정부 “티빙, 개인정보 3954만 계정 유출”... 기술자산도 함께 털렸다

ID·비밀번호·이름·연계정보(CI) 등 20개 항목 유출
소스코드 포함된 개발 프로젝트 361건도 털려

서울 마포구 상암동에 위치한 티빙 본사의 모습. /뉴시스

국내 온라인동영상서비스(OTT) 티빙에서 이용자 계정 3954만개와 개발 프로젝트 등 기술 자산 361건이 유출된 것으로 정부 조사 결과 확인됐다.

과학기술정보통신부 산하 민관합동조사단은 3일 정부서울청사 브리핑에서 이번 티빙 침해사고로 로그인이 가능한 활성화 계정 2206만개, 비활성화 계정 1737만개(휴면·탈퇴), 테스트 계정 11만개 등 계정 총 3954만개가 유출됐다고 밝혔다. 이는 중복 집계된 수치로 동일인이 최대 13개 계정을 보유한 사례도 있었다. 가입 경로별로는 네이버·카카오·페이스북·애플·X 등 소셜미디어(SNS) 간편가입이 2247만개로 가장 많았고, CJ ONE 통합회원 863만개, 티빙 자체가입 726만개 순이었다.

유출된 정보는 아이디(CJ ONE 통합 아이디 포함)와 비밀번호를 비롯해 성명·휴대전화번호·이메일 주소·생년월일·연계정보(CI) 등 20개 항목(70종)이다. 이용자 정보 외에도 티빙의 개발 프로젝트 등 기술 자산 361건도 함께 빠져나갔다. 이용자 맞춤형 콘텐츠 추천·검색 알고리즘, 이용자 관리·인증체계, 결제 관리, 유료 서비스 운영 등 티빙 핵심 기술 자산으로 용량 크기만 30.35기가바이트(GB)에 이른다.

탈취 경로도 확인됐다. 조사단은 공격자가 5월 29일부터 31일에 걸쳐 티빙 개발자의 ‘개발환경 접속키’를 탈취한 뒤, 시스템 내부에 무단 접속한 것으로 봤다. 이후 공격자는 개발 프로젝트 내 소스코드에 저장된 ‘운영환경 접속키’ 43개를 추가 확보했다. 이 과정에서 공격자는 이용자 정보가 담긴 데이터베이스(DB)에 접근할 수 있는 아이디와 비밀번호가 암호화되어 있지 않은 사실을 인지했다.

공격자는 운영환경 접속키와 DB 아이디·비밀번호를 활용, 클라우드 저장소에 정보유출형 공격 도구를 삽입했다. 그런 다음 저장소와 연동된 DB에 접속해 5월 30일 1차 이용자 정보유출을 시도했다. DB 서버 과부하로 이상징후 알림이 발생하자 티빙이 차단 조치를 취했으나, 공격자는 31일 가상서버를 생성해 이용자 정보 24GB를 일괄 저장하고 외부 서버로 유출했다. 티빙 정보보호 관리체계가 갖고 있던 한계가 드러난 셈이다.

정부는 티빙에 정보통신망법 위반에 따른 과태료(최대 3000만원)를 부과할 예정이다. 티빙이 침해사고 인지 시점(5월 31일 오전 10시 10분)으로부터 24시간이 지난 뒤 한국인터넷진흥원(KISA)에 신고(6월 1일 오후 3시 8분)한 사실이 확인됐기 때문이다.

조사단은 티빙에 재발방지 대책 마련을 촉구했다. 조사단 관계자는 “티빙은 키 관리가 부실하여, 오남용 및 유출로 인해 공격에 악용될 수 있는 단초를 제공했다”고 지적했다. 그러면서 “티빙은 키 관리·통제·접근권한 체계를 구축하고, 운영관리 기준을 만들어야 할 것”이라며 “키 발급·사용 이력 관리를 위한 체계 구축 및 상시 점검을 실시해야 한다”고 했다.