'티빙 해킹'은 티빙서 끝날까? 하나만 뚫려도 다 뚫리는 CI의 빈틈

더스쿠프 심층취재 추적+
개인정보 유출한 티빙
‘온라인 주민증’도 포함돼
모든 가입 상태 파악 가능
동일한 CI 쓰는 기관도 문제

국내 토종 OTT 플랫폼 티빙에서 대규모 개인정보 유출 사고가 발생했습니다. '늘 있는 해킹사고'라고 치부하기엔 사태가 꽤 심각합니다. 일반 가입 정보뿐만 아니라 온라인상에서 주민등록번호 역할을 대신하는 '연계정보(CI)'까지 유출한 것으로 파악됐기 때문입니다. 그렇다면 CI가 해커의 손에 들어가면 어떤 일이 벌어질까요?

OTT 업체 티빙이 개인정보 유출 사태를 일으켰다.[사진 | 티빙]

개인정보 유출 사고가 또 발생했습니다. 이번엔 동영상을 스트리밍하는 OTT 업체입니다. 지난 3일 티빙은 "5월 31일에 개인정보가 저장된 데이터베이스(DB)에 신원을 알 수 없는 해커가 접근한 정황을 확인했다"는 내용의 사과문을 공지했습니다.

아울러 사고 인지 직후 한국인터넷진흥원(KISA)에 신고한 후 공격자의 인터넷프로토콜(IP) 접근을 차단하고, 클라우드의 접근통제 정책도 변경했으며, 데이터베이스(DB) 접속 모니터링을 강화하는 등의 조취를 취했다고 밝혔습니다.

■ 질문① CI가 뭐기에 = 이 정도 조치를 취했다면 더 큰 문제는 없는 걸까요? 그렇지 않습니다. '개인정보' 유출 문제는 살펴볼 점이 숱합니다. 실제로 티빙은 이번 해킹으로 티빙 이용자의 이름과 아이디, 생년월일, 서비스 이용 관련 정보, 중복가입확인정보(DI) 등을 유출했습니다. 여기엔 암호화된 민감정보도 포함돼 있습니다. 휴대전화번호(마지막 4자리 암호화), 이메일(아이디 암호화), 환불 계좌번호, 비밀번호, 연계정보(connecting informationㆍCI) 등입니다.

이중 CI의 유출은 치명적일 수 있습니다. CI는 우리가 본인인증을 하는 데 사용하는 문자열입니다. CI 덕분에 기업은 고객의 주민등록번호를 수집하지 않아도 '지금 접속한 이 사람이 그 사람이 맞다'고 식별할 수 있습니다. CI가 온라인상에서 주민등록번호 역할을 대신하는 셈입니다.

CI를 활용한 인증 절차는 이렇습니다. 소비자가 기업 웹사이트에서 본인인증을 시도하면, 통신사나 시중은행 등 방송통신위원회가 지정한 '본인확인기관'이 중간에 개입합니다. 이 기관은 소비자의 주민등록번호를 88바이트(Byte) 길이로 복잡하게 암호화한 CI를 기업에 제공합니다. 기업은 이를 당사가 가진 CI 값과 비교해 소비자가 회원인지 아닌지를 식별합니다.

[※참고: CI 방식을 전면 도입한 건 2014년 개인정보보호법을 개정하면서입니다. 그전까지 웹사이트가 주민등록번호를 무분별하게 수집한 탓에 대규모 해킹과 유출 사고가 끊이지 않았기 때문입니다. 개정 이후 본인확인기관이 아닌 일반 기업은 주민등록번호를 서버에 저장하거나 보유할 수 없습니다.]

■ 질문② CI 해킹 얼마나 위험한가 = 다만, 해커가 CI에서 주민등록번호를 직접 추출하는 것은 불가능합니다. 문제는 CI가 온라인상에서 주민등록번호와 다름없는 역할을 한다는 점입니다. 이를 악용하면 특정 개인이 어떤 서비스에 가입했는지를 알아낼 수 있습니다.

한 이용자가 티빙과 알뜰폰에 동시 가입했다고 가정합시다. CI로 이 사실을 알아낸 해커는 이용자에게 다음과 같은 피싱(phishingㆍ사칭 사기 수법) 문자를 보냅니다. '지금 알뜰폰을 해지하고 이동통신사로 번호 이동하면 티빙 요금이 무료'. 이 문자를 받은 이용자는 티빙이나 이동통신사에서 보낸 마케팅 문자라고 착각하기 쉽습니다. CI를 통해 피해자의 의심을 무력화하고 피싱 성공률을 높일 수 있는 겁니다.

