[뉴스토마토 이지은 기자] 3954만개 계정 정보가 유출된 티빙 침해사고 배경에는 허술한 키 관리와 과도한 접근권한, 비정상 행위 탐지 부재 등 전반적인 정보보호 관리체계 문제가 자리하고 있었습니다. 특히 티빙은 2024년 모의해킹에서 이번 사고에 악용된 것과 같은 접속키 하드코딩 취약점을 확인하고도 개선하지 않았습니다. 사고 발생 약 3개월 만에 공식 사과한 티빙은 향후 5년간 정보보호 투자를 4배로 확대하는 등 보안체계를 전면 재정비하기로 했습니다.
3일 과학기술정보통신부 민관합동조사단에 따르면 공격자는 지난 5월29일 티빙 개발자가 보유한 개발환경 접속키를 탈취해 내부에 침투했습니다. 이후 개발 프로젝트 361건을 외부로 빼냈고, 여기에 저장된 운영환경 접속키를 추가로 확보해 이용자 정보가 담긴 데이터베이스(DB)까지 접근했습니다.
임정규 과학기술정보통신부 네트워크정책관이 3일 티빙 침해사고 조사결과를 발표하고 있다. (사진=뉴스토마토)
공격이 운영환경까지 이어질 수 있었던 데는 기본적인 키 관리 부실이 영향을 미쳤습니다. 티빙은 개발·운영환경 접속키를 소스코드에 그대로 노출하거나 암호화하지 않은 평문 형태로 저장했습니다. 개발 프로젝트에서는 운영환경 접속키 43개가 확인됐고 공격자는 이 가운데 2개를 실제 침투에 활용했습니다.
티빙이 이 같은 위험을 사전에 인지하고 있었던 점도 문제로 지목됩니다. 2024년 실시한 모의해킹에서 개발·운영환경 접속키가 소스코드에 노출된 취약점을 확인했지만 이후 개선 조치를 하지 않았습니다. 조사단은 키 관리체계가 제대로 정비됐다면 개발환경은 물론 운영환경 침투까지 차단할 수 있었을 것으로 판단했습니다.
접근권한 관리도 느슨했습니다. 업무에 필요한 범위만 권한을 부여하는 최소권한 원칙과 달리 모든 개발자가 전체 개발 프로젝트에 접근할 수 있었습니다. 개발자 한 명의 접속키가 탈취되면서 공격자가 전체 프로젝트에 접근할 수 있는 구조였던 셈입니다.
티빙은 첫 번째 정보 유출 시도를 포착하고도 추가 공격으로 이어지는 것을 막지 못했습니다. 공격자가 5월30일 DB에서 대량의 정보를 빼내려다 CPU 이용률이 100%까지 치솟자 티빙은 해당 작업을 차단했습니다. 그러나 이를 보안사고가 아닌 시스템 이상으로 판단했고, 공격자는 이튿날 다른 운영환경 접속키를 이용해 별도의 가상서버를 만든 뒤 이용자 정보를 외부로 빼냈습니다.
임정규 과기정통부 정보보호네트워크정책관은 "티빙이 CPU 부하 등 단순 시스템 모니터링에 의존해 네트워크와 데이터 흐름의 비정상 행위를 실시간으로 탐지·차단하지 못했다"고 설명했습니다. 이 과정에서 유출된 개인정보는 실제 해외 서버로 전송된 것으로 파악됐습니다. 공격자는 운영환경에 만든 가상서버에 DB 정보를 저장한 뒤 해외 서버로 옮기고 해당 가상서버를 삭제했습니다.
구체적인 국가와 공격자 신원, 유출 정보가 현재도 해당 서버에 남아 있는지 등은 확인되지 않았습니다. 임 정책관은 "정확한 국가와 공격자 확인 등은 수사의 영역"이라며 "현재 경찰이 수사하고 있다"고 말했습니다.
티빙, 정보보호 투자 4배 확대…보안인력도 3배로
최주희 티빙 대표가 3일 서울 중구 코리아나호텔에서 개인정보 유출 사고와 관련해 공식 사과를 하고 있다. (사진=뉴시스)
티빙은 이번 사고에서 드러난 보안관리 허점을 보완하기 위해 정보보호 투자·보안인력 확대, 제로트러스트 기반 보안체계 재구축, 조직 거버넌스·보안문화 재정립, 외부 협력을 통한 전문성 강화 등 4대 전략을 추진합니다. 최주희 티빙 대표는 "민관합동조사단의 조사 결과를 겸허히 수용한다"며 "이번 사고를 뼈아프게 반성하고 보안체계 전반을 근본부터 다시 세우겠다"고 밝혔습니다. 2030년까지 정보보호 투자를 직전 5년 대비 약 4배로 확대하고, 보안 전문인력도 향후 5년간 현재의 3배 수준으로 늘립니다. 보안 조직은 프로덕트·클라우드·전사 IT·컴플라이언스 보안으로 세분화합니다.
이번 사고의 주요 원인으로 지목된 접근권한과 이상행위 탐지체계도 손봅니다. 인증과 접근통제를 단계별로 검증하는 제로트러스트 원칙을 적용하고 직무와 목적에 따라 필요한 범위에서만 권한을 부여하는 최소권한 원칙을 전사적으로 적용합니다. 시스템과 네트워크 영역을 분리하고 인공지능(AI) 기반 이상징후 탐지와 실시간 자동 대응체계도 강화해 위험이 감지되면 즉시 차단·격리할 수 있도록 할 방침입니다. 최고경영자(CEO)·정보보호최고책임자(CISO)·개인정보보호책임자(CPO) 체계 아래 실무 보안협의체를 신설하고 CEO 직속 정보보호혁신 자문위원회를 통해 외부 전문가의 검증도 받습니다.
이용자 보상도 진행합니다. 1년간 해킹·피싱 등에 따른 피해를 1인당 최대 300만원까지 보상하는 안심보험을 제공하고, 프리미엄급 시청환경 업그레이드와 티빙 포인트 5000원, 엔터테인먼트 쿠폰 등을 지급합니다. 보상 패키지는 오는 7일부터 30일까지 신청받아 다음 달 6일부터 적용할 예정입니다.
이지은 기자 jieunee@etomato.com
이 기사는 뉴스토마토 보도준칙 및 윤리강령에 따라 김기성 편집국장이 최종 확인·수정했습니다.
ⓒ 맛있는 뉴스토마토, 무단 전재 - 재배포 금지