티빙, 해킹에 3954만개 계정 정보 유출…휴면·탈퇴 계정까지 털렸다

임정규 과학기술정보통신부 정보보호네트워크정책관이 3일 서울 종로구 정부서울청사에서 티빙(TVING) 침해사고 조사결과를 발표하고 있다. 기술자산 소코드가 포함된 티빙 개발 프로젝트 361건이 유출된 것으로 파악됐다. 뉴스1

온라인동영상서비스(OTT) 티빙(TVING)에서 약 3954만 건에 달하는 계정 정보가 외부로 빠져나간 것으로 공식 확인됐다. 소스 코드가 포함된 기술 자산 361건도 유출됐다.

과학기술정보통신부는 3일 정부서울청사에서 민관합동조사단의 티빙 침해사고 조사 결과를 이같이 발표했다.

이에 따르면 활성 계정 2206만개, 휴면ㆍ탈퇴 등 비활성 계정 1737만개, 테스트 계정 11만개 등 총 3954만개 계정 정보가 유출된 것으로 확인됐다.

티빙은 한 사람이 복수의 프로필이나 소셜 연동 계정을 생성할 수 있어 중복 계정도 대거 포함됐다. 본인인증을 거쳐 주민등록번호를 대체하는 개인 식별 고유값인 연계정보(CI)가 부여된 1904만개 계정의 경우, 중복을 제거한 실제 고유 이용자 수는 1324만명으로 집계됐다. CI는 티빙 서비스 유료결제, 성인인증 등을 위한 본인인증 과정에서 생성·수집됐다.

유출 정보는 아이디, 성명, 휴대전화번호, 이메일주소, 생년월일, 성별, CI, 중복가입확인정보(DI), 결제이력 등 20개 항목 70종이다.

비밀번호는 일방향 암호화가 적용돼 직접 노출을 피했고 환불 계좌번호 역시 암호화 상태를 유지했다. 하지만 휴대전화번호와 이메일주소는 일부 암호화돼 있었지만 암호화키가 함께 유출돼 복호화가 가능한 것으로 조사됐다.

개인정보 세부 유출 규모는 개인정보보호위원회가 별도로 확정할 예정이다.

티빙(TVING) 로고. 사진 티빙

기술자산 피해와 관련해서는 소스코드가 포함된 개발 프로젝트 361건(30.35GB 규모)이 빠져나갔다.

공격자는 개발자의 ‘개발환경 접속키’를 탈취해 내부 시스템에 침투한 것으로 파악했다.

조사단은 키 관리체계 미비, 모니터링 부재, 정보보호 전담인력 부족, 2024년 모의해킹 취약점 미조치 등 전사 차원의 정보보호 관리체계 전반이 허술했다고 지적했다. 지난 2024년 모의해킹에서 소스코드 내 접속키 노출 취약점을 발견하고도 개선하지 않은 사실도 확인했다.

아울러 과기부는 티빙이 지난 5월 31일 오전 10시 10분 사고를 인지하고도 약 29시간 뒤인 6월 1일 오후 3시 8분 한국인터넷진흥원(KISA)에 신고했다고 판단했다. 법정 신고 기한인 24시간이다. 이어 정보통신망법상 3000만원 이하의 과태료를 부과할 예정이다. 또 티빙에 이달까지 재발 방지 이행계획 제출을 요구하고 내년 1월부터 이행점검에 나설 계획이다.

조문규 기자 chomg@joongang.co.kr