이쯤에선 이런 질문이 나올 만합니다. "우리가 쓰는 본인확인기관이 한두개가 아닌데, CI 하나로 이용자의 모든 가입 정보를 알아낼 순 없지 않을까요?" 결론부터 말하면, 가입 정보를 모조리 알아차릴 수 있습니다. 이동통신사부터 시중은행, 신용평가사 등 국내 존재하는 모든 본인확인기관이 '동일한 CI'를 쓰고 있기 때문입니다. 해커가 티빙에서 확보한 CI가 다른 본인확인기관에서 쓰는 CI와 일치한다는 얘깁니다.

왜 이런 구조를 띠고 있는 걸까요? 방송통신위원회 관계자의 설명을 들어보겠습니다. "CI는 한국인터넷진흥원(KISA)과 방통위 가이드라인에 따라 국산 표준 암호 알고리즘과 해시 함수 등을 조합해 만들어진다. 이런 과정을 거쳐 주민등록번호 하나당 1개의 CI만 도출하는데, 이 방식을 국내의 모든 본인확인기관이 따르고 있다."

[※참고: 해시 함수(hash function)는 입력된 데이터를 일정 길이의 값으로 변환하는 함수입니다. 입력 데이터가 아무리 방대해도 늘 정해진 길이의 값으로 출력하는 특징을 갖고 있어 암호화에 자주 쓰입니다.]

■ 질문③ 다른 OTT는 괜찮나 = 이런 맥락에서 이번 티빙 해킹 사태는 또 하나의 질문을 던집니다. 티빙 외 나머지 OTT 플랫폼들의 개인정보 관리 실태는 괜찮냐는 겁니다. 긍정적으로 답하기 어렵습니다. 넷플릭스와 웨이브, 왓챠 등 다른 OTT 서비스 역시 CI를 포함한 민감 정보들을 수집해 보관하고 있기 때문입니다.

국내 OTT 1위(넷플릭스ㆍ1479만9836만명), 2위(쿠팡플레이ㆍ910만1593명), 3위(티빙ㆍ770만8645명ㆍ이상 모바일인덱스 4월 기준)까지 이용하는 사용자가 단순 계산으로 3000만명을 훌쩍 넘는다는 점을 감안하면 심각한 문제입니다.

그럼 어떻게 해야 할까요? 정부 차원에서라도 해킹의 파급력을 최소화할 방법은 없을까요? 보안 전문가들은 단일 CI를 기반으로 한 인증 체계가 사태의 심각성을 키우고 있다고 지적합니다. 모든 본인확인기관에서 하나의 CI만 사용하는 탓에 한 사이트만 해킹을 당해도 다른 서비스까지 사생활 추적과 도용 위험에 노출된다는 이유에서입니다.

[사진 | 게티이미지뱅크]

김명주 서울여대(정보보호학) 교수는 "CI는 우리나라 전체 서비스에서 통합돼 사용되기 때문에 한 곳에서 유출되면 다른 사이트의 이용 여부까지 줄줄이 확인되는 문제가 생긴다"면서 다음과 같이 말을 이었습니다.

"금융 영역과 일반 마케팅 영역 등 세부 영역별로 다른 CI 값을 발급해 쪼개 쓰거나, CI에 2~3년 단위의 유효기간을 둬서 주기적으로 갱신하는 방안이 필요하다. CI 대신 유럽연합(EU) 등에서 활발히 쓰이는 '분산신원증명(decentralized identifyㆍDID)'을 도입하는 것도 한 방법이다. DID는 신원 정보를 분산 관리하는 기술로, 전체 시스템이 무너지는 걸 막아준다. CI 중심의 현행 인증 체계를 다각화하는 제도적 기술 전환을 고민해야 할 시점이다."

이번 티빙의 해킹 사태는 일회성 사고를 넘어 국내 OTT 업계와 보안 시장에 근본적인 질문을 던지고 있습니다. 개별 플랫폼의 보안 강화 조치만으론 '하나만 뚫리면 다 추적당하는' 한국 보안 구조의 위험성을 해소할 수 없습니다. 한국의 보안망, 이대로 괜찮은 걸까요?

이혁기 더스쿠프 기자
lhk@thescoop.co.kr