[디지털데일리 강소현 기자] 온라인동영상서비스(OTT) 티빙이 대규모 개인정보 유출 사고 하루 전 공격자의 1차 정보유출 시도를 탐지하고도 이를 해킹으로 판단하지 못해 별도의 추가 보안조치를 하지 않은 것으로 확인됐다. 당시 공격 작업을 차단하는 데 그치면서 공격자는 이튿날 다른 접속키를 이용해 재침투했고, 결국 대규모 개인정보를 외부로 빼낸 것이다.

임정규 과학기술정보통신부 정보보호네트워크정책관은 3일 티빙 침해사고 민관합동조사 결과 브리핑에서 “1차 시도 당시 CPU 사용률이 100%까지 올라갔지만 티빙은 이를 일반적인 시스템 과부하로 판단했다”며 이같이 밝혔다.

기존에 알려진 1953만명이라는 피해 규모 역시 정부 조사를 통해 확정된 수치는 아닌 것으로 나타났다. 이는 티빙이 자체적으로 중복을 제거해 개인정보보호위원회에 신고한 수치로, 정부는 이번 조사에서 중복을 포함해 총 3954만개 계정이 유출된 사실을 확인했다고 설명했다.

이 가운데 CI를 보유한 1904만개 계정은 중복 여부를 확인할 수 있었지만, CI가 없는 2040만개 계정은 정확한 중복 판별이 어려워 실제 피해자 규모는 개인정보위 조사 이후 확정될 전망이다.

공격의 시작점이 된 개발환경 접속키의 최초 탈취 경로도 끝내 특정하지 못했다. 조사단은 피싱과 악성코드, 공급망 공격, 접속키 공유·오남용 등 다양한 가능성을 조사했지만 이를 뒷받침할 근거를 찾지 못했다.

유출된 개인정보가 해외 서버로 넘어간 사실은 확인했지만 어느 국가의 서버인지, 현재도 정보가 남아 있는지 등은 경찰 수사를 통해 추가로 규명될 예정이다.

다음은 임정규 과기정통부 정보보호네트워크정책관, 박용규 KISA 디지털위협대응본부장과의 일문일답.

Q. 1차 공격에서 이상징후를 확인하고 차단했는데도 이튿날 2차 공격이 발생했다. 당시 추가적인 보안조치는 없었나.

A: 1차 시도 당시 CPU 사용률이 100%까지 올라갔지만 티빙은 이를 해킹이 아닌 일반적인 시스템 과부하로 판단했다. 이에 당시 공격 작업을 차단하는 것 외에 추가적인 조치는 하지 않았다. 이후 원인을 분석하는 과정에서 2차 공격이 발생했다.

Q. 1차 공격 당시 구체적으로 무엇을 차단한 것인가. 접속키 자체를 막은 것인가.

A: 당시 DB에서 정보를 읽어오는 과정에서 CPU 사용률이 100%까지 올라가는 이상상황이 발생했다. 티빙은 데이터 유출이 시도되고 있음을 확인한 뒤 해당 작업 자체를 차단했다. 이후 공격자는 1차 공격과 다른 경로를 이용해 2차 공격을 시도했다.

Q. 기존에 알려진 피해자 1953만명과 이번에 발표한 3954만개 계정은 어떤 차이가 있나.

A: 1953만개는 티빙이 자체적으로 중복을 제거해 개인정보위에 신고한 계정 수다. 티빙이 스스로 산정해 보고한 수치로 아직 정부 조사로 검증된 숫자는 아니다. 개인정보위가 구체적인 유출 규모를 추가 조사할 예정이다.

Q. 동일인이 최대 13개 계정을 가질 수 있었던 이유는 무엇인가.

A: 티빙은 자체가입과 CJ ONE 통합회원, 5종의 SNS 가입 등 다양한 가입방식을 운영하고 있다. 통상 한 계정을 만들면 중복 여부를 확인해야 하지만 티빙은 성장 과정에서 이를 초기에 확인하지 않은 것으로 판단된다.

이에 동일인이 여러 가입방식으로 계정을 만들 수 있었다. CI를 기준으로 확인한 사례 가운데 한 사람이 최대 13개 계정을 보유한 경우도 있었다.

Q. 3954만개 계정에서 중복을 제거한 실제 피해자 규모는 어느 정도인가.

A: CI를 보유한 1904만개 계정은 CI를 이용해 중복 여부를 확인했고 약 580만개의 중복 계정을 찾아냈다.

반면 CI가 없는 2040만개 계정은 CI 보유 계정과 중복될 수도 있고 자체적으로 중복됐을 수도 있어 정확한 판별이 어렵다. 구체적인 피해 규모는 개인정보위 조사 과정에서 확인될 것으로 본다.

Q. CI가 유출된 계정 가운데 휴면·탈퇴 계정은 각각 얼마나 포함됐나.

A: 현재 바로 제시할 수 있는 자료는 갖고 있지 않다. 다만 확인할 수 있는 내용인 만큼 별도로 확인한 뒤 설명하겠다.

Q. CI는 이용자가 직접 변경하기 어려운데, 이번처럼 대규모 유출이 발생했을 때 정부가 검토하는 기술적 구제수단이 있나.

A: CI는 ID나 비밀번호처럼 이용자가 직접 입력하는 정보가 아니어서 이를 통한 직접 로그인이나 불법거래 악용 가능성은 굉장히 낮다고 본다.

