온라인동영상서비스(OTT) 플랫폼 티빙에서 중복 포함 약 3954만 개의 이용자 계정과 소스 코드 등 기술 자산이 유출된 것으로 확인됐다.

과학기술정보통신부는 3일 정부서울청사에서 민관합동조사단의 티빙 침해사고 조사 결과를 발표했다. 조사단에 따르면 유출된 계정은 로그인 가능한 활성 계정 2206만 개, 휴면·탈퇴 등 비활성 계정 1737만 개, 테스트 계정 11만 개 등 총 3954만 개다. 동일인이 최대 13개 계정을 보유한 사례도 확인돼 전체 수치에는 중복 계정이 다수 포함된 것으로 알려졌다.

가입 경로별로는 네이버·카카오·페이스북·애플·X 등 소셜네트워크서비스(SNS) 간편 가입 계정이 2247만 개로 가장 많았다. CJ ONE 통합회원 863만 개, 티빙 자체 가입 726만 개 등이 뒤를 이었다.

유출된 정보에는 아이디와 비밀번호를 비롯해 성명, 생년월일, 휴대 전화번호, 이메일 주소, 연계 정보(CI) 등 20개 항목 70종이 포함된 것으로 조사됐다.

비밀번호는 일방향 암호화돼 복호화가 불가능한 상태였던 것으로 파악됐다. 반면 휴대 전화번호와 이메일 주소는 암호화키가 함께 유출돼 사실상 평문 유출과 동일한 수준이라는 게 조사단의 설명이다.

온라인에서 주민등록번호를 대신해 본인 인증에 활용되는 CI 보유 여부에 따라서도 유출 규모에 차이가 있었다. CI 보유 계정 1904만 개에서는 평균 11.1개 항목(17.6종), 미보유 계정 2040만 개에서는 평균 4.6개 항목(5.9종)이 유출된 것으로 집계됐다. 개인정보별 구체적인 피해 규모는 개인정보보호위원회가 별도로 확정할 예정이다.

이용자 정보뿐만 아니라 서비스 운영에 활용되는 기술 자산도 빠져나간 것으로 확인됐다. 소스 코드가 포함된 개발 프로젝트는 361건으로 전체 용량은 30.35GB 규모다. 이용자 맞춤형 콘텐츠 추천·검색 알고리즘과 이용자 관리·인증체계, 결제 관리, 유료 서비스 운영 등에 활용되는 기술이 포함된 것으로 전해졌다.

이번 사고 과정에서는 접속키 관리상의 문제점도 확인됐다. 조사단에 따르면 공격자는 사전에 탈취한 개발환경 접속키를 이용해 지난 5월 29일부터 31일까지 티빙 개발환경에 무단 접속했다. 이후 소스 코드에 저장돼 있던 운영환경 접속키 43개를 추가로 확보해 아마존웹서비스(AWS) 운영환경까지 접근한 것으로 파악됐다.

공격자는 5월 30일 1차 정보 유출을 시도했으나 데이터베이스(DB) 서버 과부하로 이상징후 알림이 발생하면서 차단됐다. 그러나 이튿날 가상서버를 생성해 이용자 정보 24GB를 일괄 저장한 뒤 외부 서버로 유출한 것으로 조사됐다. 이후 해당 가상서버는 삭제된 것으로 확인됐다.

민관합동조사 과정에서는 티빙의 정보보호 관리체계와 관련한 문제점도 파악됐다. 운영환경 접속키를 별도 저장 공간에 분리하지 않고 소스 코드 내부에 입력하는 이른바 '하드코딩' 방식으로 관리했던 것으로 조사됐다.

개발환경 프로그램 구동에 필요한 설정값도 별도 암호화 처리 없이 평문으로 저장돼 있었던 것으로 알려졌다. 이용자 정보가 담긴 DB에 접근할 수 있는 아이디와 비밀번호 역시 암호화되지 않은 상태였다고 조사단은 설명했다.

정보보호 전담 인력은 외주인력을 제외하고 4명 내외였던 것으로 파악됐다. 티빙의 전체 임직원은 265명, 이 가운데 개발인력은 149명 규모로 조사됐다.

과거 모의해킹에서 확인된 취약점에 대한 후속 조치도 미흡했던 것으로 조사됐다. 2024년 모의해킹 당시 하드코딩 취약점이 확인됐으나 개선 조치가 이뤄지지 않았다고 조사단은 밝혔다. 시스템 로그도 선별적으로 저장·관리돼 신규 가상사설망(VPN) 장비에는 6일 치 접속기록만 보관돼 있었던 것으로 파악됐다.

침해사고 신고 시점과 관련해서도 조사단의 판단이 나왔다. 정보통신망법에 따르면 침해사고를 인지한 뒤 24시간 이내 신고해야 한다. 조사단은 티빙의 사고 인지 시점을 5월 31일 오전 10시 10분으로 판단했다. 한국인터넷진흥원(KISA)에 실제 신고가 이뤄진 시점은 6월 1일 오후 3시 8분으로 확인됐다.

이에 과기정통부는 정보통신망법에 따라 최대 3000만원의 과태료를 부과할 예정이라고 밝혔다. 티빙에는 이달까지 재발 방지를 위한 이행계획 제출을 요구하고 내년 1월부터 이행 여부를 점검할 계획이다.

오는 11일부터 시행되는 개정 개인정보 보호법에 따라 반복적이거나 중대한 과실로 대규모 개인정보 유출 사고가 발생할 경우 전체 매출액의 최대 10%까지 징벌적 과징금을 부과할 수 있다. 다음 달 1일 시행되는 개정 정보통신망법에는 정보보호 인력·예산 의무화와 정부의 선제적 조사 근거, 이행강제금 신설 등이 담겼다.

이소정 텐아시아 기자 forusojung@tenasia.co.kr