티빙 이어 개인정보 침해 또 발생하나?…경찰, 개발자 플랫폼 정보유출 수사

최대 코드 플랫폼 ‘깃허브’서 유출 사고
깃허브는 티빙 정보유출 경로로도 추정
“개인정보·기업 기밀 누설로 이어질 수도”

온라인동영상서비스(OTT) 티빙의 개인정보 유출 경로로 추정되는 세계 최대 개발자 코드 저장 플랫폼 ‘깃허브’에서 기업·개인 계정의 ‘인증키’가 대량 유출돼 경찰이 수사에 나섰다. 경찰은 국내 30여개 기업에 인증키가 빠져나간 사실을 통보했다. 이번 사건이 추가적인 개인정보 유출 사고나 기업 기밀정보 탈취로 이어질 수도 있다는 우려도 나온다.

경찰청 국가수사본부 사이버테러대응과는 “다수의 깃허브 계정 인증 수단이 외부로 유출된 사실을 확인했다”며 관련 수사를 진행 중이라고 14일 밝혔다. 마이크로소프트(MS)가 운영하는 깃허브는 개발자들이 소프트웨어 개발에 필요한 코드를 저장·관리하고 공유하는 플랫폼이다.

유출된 인증 수단은 깃허브의 ‘개인 액세스 토큰(PAT)’이다. 깃허브 계정 내 비공개 코드 저장소에 접속할 때 사용된다. 예컨대 해커가 특정 기업 계정의 인증 토큰을 확보해 해당 저장소에 접근하면, 기업의 주요 시스템 침입에 필요한 정보를 얻을 수 있다. 한 보안 전문가는 “지하철역에 있는 사물함에 집 열쇠를 넣어놨는데, 사물함 비밀번호가 털린 격”이라고 설명했다.

현재까지 유출된 토큰은 500여개로 파악된다. 이 중 국내 업체의 계정은 30여개인 것으로 알려졌다. 유출이 확인된 업체의 업종은 다양한 것으로 전해졌다.

깃허브는 피해자가 1953만명에 달할 것으로 추산되는 티빙 개인정보 유출의 경로로도 추정된다. 노종면 더불어민주당 의원이 확보한 ‘티빙 개인정보 침해사고 관련 신고서’에서 티빙은 ‘깃허브 하드코딩 자격증명 제거 및 교체’ ‘공격이 확인된 아마존웹서비스(AWS) 액세스 키 즉시 폐기’ 등의 조치를 했다고 밝혔다. 깃허브 인증 수단 유출을 사고 원인으로 본 것으로 풀이된다.

김명주 서울여대 정보보호학부 교수는 “개발자들이 깃허브 등 오픈소스 플랫폼에 코드를 올리다가 실수로 인증 토큰까지 같이 올리는 경우가 있다”며 “만약 기업 계정 관리자 권한의 토큰이 유출되면 시스템에 있는 정보를 다 가져갈 수도 있는 구조”라고 말했다. 임종인 고려대 정보보호대학원 석좌교수는 깃허브 유출 사건과 관련해 “국제적인 문제로 비화할 수 있다”며 “접근 권한이 있는 MS 측에서 인증키 관련 점검을 하고 의심스러운 접근은 전부 차단하는 등 조치가 필요하다”고 말했다.

경찰 관계자는 “깃허브를 사용하는 모든 기업과 개인은 유출에 따른 침해가 생겼는지 점검해야 한다”며 “기존에 발급된 인증 토큰은 즉시 폐기하고 재발급받아야 한다”고 당부했다.

조민아 기자 minajo@kmib.co.kr

GoodNews paper ⓒ 국민일보(www.kmib.co.kr), 무단전재 및 수집, 재배포 및 AI학습 이용 금지