온라인동영상서비스(OTT) 티빙(TVING)에서 이용자 3,954만 개 계정 정보와 소스코드가 포함된 개발 프로젝트 361건이 외부로 유출된 것으로 확인됐다. 과학기술정보통신부(부총리 겸 과학기술정보통신부 장관 배경훈)는 이 같은 내용의 티빙 침해사고 민관합동조사단 조사 결과를 9월 3일 발표했다.
 [코리안투데이] 티빙 침해사고 조사결과 발표 © 장형임 기자 |
과기정통부는 티빙 침해사고에 대한 민관합동조사단(이하 조사단)의 조사 결과를 9월 3일 발표하고, 사고 원인과 피해 규모, 재발방지 대책을 공개했다.
사고는 지난 5월 30일 티빙 데이터베이스(DB) 서버의 작업량 과다로 시스템 과부하 현상이 나타나면서 드러났다. 티빙은 이상징후를 분석하던 중 비인가자가 내부 서버에 무단 접근해 이용자 정보를 조회한 사실을 인지하고 6월 1일 한국인터넷진흥원(원장 이상중, KISA)에 침해사고를 신고했다. 과기정통부는 6월 2일 KISA와 함께 현장조사에 착수했고, 6월 3일 침해사고 조사 심의위원회 심의를 거쳐 민관합동조사단을 구성했다.
조사단은 접속키 탈취 경위와 공격자 침투 경로, 정보유출 규모, 전사 차원의 정보보호 관리체계 등을 조사 범위로 설정했다. 이를 위해 개발자 단말기 9대(노트북 8대, PC 1대)를 포렌식 분석하고, 보안장비·DB·시스템 로그를 연계 분석했다. 조사 대상 데이터는 2011년 3월부터 2026년 5월까지 보유한 DB 약 3.5TB와 보안장비 로그 약 5TB에 이른다.
피해는 기술자산과 이용자 정보 양쪽에서 발생했다. 기술자산의 경우 소스코드가 포함된 개발 프로젝트 361건(30.35GB)이 유출됐다. 여기에는 맞춤형 콘텐츠 추천 및 검색 알고리즘, 이용자 관리·인증체계, 결제 관리, 유료 서비스 운영 등 티빙 운영에 필요한 핵심 기술이 담겨 있었다. 조사단은 공격자가 이를 분석해 취약점을 파악하고 2차 공격에 악용할 가능성이 있다고 판단했으나, 현재까지 추가 공격 정황은 확인되지 않았다.
이용자 정보 유출 규모는 더 컸다. 로그인이 가능한 활성화 계정 2,206만 개, 휴면 850만 개와 탈퇴 887만 개를 포함한 비활성화 계정 1,737만 개, 테스트 계정 11만 개 등 중복을 포함해 3,954만 개 계정이 유출됐다. 티빙은 동일인이 여러 계정을 보유할 수 있는 구조로, 한 이용자가 최대 13개 계정을 가진 사례도 확인됐다. 가입 방식별로는 자체가입 726만 개, CJ ONE 통합회원 863만 개, 네이버·카카오·페이스북·애플 등 SNS 간편가입 2,247만 개 등으로 나타났다.
유출된 항목은 아이디, 일방향 암호화된 비밀번호, 성명, 휴대전화 번호, 이메일 주소, 생년월일, 연계정보(CI) 등 20개 항목(70종)이다. 비밀번호는 일방향 암호화돼 평문 복호화가 불가능하지만, 휴대전화 번호와 이메일 주소는 일부 암호화됐더라도 암호화키가 함께 유출돼 평문과 동일한 수준으로 노출됐다. 본인인증 과정에서 생성되는 CI 보유 계정 1,904만 개는 평균 11.1개 항목이, CI 미보유 계정 2,040만 개는 평균 4.6개 항목이 유출됐다. 다만 미보유 계정 상당수는 성명이나 연락처가 부정확하거나 누락된 데이터였다. 구체적인 개인정보 유출 규모는 개인정보보호위원회가 상세 분석을 거쳐 확정할 예정이다.
