티빙, 이용자 계정 3954만개 유출…개발자 접속키 뚫려

소스코드 포함 기술자산 361건 유출…신고 지연 과태료 예정

[프라임경제]  온라인동영상서비스(OTT) 플랫폼 '티빙' 침해 사고로 이용자 계정 약 3954만개와 소스코드가 포함된 개발 프로젝트 361건이 유출된 것으로 확인됐다. 

개발자의 접속키 탈취로 시작돼 내부 소스코드에 암호화도 없이 방치된 운영서버 키와 데이터베이스(DB) 접속 비밀번호를 타고 들어가면서 이뤄진 것으로 드러났다.

과학기술정보통신부(이하 과기정통부)는 티빙 침해사고에 대한 민관합동조사단의 조사 결과를 3일 발표했다.

조사단은 티빙 개발환경 보안로그를 분석한 결과, 개발자가 구축 또는 개발 중인 소스코드가 포함된 개발 프로젝트 361건(30.35GB 규모)이 유출된 것을 확인했다.

개발 프로젝트에는 이용자 맞춤형 콘텐츠 추천 및 검색 알고리즘, 이용자 관리 및 인증체계, 결제 관리, 유료 서비스 운영 등 티빙을 운영·관리하기 위한 기술 자산이 포함돼 있었다.

조사단은 티빙 DB 및 관련 로그 분석을 통해 △로그인이 가능한 활성화 계정 2206만개 △비활성화 계정 1737만개(휴면 계정 850만개, 탈퇴 계정 887만개) △테스트 계정 11만개 등 3954만개 계정(중복 포함)이 유출된 것을 확인했다.

티빙의 3954만개 계정은 동일인이 다수의 계정을 보유할 수 있는 구조로 중복이 포함돼 있다. 실제 한 명의 이용자가 최대 13개 계정을 보유한 사례를 파악했다. 

가입 방식을 기준으로 △티빙 자체가입 726만개 △CJ ONE 통합회원 863만개 △SNS 간편가입(네이버·카카오·페이스북·애플·X 등) 2247만개 등이다.

유출된 정보는 △ID △비밀번호(일방향 암호화) △CJ ONE 통합ID △성명 △휴대전화 번호 △이메일 주소 △생년월일 △연계정보(CI) 등을 포함해 20개 항목(70종)이다.

유출 항목 중 휴대전화 번호, 이메일 주소는 일부 암호화된 상태로 유출됐으나, 암호화키가 함께 유출돼 복호화가 가능함에 따라 평문으로 유출된 정보와 동일한 수준으로 판단했다.

비밀번호는 일방향 암호화된 상태로 유출됐으며 평문으로 복호화가 불가능한 상태임을 확인했다.

다만, CI 보유·미보유 등 계정 특성에 따라 유출정보의 규모에 차이가 존재했다. CI 보유 계정의 경우 더 많은 정보가 유출된 것으로 나타났다. 보유 계정 1904만개는 평균 11.1개 항목(17.6종), 미보유 계정 2040만 개는 평균 4.6개 항목(5.9종)이 유출됐다.

소셜네트워크서비스(SNS) 간편가입 계정이 유출되면서 추가적인 피해 발생에 대한 우려가 제기된다. 이에 대해 임정규 과기정통부 정보보호네트워크정책관은 "SNS에 있는 정보가 자동적으로 넘어가지는 않는다"면서 "티빙의 정보가 유출됐다가 자연적으로 SNS 정보가 동시에 유출되거나 그럴 위험성은 없다"고 단언했다.

조사단은 공격자가 티빙 개발자의 '개발환경 접속키'를 탈취해 시스템 내부(개발환경, 운영환경)에 침투한 것으로 파악했다. 

소스코드 내에 저장된 '운영환경 접속키' 43개를 추가 확보해 운영환경(아마존웹서비스·AWS)까지 침투된 것으로 추정됐다.

조사단은 키 관리체계가 잘 정비됐다면, 개발환경에 접근하는 것을 차단할 수 있었으며 운영환경에 접속하지 못 했을 것이라 판단했다.

비정상 행위 탐지를 위한 모니터링 및 차단체계가 잘 구축됐다면, 대규모 이용자 정보유출까지 이르지 못 했을 것으로 봤다.

아울러 티빙은 전체 임직원은 265명, 개발인력은 149명 규모임에 반해 정보보호 전담인력은 4명 내외(외주인력 제외)로 다양한 정보보호 활동을 수행하는 데 한계가 있다고 지적했다.

티빙은 2024년 모의해킹 결과, 개발·운영환경 접속키를 소스코드 내부에 숨김없이 그대로 노출하는 취약점을 발견했지만 개선 조치하지 않은 점도 꼬집었다.

침해사고 신고 지연 문제도 있었다. 티빙은 침해사고 인지 시점(5월31일 오전 10시10분)으로부터 24시간이 지난 뒤 한국인터넷진흥원(KISA)에 신고(6월1일 오후 3시8분)한 사실이 확인돼 정보통신망법 위반에 따른 과태료(최대 3000만원)가 부과될 예정이다.

과기정통부는 이번 조사단 조사결과를 토대로 티빙에 재발방지 대책에 따른 이행계획을 제출하도록 하고, 내년 1월 티빙의 이행 여부를 점검할 계획이다.