국내 온라인동영상서비스(OTT) 티빙(TVING)에서 발생한 대규모 개인정보 및 기술 자산 유출 사고는, 약 4000만 개에 달하는 계정 정보와 함께 핵심 소스코드가 외부로 빠져나간 것으로 정부 조사 결과 최종 확인됐다. 특히 주민등록번호를 대체하는 고유 식별값인 연계정보(CI)가 대량으로 유출된 사례는 이번이 처음으로 기록됐다. 이로 인해 보이스피싱, 스미싱 등 2차 피해에 대한 우려가 제기됐다.
과학기술정보통신부 산하 민관합동조사단이 3일 정부서울청사에서 브리핑을 열고 밝힌 바에 따르면, 유출된 계정은 로그인이 가능한 활성화 계정 2206만 개, 비활성화 계정 1737만 개(휴면 850만 개, 탈퇴 887만 개), 테스트 계정 11만 개 등 총 3954만 개(중복 포함)에 달했다. 이와 함께 개발 프로젝트 361건(30.35GB)도 해커에 의해 유출됐다. 해당 프로젝트에는 이용자 맞춤형 콘텐츠 추천, 검색 알고리즘, 결제 관리, 인증 체계 등 티빙 서비스 운영의 핵심이 되는 기술 자산이 포함되어 있었다.
조사 결과, 해커는 모든 개발자에게 접근권한이 주어진 ‘개발환경 접속키’를 사전에 탈취해 개발환경에 침투했다. 이후 소스코드 내에 하드코딩되거나 평문으로 저장돼 있던 ‘운영환경 접속키’ 43개 중 2개를 확보해 클라우드 운영환경까지 접근했다. 이 과정에서 이용자 정보가 저장된 데이터베이스(DB) 접속정보도 암호화 없이 평문 상태로 노출돼 있었던 것으로 드러났다. 공격자는 5월 30일 1차 정보유출 시도에서 DB 서버의 CPU 사용률이 100%까지 치솟으며 발각됐으나, 다음날인 31일에는 CPU 점유율을 10% 이내로 제한해 2차 공격을 감행, 24GB 규모의 이용자 정보를 외부로 반출했다.
유출된 개인정보 범위는 ID, 일방향 암호화된 비밀번호, CJ ONE 통합 ID, 성명, 휴대전화 번호, 이메일 주소, 생년월일, 연계정보(CI) 등 20개 항목 70종에 달했다. 비밀번호와 환불 계좌번호는 암호화된 상태였으나, 휴대전화번호와 이메일 주소 등은 일부 암호화된 형태로 유출됐음에도 암호화키가 함께 빠져나가 사실상 평문 유출과 다름없는 상태였다. 조사단은 이처럼 유출된 정보가 다크웹 등에서 불법 유통되거나, 스미싱·보이스피싱 등 2차 피해로 이어질 가능성을 경고했다.
티빙의 정보보호 관리체계가 전반적으로 허술했다는 점도 이번 사고의 주요 원인으로 지적됐다. 개발인력 149명에 비해 정보보호 전담 인력은 외주 인력을 제외하면 4명에 불과했고, 지난해 모의해킹에서 접속키 하드코딩 취약점이 발견됐음에도 개선 조치가 이뤄지지 않았다. 또한, 해커가 운영환경 내부에 가상서버를 생성해 데이터 유출 통로로 활용하고 2차 정보 유출을 시도했음에도, DB 서버 작업량 과다에 따른 이상 징후를 탐지하지 못하는 등 모니터링 체계도 제대로 작동하지 않았다.
사이버 침해 사고 인지 후 24시간 이내 신고 의무(정보통신망법)도 지켜지지 않았다. 티빙은 정보보안팀 상황전파 시점(5월 31일 오전 10시10분) 기준으로 24시간이 지난 6월 1일 오후 3시8분에야 한국인터넷진흥원(KISA)에 신고했다. 이에 따라 정부는 티빙에 과태료를 부과할 방침이며, 과기정통부는 재발방지 대책 이행계획을 9월 중 제출받고 10~12월 이행 여부를 점검할 계획이다. 개인정보 유출 규모에 대한 최종 확정 결과는 개인정보보호위원회가 별도 발표할 예정이다.
댓글0