 바탕으로 재발방지 대책 이행계획 제출을 요구하고, 이행 여부를 점검할 계획이라고 밝혔다.