티빙 이용자 활성화 계정 2206만 개 유출... "접속키 관리 부실이 원인"

과기정통부 민관합동조사단 발표
개인 식별 고유 값 '연계정보' 비롯
계정별 20개 항목 정보 유출 확인
"2년 전 취약점 발견하고도 미조치"
침해 인지 뒤 24시간 지나 신고도

3일 서울 마포구에 있는 온라인 동영상 서비스(OTT) 업체 티빙 사무실. 뉴시스

5월 말 발생한 구독형 온라인 동영상 서비스(OTT) 업체 티빙의 개인정보 유출 사고에서 이용자의 활성화 계정 2,200만여 개가 유출됐다는 민관합동조사단의 조사 결과가 나왔다. 개발자의 개발·운영환경에 들어갈 수 있는 키가 회사 측 관리 부실로 탈취돼 티빙 내부 시스템이 뚫렸다는 결론이다.

3일 과학기술정보통신부가 밝힌 조사단의 조사 결과에 따르면, 티빙 이용자의 서비스 로그인이 가능한 활성화 계정 2,206만 개가 유출됐다. 1년 이상 접속이 없는 휴면·탈퇴 계정까지 포함하면 3,954만 개(중복 포함, 1명이 최대 13개 계정 보유)다. 유출 항목은 △티빙 아이디(ID) △비밀번호 △이름 △전화번호 △이메일 △생년월일 △연계정보(CI) △중복가입 확인정보(DI) △결제 이력 △제휴 서비스 정보 △환불 계좌번호 등으로 20개 항목 70종이다. CI는 주민등록번호를 대체해 개인을 식별하기 위한 고유 값으로, 티빙 서비스 유료 결제와 성인 확인 등을 위한 본인 인증 과정에 생성된다.

---

유출 정보 해외로... 공격자 못 찾아

조사단은 공격자가 티빙 개발자의 접속키를 탈취해 개발자들의 협업 플랫폼인 개발환경과 클라우드 기반 운영환경을 비롯한 티빙 시스템에 침투해 침해 사고가 발생했다고 밝혔다. 특히 대규모 정보 유출은 운영환경에서 이뤄졌는데, 공격자는 이 공간에 가상 서버를 생성한 뒤 정보 유출 통로로 악용해 대규모 정보를 빼냈다고 조사단은 설명했다.

이는 회사의 접속키 관리 체계가 미비했던 결과라고 조사단은 판단했다. 개발자는 개발 편의를 위해 접속키를 소스 코드 내부에 그대로 노출하거나 암호화 처리 없이 저장한 걸로 나타났다. 티빙은 2년 전 모의해킹에서 이런 접속키 노출 취약점을 발견하고도 개선하지 않은 걸로 지적됐다.

조사단은 접속키 탈취 경위를 파악하려 개발자 노트북 8대와 PC 1대를 분석하고 시스템 접속기록(로그)과 데이터베이스(DB), 보안장비를 연계 분석했다. 유출된 정보는 해외 계정으로 빠져나간 흔적을 발견했으나 공격자 신원을 특정하진 못했으며, 서버 위치는 수사로 가려져야 한다고 정부 관계자는 부연했다.

---

개발 인력 149명인데 정보보호 인력은 4명

티빙 개발자가 구축했거나 개발 중인 프로젝트 361건도 이런 부실 관리로 유출됐다. 이용자 맞춤 콘텐츠 추천·검색 알고리즘, 이용자 관리·인증 체계, 결제 관리, 유료 서비스 운영 등 티빙 서비스 기술 자산이 포함됐다.

티빙의 모니터링 체계가 없던 것도 피해를 키운 원인으로 지적됐다. 개발인력은 149명인데 정보보호 인력은 4명에 그쳐 상시 보안 관제와 취약점 점검 수행이 어려운 한계로 지적됐다. 조사단은 "비정상 행위 탐지를 위한 모니터링과 차단 체계가 구축됐다면 대규모 이용자 정보 유출까지 이르지 못했을 것"이라 했다. 티빙은 침해 사고를 인지한 지 24시간이 지나 신고해 관계 법령 위반으로 3,000만 원 이하 과태료 처분도 받게 됐다. 티빙 측은 "빠르게 전파하고 공동 대응하는 체계가 미흡했다"고 인정했다.

구체적인 개인정보 유출 규모는 개인정보보호위원회가 이번 유출 항목을 분석한 이후 발표할 예정이다. 티빙은 이날 오후 대국민 사과와 재발 방지책, 보상안을 발표했다.

연관기사

• 티빙 "진심으로 사과... 기기 4대 동시 시청, 5000원 상당 포인트 보상"

손현성 기자 hshs@hankookilbo.com