온라인 동영상 서비스 티빙에서 중복 포함 약 3954만 개 계정의 개인정보와 서비스 운영에 사용되는 기술 자산이 유출된 것으로 확인됐다고 전해졌다.

과학기술정보통신부는 3일 오후 정부서울청사에서 지난 5월 발생한 티빙 침해사고에 대한 민관합동조사 결과를 발표했다.

조사단에 따르면 이번 해킹으로 로그인이 가능한 활성 계정 2206만 개를 비롯해 휴면·탈퇴 계정 1737만 개, 테스트 계정 11만 개 등 중복 포함 총 3954만 개 계정이 유출됐다.

유출 정보에는 아이디와 비밀번호, 이름, 생년월일, 연락처 등 20개 항목이 포함됐다. 온라인에서 주민등록번호를 대신해 본인 인증에 활용되는 연계정보(CI)도 1320만 건 빠져나간 것으로 파악됐다.

개인정보뿐만 아니라 서비스 운영·관리에 활용되는 기술자산도 유출됐다. 검색 알고리즘과 이용자 인증, 결제 관리 등에 사용되는 개발 프로젝트 361건이 함께 빠져나갔다.

조사단은 공격자가 개발·운영 환경에 접근할 수 있는 접속키를 탈취한 뒤 지난 5월 29일부터 사흘간 이용자 정보가 저장된 데이터베이스 등에 무단으로 침입한 것으로 파악했다.

티빙의 보안 관리에도 문제가 있었던 것으로 조사됐다. 개발·운영 환경에 접근할 수 있는 접속키를 소스코드 내부에 노출하거나 암호화 없이 저장했으며, 이를 별도로 관리하는 체계도 마련하지 않았던 것으로 나타났다.

네트워크와 데이터 흐름을 실시간으로 탐지·차단하는 정보보호 체계와 비정상 접속을 통제할 접근제어 정책도 미흡했던 것으로 파악됐다. 정보보호 인력과 관련 활동 역시 충분하지 않았다는 게 조사단의 판단이다.

이소정 텐아시아 기자 forusojung@tenasia.co.kr