티빙, 4천만개 계정 해킹...알고리즘·결제 소스코드 통째 유출

온라인 본인 인증용 식별값(CI) 대량 유출 첫 사례…2차 피해 우려
추천 알고리즘·결제 시스템 등 30GB 분량 핵심 소스코드 노출
보안 구멍·늑장 신고 드러나…최초 공격자 못 찾아 '경찰 수사 중'

과학기술정보통신부는 3일 정부서울청사에서 민관합동조사단의 티빙 침해사고 조사 결과를 발표했다. 연합뉴스

국내 대표 온라인동영상서비스(OTT) 티빙(TVING)에서 약 4000만 개에 달하는 이용자 계정 정보와 핵심 기술 자산이 대규모로 유출된 사실이 정부 조사를 통해 최종 확인됐다. 특히 주민등록번호를 대체하는 고유 식별값인 연계정보(CI)가 대량으로 유출된 첫 사례로 기록되며, 보이스피싱 등 2차 피해 우려가 커지고 있다.

과학기술정보통신부 산하 민관합동조사단은 3일 정부서울청사에서 브리핑을 열고 티빙 해킹 사고 조사 결과를 발표했다. 조사 결과, 로그인이 가능한 활성화 계정 2천206만 개, 비활성화 계정 1천737만 개, 테스트 계정 11만 개 등 총 3954만 개(중복 포함)의 계정 정보가 유출됐다.

유출된 개인정보는 ID, 일방향 암호화된 비밀번호, 성명, 휴대전화 번호, 이메일 주소, 생년월일, 연계정보(CI) 등 20개 항목 70종에 달한다.

휴대폰 번호와 이메일 등은 일부 암호화되어 있었으나, 암호화 키가 함께 유출되면서 사실상 평문 유출과 다름없는 상태인 것으로 파악됐다. 조사단은 이를 악용한 스미싱, 다크웹 불법 유통 등 추가 피해 확산 가능성을 경고했다.   

티빙 침해사고 조사 결과를 발표하고 있는 임정규 과기정통부 정보보호네트워크정책관. 연합뉴스

가장 큰 문제는 이용자 정보뿐만 아니라 티빙의 근간이 되는 기술 자산도 해커의 손에 넘어갔다는 점이다. 유출된 개발 프로젝트는 총 361건으로 그 규모만 30.35기가바이트(GB) 에 이른다.

여기에는 이용자 맞춤형 콘텐츠 추천 및 검색 알고리즘, 결제 관리, 이용자 인증 체계 등 핵심 소스코드가 포함됐다. 해커가 해당 코드를 분석해 내부 시스템 취약점을 파악할 경우, 더 치명적인 2차 사이버 공격으로 이어질 수 있다는 지적이 나온다.

사고의 근본 원인은 티빙의 총체적인 보안 및 개인정보 관리 부실에 있었다. 공격자는 모든 개발자에게 접근권이 부여된 ‘개발환경 접속키’를 탈취해 시스템에 침투했다. 이후 소스코드 내에 아무런 암호화 없이 평문으로 방치된 데이터베이스(DB) 접속 정보를 찾아내 대규모 정보 유출을 감행했다.

보안 모니터링 체계도 작동하지 않았다. 해커가 운영환경 내부에 가상서버를 몰래 생성해 데이터 유출 통로로 악용하고 2차 정보 유출을 시도했음에도, 티빙 측은 DB 서버 작업량 과다에 따른 이상 징후를 전혀 탐지하지 못했다. 또 정보통신망법 규정된 ‘사이버 침해 사고 인지 후 24시간 이내 신고’ 의무도 지키지 않은 것으로 드러났다. 

이에 과기정통부는 티빙의 외주 인력을 제외한 내부 정보보호 전담 인력이 단 4명에 불과한 점을 지적하며, 전담 인력 및 예산 확충을 강하게 권고했다. 정부는 규정 위반 사항에 대해 티빙 측에 과태료를 부과할 방침이다.

한편, 정부 조사단은 시스템에 최초로 침투한 해커를 아직 특정하지 못했으며, 현재 경찰은 최초 공격자에 대한 수사를 진행하고 있다. 

정진명 기자 jeans202@kyeonggi.com