사고의 발단은 개발자가 보유한 접속키 탈취였다. 공격자는 개발자의 ‘개발환경 접속키’를 사전에 탈취해 개발환경에 무단 접속한 뒤 개발 프로젝트 361건을 모두 빼냈다. 이어 소스코드 안에 하드코딩되거나 평문으로 방치돼 있던 ‘운영환경 접속키’ 43개 중 2개를 악용해 클라우드 기반 운영환경(AWS)에 침투했다. 5월 30일 1차 유출 시도 때는 DB 서버 CPU 이용률이 100%로 치솟아 이상징후 알림이 발생해 차단됐으나, 5월 31일 2차 시도에서는 공격자가 CPU 점유율을 10% 이내로 제한하며 가상서버를 만들어 이용자 정보 24GB를 외부로 빼낸 뒤 흔적을 지웠다.
조사단은 티빙의 정보보호 관리체계 전반에서 구조적 문제를 확인했다. 접속키가 소스코드에 그대로 노출되거나 사내 메신저로 무분별하게 공유됐고, 모든 개발자에게 전체 프로젝트 접근 권한이 부여돼 키 하나만 탈취돼도 전체가 뚫리는 구조였다. 비정상 행위를 실시간으로 탐지·차단하는 체계가 없었고, 임직원 265명·개발인력 149명 규모에 비해 정보보호 전담인력은 4명 안팎에 불과했다. 특히 2024년 모의해킹에서 접속키 하드코딩 취약점이 발견됐음에도 조치하지 않았고, 신규 보안장비(VPN)의 접속기록은 6일치만 보관됐다.
이는 이용자 입장에서 개인정보가 언제든 스미싱·보이스피싱 등 2차 피해나 다크웹 불법거래로 이어질 수 있음을 의미한다. 티빙은 6월 3일부터 피해전담 상담 콜센터를 운영하고 있으며, 조사단은 대국민 보안공지와 함께 다크웹·해킹포럼 등에 대한 실시간 모니터링을 강화했다. 현재까지 이용자 피해 사례나 불법 유통 정황은 확인되지 않았다.
티빙은 정보통신망법상 침해사고 인지 후 24시간 이내 신고 의무를 지키지 못했다. 조사단은 정보보안팀에 상황이 전파된 5월 31일 오전 10시 10분을 인지시점으로 판단했으나, 실제 신고는 24시간이 지난 6월 1일 오후 3시 8분에 이뤄져 3천만 원 이하 과태료 부과 대상이 됐다.
조사단은 재발방지 대책으로 키 관리·접근권한 체계 구축, 비정상 행위 탐지 및 대량 데이터 조회 모니터링 강화, 충분한 정보보호 인력·예산 확보, 로그 저장관리 정책 수립과 취약점 조치 강화 등을 제시했다. 과기정통부는 티빙에 9월 중 이행계획을 제출받아 10~12월 이행 여부를 점검하고, 내년 1월부터 이행 상황을 확인해 미흡한 부분은 정보통신망법에 따라 시정조치를 명령할 방침이다.
정부 차원의 후속 조치도 이어진다. 이달 11일부터 시행되는 개정 개인정보보호법은 반복적이거나 고의·중과실에 의한 대규모 유출 시 전체 매출액의 최대 10%까지 징벌적 과징금을 부과할 수 있도록 했다. 10월 1일부터 시행되는 개정 정보통신망법은 기업의 정보보호 인력·예산 확충을 의무화하고, 정부가 신고 전에도 조사에 착수할 수 있는 근거와 재발방지 대책을 불성실하게 이행한 기업에 대한 이행강제금을 신설했다.
지역 홍보대사 신청 기자양성과정 신청 코리안투데이 지부장 신청 코리안투데이 인천강화
THE KOREAN TODAY × WIA CODE
이 기사의 WIA Code
WIA Code 스캐너로 비추면 인터넷 없이 발행 사실과 위·변조 여부를 확인할 수 있습니다.
휴대폰 기본 카메라로 찍으면 스캐너 안내 페이지가 열립니다 — 기사 바로 열기
움직이는 코드(스트림) 한 장에 기사 전문(사진 포함)이 담겨 있습니다 — WIA Code 스캐너로 약 21초 비추면 폰에 저장되어 인터넷 없이도 읽을 수 있습니다. Stream.mp4 도 여기서 받습니다.
WIA Code · 코리안투데이
답글 남기기