[뉴스토마토 이지은 기자] 지난 5월 발생한 온라인동영상서비스(OTT) 티빙 침해사고로, 로그인 가능한 활성 계정 2206만개를 포함한 총 3954만개 계정 정보가 유출된 것으로 정부 조사 결과 확인됐습니다. 공격자는 티빙 개발자가 사용하는 접속기를 탈취해 내부 시스템에 침투했는데요. 소스코드가 포함된 개발 프로젝트 361건도 외부로 유출됐습니다.
과학기술정보통신부는 3일 이 같은 내용의 티빙 침해사고에 대한 민관합동조사단 조사 결과를 발표했습니다. 조사단은 약 3개월간 공격자의 침투 경로와 피해 규모, 정보보호 관리 체계 등을 조사했습니다.
조사 결과 유출된 계정은 로그인할 수 있는 활성 계정 2206만개, 휴면 계정 850만개, 탈퇴 계정 887만개, 테스트 계정 11만개 등 총 3954만개입니다. 여기에는 동일 이용자가 보유한 중복 계정이 포함됐습니다. 조사 과정에서 한 명의 이용자가 최대 13개 계정을 보유한 사례도 확인됐습니다.
서울 마포구에 위치한 티빙 사무실. (사진=뉴시스)
가입 방식별로는 티빙 자체가입 계정이 726만개, CJ ONE 통합회원 863만개, 네이버·카카오·애플·페이스북·X 등을 통한 소셜네트워크서비스(SNS) 간편가입 계정이 2247만개였습니다.
유출된 정보에는 ID와 성명, 생년월일, 성별, 휴대전화번호, 이메일 주소, 연계정보(CI) 등 20개 항목 70종이 포함됐습니다. CI는 여러 온라인 서비스에서 동일 이용자를 식별하기 위해 사용하는 정보입니다.
계정 특성에 따라 유출된 정보량에는 차이가 있었습니다. CI를 보유한 계정 1904만개는 평균 11.1개 항목, CI 미보유 계정 2040만개는 평균 4.6개 항목이 유출된 것으로 조사됐습니다. 구체적인 개인정보 유출 규모는 개인정보보호위원회가 유출 항목에 대한 세부 분석을 거쳐 확정할 예정입니다.
휴대전화번호와 이메일 주소는 일부 암호화된 상태로 유출됐지만 암호화키도 함께 빠져나간 것으로 확인됐습니다. 조사단은 복호화가 가능하다는 점에서 평문으로 유출된 정보와 동일한 수준으로 판단했습니다. 비밀번호는 일방향 암호화된 상태로 유출돼 평문으로 복호화할 수 없는 것으로 파악됐습니다.
임정규 과학기술정보통신부 네트워크정책관이 3일 티빙 침해사고 조사결과를 발표하고 있다. (사진=뉴스토마토)
공격자는 티빙 개발자가 보유한 개발환경 접속기를 탈취해 지난 5월29일 티빙 개발환경에 침투했습니다. 이후 개발환경에서 접근 가능한 개발 프로젝트 361건을 유출했고, 여기서 운영환경에 접근할 수 있는 별도의 접속기를 확보했습니다.
이후 공격자는 운영환경에 침투한 뒤 이용자 정보가 저장된 데이터베이스(DB)에 접근했습니다. 5월30일 1차 정보 유출을 시도했지만 DB 서버 작업량 과다로 이상징후가 발생하면서 티빙이 해당 작업을 차단했습니다. 공격자는 다음날 별도의 가상서버를 생성한 뒤 이를 통로로 이용해 이용자 정보를 대규모로 빼낸 것으로 조사됐습니다.
조사단은 개발·운영환경 접속기를 소스코드에 그대로 노출하거나 평문으로 저장하는 등 티빙의 키 관리 체계가 미흡했다고 판단했습니다. 비정상적인 대량 정보 조회 등을 실시간으로 탐지·차단하는 체계도 제대로 구축되지 않았던 것으로 조사됐습니다.
티빙은 침해사고를 인지한 뒤 법정 신고기한인 24시간을 넘겨 한국인터넷진흥원(KISA)에 신고한 사실도 확인됐습니다. 과기정통부는 정보통신망법에 따라 티빙에 과태료를 부과하고 재발 방지 대책 이행 여부를 점검할 방침입니다.
이지은 기자 jieunee@etomato.com
이 기사는 뉴스토마토 보도준칙 및 윤리강령에 따라 김기성 편집국장이 최종 확인·수정했습니다.
ⓒ 맛있는 뉴스토마토, 무단 전재 - 재배포 금지