다만 다른 개인정보와 결합하면 개인을 특정할 수 있어 스미싱·피싱 등에 악용될 가능성은 배제할 수 없다. 소관부처인 방송미디어통신위원회가 연계정보 보호방안 등 대응책을 마련하고 있다.

Q. 탈퇴·휴면 계정의 CI를 계속 보유할 법적 근거나 필요성이 있었나. 보존기간이 지났는데도 개인정보를 보관한 사례는 없었나.

A: 전자상거래법에 따라 계약철회 관련 기록은 5년, 소비자 분쟁 관련 기록은 3년 동안 보관하도록 규정돼 있다. 다만 실제 보유 정보가 계약철회나 분쟁에 대비한 기록에 해당하는지는 개별적으로 확인해야 한다. 이 부분은 개인정보위 조사 과정에서 명확하게 밝혀질 것으로 본다.

Q. 개발환경 접속키가 최초로 어떤 경로를 통해 탈취됐는지는 끝내 확인하지 못한 것인가.

A: 피싱과 악성코드, 공급망 공격, 접속키 공유·오남용, 취약점 악용 등 공격자가 주로 사용하는 시나리오를 모두 조사했다. 관련 개발자 단말기에 대한 포렌식 분석도 실시했지만 이를 뒷받침할 근거는 확인하지 못했다. 공격자와 최초 탈취 경위는 현재 진행 중인 경찰 수사를 통해 규명될 것으로 기대한다.

Q. 최초 접속키 탈취 경로를 확인하지 못한 것이 로그 보관기간과도 관련이 있나.

A: 로그 보관기간 밖에 있었던 것이 맞다. 다양한 공격 시나리오를 세우고 관련 로그와 PC·노트북 포렌식까지 분석했지만 특정 시나리오를 뒷받침할 근거를 확인하지 못했다. 최초 접속키가 어떤 방식으로 유출됐는지는 결국 특정하지 못했다.

Q. 2차 공격에서 유출된 개인정보가 어느 국가의 서버로 넘어갔는지 확인됐나.

A: 개인정보가 국내가 아닌 해외 서버로 나간 흔적까지는 확인했다. 다만 정확히 어느 국가인지와 해당 서버에 현재 데이터가 남아 있는지 여부는 수사의 영역이다. 경찰 수사를 통해 추가로 확인돼야 할 부분이다.

Q. 사고 인지와 보고가 늦어진 것은 보고체계 문제인가, 인적 관리 문제인가.

A: 인적체계와 보고체계 모두 문제가 있었다고 판단한다. 이에 후속조치로 전체적인 관리체계를 강화하도록 주문했다. 사고 발생 시 신속하게 상황이 공유되고 대응할 수 있도록 관련 체계를 개선할 필요가 있다.

Q. 정보보호 전담인력이 4명 수준인데 정부가 요구하는 '충분한 인력'은 어느 정도인가.

A: 유사 업종과 비슷한 규모의 기업이 어느 정도 보안인력을 확보하고 있는지를 상대적으로 비교하게 된다. 우선 티빙이 인력과 예산을 어느 수준까지 확대할지 자체적인 개선안을 제시하게 된다. 정부는 이를 다른 기업과 비교해 적절한 수준인지 사후 협의하고 검토할 예정이다.

Q. 티빙은 ISMS 인증을 받았는데도 접속키 하드코딩 등 기본적인 보안 문제가 확인됐다. 인증제 실효성에 문제가 있는 것 아닌가.

A: 키 관리체계는 현행 ISMS 기준에도 명확하게 규정돼 있으며 이번에 확인된 방식으로 관리해서는 안 된다. 정부는 앞서 ISMS 인증제 실효성 강화방안을 발표하고 인증기준과 심사방식을 강화했다. 실제 현장을 직접 확인하는 방식으로 제도를 개편해 인증의 허점을 줄이겠다.

Q. 티빙의 ISMS 인증 취소나 재검토도 가능한가.

A: 현재는 ISMS 인증을 취소할 수 있는 제도가 없다. 정부는 이 부분을 보완하는 방안을 마련하고 있다.

Q. CJ ONE이나 네이버·카카오 등 연계 서비스의 개인정보까지 추가로 유출될 가능성은 없나.

A: SNS를 통해 티빙에 가입할 때 통상 티빙으로 넘어오는 정보는 이름과 이메일 주소이며 네이버의 경우 출생연도와 성별이 추가된다.

이후 휴대전화번호와 CI·DI, 생년월일 등은 티빙의 본인확인 과정에서 별도로 수집한다. 따라서 티빙 정보가 유출됐다고 해서 SNS에 저장된 정보까지 동시에 유출되는 구조는 아니다.

Q. 개정 개인정보보호법과 정보통신망법의 강화된 제재가 이번 사고에도 적용되나.

A: 개정 개인정보보호법은 9월11일, 개정 정보통신망법은 10월1일부터 시행된다. 이번 사고는 지난 5월 발생했기 때문에 두 개정법의 강화된 규정이 적용되는 대상은 아니다. 개인정보위의 현행법상 조사와 제재는 별도로 진행된다.

Q. 티빙에 대한 과징금 규모는 언제 결정되나.

A: 개인정보 유출에 따른 과징금은 개인정보위가 결정하는 사안이다. 개인정보위가 구체적인 개인정보 유출 규모와 법 위반 여부를 조사한 뒤 과징금 규모를 산정하게 된다. 과기정통부는 이번 조사에서 확인한 신고 지연에 대해 정보통신망법상 과태료를 부과할 예정이다