티빙 3954만 개 계정 정보 유출...정부 "스미싱·보이스피싱 우려"

국내 대표 온라인동영상서비스(OTT) 티빙(TVING)의 해킹 침해사고 조사 결과, 총 3954만 건에 달하는 계정 정보가 외부로 빠져나간 것으로 공식 확인됐습니다.

과학기술정보통신부는 티빙 침해사고에 대한 민관합동조사단 조사 결과 활성 계정 2206만개, 휴면·탈퇴 등 비활성 계정 1737만개, 테스트 계정 11만개 등 총3954만개 계정 정보가 유출된 것으로 확인됐다고 3일 밝혔습니다.

티빙 서비스 특성상 한 사람이 복수의 프로필이나 소셜 연동 계정을 생성할 수 있어 중복 계정이 대거 포함됐습니다.

한 이용자가 최대 13개의 계정을 보유한 사례도 확인됐습니다.

본인인증을 거쳐 연계정보(CI)가 부여된 1904만개 계정의 경우, 중복을 제거한 실제 고유 이용자 수는 1324만명으로 집계됐습니다.

CI는 주민등록번호를 대체하는 개인을 식별하기 위한 고유값으로, 티빙 서비스 유료결제, 성인인증 등을 위한 본인인증 과정에서 생성·수집됐습니다.

유출 정보는 아이디, 성명, 휴대전화번호, 이메일주소, 생년월일, 성별, CI, 중복가입확인정보(DI), 결제이력 등 20개 항목 70종입니다.

비밀번호는 일방향(단방향) 암호화가 적용돼 직접 노출을 피했고 환불 계좌번호 역시 암호화 상태를 유지했습니다.

휴대전화번호와 이메일주소는 일부 암호화돼 있었지만 암호화키가 함께 유출돼 복호화가 가능한 것으로 조사됐습니다.

계정 특성에 따라 유출된 정보 규모에는 차이가 있었습니다.

CI를 보유한 1904만개 계정은 평균 11.1개 항목, 17.6종의 정보가 유출됐으며 중복을 제거하면 1324만개 계정으로 집계됐습니다.

반면 CI 미보유 계정 2040만개는 평균 4.6개 항목, 5.9종이 유출됐습니다.

CI 미보유 계정은 본인인증 절차를 거치지 않아 성명과 휴대전화번호, 이메일주소 등이 누락됐거나 유효하지 않은 정보가 다수 포함된 것으로 나타났습니다.

구체적인 개인정보 유출 규모는 개인정보보호위원회가 추가 분석을 거쳐 확정할 예정입니다.

조사단은 유출된 휴대전화번호와 이메일주소 등이 스미싱·보이스피싱 등 2차 피해나 다크웹 등을 통한 불법거래에 악용될 가능성이 있다고 보고 있습니다.

티빙은 6월3일부터 피해전담 상담 콜센터를 운영하고 있으며 정부도 다크웹과 SNS, 해킹포럼 등을 실시간 모니터링하고 있습니다.

현재까지 확인된 이용자 피해 사례나 불법거래·유통 정황은 없는 것으로 조사됐습니다.