티빙, 계정 3954만개·핵심 소스코드 유출…암호화키까지 털렸다

3일 오후 정부서울청사에서 임정규 과기정통부 정보보호네트워크정책관이 티빙 해킹에 대한 민관합동조사단 조사결과를 발표하고 있다. 심화영기자

[대한경제=심화영 기자]온라인동영상서비스(OTT) 티빙(TVING)에서 이용자 계정 약 3954만개(중복 포함)와 핵심 개발 소스코드가 유출되는 대형 보안 사고가 발생했다. 특히 개인정보 복호화가 가능한 암호화키까지 함께 탈취돼 일부 개인정보가 사실상 평문 상태로 외부에 노출된 것과 다름없는 것으로 조사됐다.

과학기술정보통신부는 3일 정부서울청사에서 민관합동조사단의 티빙 침해사고 조사 결과를 발표했다.

조사 결과 유출된 계정은 중복을 포함해 총 3954만개로 집계됐다. 이 가운데 실제 로그인이 가능한 활성 계정은 2206만개이며, 나머지는 비활성(휴면·탈퇴) 계정 1737만개, 테스트 계정 11만개다. 다만 연계정보(CI) 기준 중복 사례도 상당수 포함돼 있어 '3954만건 유출'을 실제 피해 이용자 수로 봐서는 안 된다는 게 조사단의 설명이다.

유출된 개인정보는 성명, 생년월일, 휴대전화번호, 이메일 주소, CI 등 20개 항목(70종)에 달했다. 특히 휴대전화번호와 이메일 주소는 일부 암호화된 상태로 저장돼 있었지만 이를 풀 수 있는 암호화키가 함께 유출되면서 사실상 평문 상태로 외부에 노출된 것과 다름없는 수준으로 평가됐다.

반면 비밀번호는 애초 복호화가 불가능한 일방향 암호화 방식으로 저장돼 있어 이번 사고로 비밀번호 원문이 직접 노출되지는 않은 것으로 조사됐다.

개인정보뿐 아니라 티빙의 핵심 기술자산인 개발 프로젝트도 대거 유출됐다. 개인정보가 포함된 소스코드를 포함해 총 361건, 30.35GB 규모의 개발 프로젝트가 1·2차 공격을 거쳐 외부로 빠져나간 것으로 조사됐다.

사고의 결정적 원인은 접속키 관리 부실이었다. 공격자는 티빙 개발자가 보유하고 있던 개발환경 접속키를 탈취해 내부 시스템에 침투했다. 이후 소스코드에 포함돼 있던 운영환경 접속키까지 추가로 확보하면서 운영 데이터베이스 접근 정보를 빼낸 것으로 파악됐다.

정부 조사단은 이 과정에서 △키 관리체계 미비 △이상행위 모니터링 부재 △정보보호 전담인력 부족 △2024년 모의해킹에서 발견된 취약점(접속키 하드코딩 등) 미조치 등 전사적인 정보보호 관리체계의 문제를 확인했다.

침해사고 신고도 지연됐다. 티빙은 침해사고를 인지한 5월 31일 오전 10시 10분으로부터 24시간을 넘긴 6월 1일 오후 3시 8분에야 한국인터넷진흥원(KISA)에 신고했다. 이에 따라 정보통신망법 위반에 따른 과태료(최대 3000만원) 처분 대상이 됐다.

이는 신고 지연에 따른 과태료로, 개인정보 유출 자체에 대한 과징금과는 별개다. 유출에 따른 과징금 부과 여부와 규모는 개인정보보호위원회가 세부 유출 규모 등을 확정한 뒤 별도로 결정할 예정이다.

이번 사고를 계기로 CJ그룹 차원의 정보보호 체계에도 관심이 쏠리고 있다. 앞서 지난 5월 CJ그룹 소속 여성 임직원 약 330명의 개인정보가 메신저 텔레그램을 통해 장기간 유포된 사실이 알려지면서 그룹의 보안 대응 체계가 논란이 된 바 있다. 한 달 만에 핵심 계열사인 티빙에서 대규모 해킹 사고가 발생하면서 계열사별 정보보호 수준에 대한 우려도 커지고 있다.

CJ그룹은 공식적으로 그룹 CISO(최고정보보호책임자) 산하에서 보안 표준 정책을 운영하고 있으며, CJ올리브네트웍스의 스마트 보안관제센터(CJ SSC)를 통해 24시간 모니터링 체계를 구축하고 있다. ISO 27001, ISMS-P 등 정보보호 관련 대외 인증도 확보하고 있다.

다만 계열사별 정보보호 인력에서는 격차가 뚜렷했다. 한국인터넷진흥원(KISA) 정보보호 공시종합포털에 공시된 2024년 기준 정보를 바탕으로 보안 전문 매체들이 분석한 결과, CJ제일제당과 CJ올리브네트웍스는 정보보호 전담 인력 비중이 10%대를 기록한 반면 티빙과 CJ ENM, CJ CGV 등 콘텐츠·서비스 계열사는 1~5% 수준에 그친 것으로 나타났다.

특히 티빙은 임직원 265명 중 정보보호 전담 인력이 외주 인력을 제외할 경우 4명 안팎에 불과해, 수천만명 규모의 회원 데이터를 다루는 사업 특성에 비해 인력 배치가 현저히 부족했다는 지적이 나온다.

침해사고 발생 당시 부서 간 상황 전파와 협업 체계도 미흡했다. 실제 이상징후가 발생한 5월 30일 오후 6시께부터 약 14시간이 지난 뒤에야 침해사고 대응을 총괄하는 정보보호 전담조직과 정보보호 최고책임자(CISO)에게 상황이 공유됐다.

조사단은 재발 방지를 위해 티빙에 충분한 정보보호 전담인력과 예산을 확보하고, 정보보호 전담부서의 역할을 재정립할 것을 권고했다. 아울러 침해사고 발생 시 부서 간 신속한 상황 전파와 협업이 이뤄질 수 있도록 대응체계를 전반적으로 재정비할 필요가 있다고 지적했다.

심화영 기자 dorothy@