티빙 계정 3954만개 유출 확인…암호화키·소스코드까지 빠져나가

티빙에서 지난 5월 발생한 침해사고로 이용자 계정 3954만 개가 유출된 것으로 확인됐다. 활성 계정뿐 아니라 휴면·탈퇴 계정과 시험용 계정까지 포함된 규모다. 성명, 생년월일, 휴대전화 번호, 이메일 주소, CI 등 20개 항목 70종도 함께 유출됐고, 암호화된 휴대전화 번호와 이메일 주소는 복호화 키까지 빠져 사실상 평문 유출과 다름없는 상황으로 조사됐다. 서비스 운영에 쓰이는 소스코드 361건도 빠져나갔으며, 유출 정보가 해외 서버로 전송된 정황도 드러났다.

과학기술정보통신부는 3일 티빙 침해사고 민관합동조사단의 조사 결과를 발표하고, 최소 1300만 명 이상이 피해를 본 것으로 추정된다고 밝혔다. 다만 티빙 서비스 특성상 한 사람이 여러 계정을 만들 수 있어 정확한 피해 인원은 아직 확정되지 않았다. CI가 부여된 계정 1904만 개 가운데 중복을 제외하면 1324만 개가 유출된 것으로 집계됐지만, CI가 없는 2040만 개 계정은 중복 여부를 확인할 수 없었다. 최종 피해 규모는 개인정보보호위원회가 확정할 예정이다.

이번 사고는 티빙이 지난 5월 30일 서버 과부하 원인을 점검하던 중 비인가자의 내부 서버 접근을 확인하면서 드러났다. 이후 6월 1일 한국인터넷진흥원(KISA)에 신고했다. 조사단에 따르면 공격자는 개발자 접속키를 이용해 침투한 뒤, 소스코드에 남아 있던 운영환경 접속키를 활용해 가상 서버를 만들고 데이터 24GB를 빼돌린 뒤 서버를 삭제한 것으로 파악됐다. 5월 30일 1차 시도 때 이미 서버 사용률이 100%까지 치솟아 경보가 울렸지만, 티빙은 단순 시스템 이상으로 판단해 접속 차단 외의 추가 조치를 하지 않았고, 이튿날 대규모 유출로 이어졌다.

조사 결과 티빙의 보안 관리 체계도 허술했던 것으로 나타났다. 정보보호 전담 인력은 임직원 265명 중 4명 안팎에 그쳤고, 2024년 모의해킹에서 지적된 접속키 관리 취약점도 개선되지 않은 것으로 조사됐다. 과기정통부는 사고 인지 후 24시간을 넘겨 신고한 티빙에 3000만 원 이하 과태료를 부과할 방침이다. 유출 규모에 따른 과징금은 개인정보위가 별도로 정한다.

티빙은 이날 사과와 함께 고객 보상안을 내놨다. 유출 피해 고객에게 1인당 2만 원 상당의 보상을 제공하고, 5000원 상당의 티빙 포인트와 웨이브 1개월 이용권 또는 CGV 할인 쿠폰을 지급하기로 했다. 신청은 7일부터 30일까지 받으며, 다음 달 6일부터 보상을 진행할 예정이다. 최주희 티빙 대표는 외부 전문가 자문위원회를 신설해 보안 체계를 전면 재구축하겠다고 밝혔다.