[사진=AI 생성 이미지]

[디지털데일리 강소현 기자] 월간활성이용자(MAU)가 약 770만명인 온라인동영상서비스(OTT) 티빙에서 중복을 포함해 3954만개에 달하는 계정 정보가 통째로 유출된 것으로 확인됐다.

현재 이용 가능한 계정은 물론 휴면·탈퇴 계정까지 사실상 티빙 데이터베이스(DB)에 있던 이용자 계정 전반이 공격 대상에 포함됐다. 서비스 성장 과정에서 중복가입 확인이 제대로 이뤄지지 않아 한 사람이 최대 13개 계정을 보유한 사례까지 확인됐다.

특히 티빙은 대규모 유출 하루 전 공격자의 1차 정보유출 시도를 실제 탐지하고 차단하고도 이를 해킹으로 판단하지 못한 것으로 나타났다. 별도의 추가 보안조치를 하지 않는 사이 공격자는 이튿날 다른 접속키를 이용해 재침투했고 약 24GB 규모의 이용자 정보를 해외 서버로 빼냈다.

임정규 과학기술정보통신부 정보보호네트워크정책관은 3일 티빙 침해사고 민관합동조사 결과 브리핑에서 이 같은 조사 결과를 공유했다.

◆중복가입 누적에 피해 규모도 불명확…휴면·탈퇴만 1737만개

조사단에 따르면 이번 사고로 확인된 유출 계정은 중복을 포함해 총 3954만697개다.

로그인이 가능한 활성 계정이 2206만3021개였고 휴면 계정 850만2679개, 탈퇴 계정 886만8174개, 테스트 계정 10만6823개가 포함됐다. 휴면·탈퇴 계정만 약 1737만개로 전체의 44%에 달한다.

이는 티빙의 실제 이용 규모와 상당한 격차가 있다. 중복계정이 누적된 결과로 풀이된다. 모바일인덱스 기준 지난 8월 티빙의 MAU는 약 815만4906명이다.

실제 조사에서는 동일인이 최대 13개 계정을 보유한 사례도 확인됐다. 티빙 자체가입과 CJ ONE 통합회원, 네이버·카카오·애플 등 SNS 간편가입 등 가입경로가 다양했다.

가입방식별로는 SNS 간편가입 계정이 2247만1922개로 가장 많았고 CJ ONE 통합회원 863만755개, 티빙 자체가입 계정 725만9960개 등이었다.

정부가 이번 조사에서 중복 여부를 확인할 수 있었던 것은 CI 보유 계정이다. CI 보유 계정 1903만6223개는 중복 제거 시 1323만5452개로 줄었다. 반면 CI가 없는 약 2040만개 계정은 CI 보유 계정과 중복됐거나 자체적으로 중복됐을 가능성이 있어 정확한 피해자 수 산정이 어렵다.

이에 최종 피해자 규모는 개인정보위 조사에서 가려질 전망이다. 기존에 알려진 1953만명도 정부가 검증한 최종 피해자 수는 아닌 것으로 확인됐다. 티빙이 자체적으로 중복을 제거해 개인정보보호위원회에 신고한 수치다.

임 정책관은 “통상 한 계정을 만들면 중복 여부를 확인해야 하지만 티빙은 성장 과정에서 이를 초기에 확인하지 않은 것으로 판단된다”며 “이에 동일인이 여러 가입방식으로 계정을 만들 수 있었고 CI를 기준으로 확인한 사례 중 한 사람이 최대 13개 계정을 보유한 경우도 있었다”고 설명했다.

◆CI 보유 계정은 더 많은 정보 유출…SNS 원정보까지 털린 건 아냐

임정규 과학기술정보통신부 정보보호네트워크정책관은 3일 티빙 침해사고 민관합동조사 결과 브리핑에서 조사 결과를 공유했다. [사진=디지털데일리]

유출 정보는 ID와 이름, 휴대전화번호, 이메일주소, 생년월일, CI·DI, 환불 계좌번호, 결제이력 등 총 20개 항목 70종이다. 특히 CI 보유 계정에서는 평균 11.1개 항목이 유출돼 CI 미보유 계정의 평균 4.6개보다 두 배 이상 많았다.

휴대전화번호와 이메일주소 일부는 암호화돼 있었지만 암호화키도 함께 유출됐다. 조사단은 복호화가 가능한 만큼 사실상 평문 유출과 동일한 수준으로 판단했다.

다만 티빙 계정정보가 유출됐다고 해서 네이버·카카오 등 SNS 사업자가 보유한 정보까지 함께 유출된 것은 아니라고 정부는 선을 그었다.

임 정책관은 “SNS 가입 시 티빙으로 넘어오는 정보는 통상 이름과 이메일주소 정도”라며 “티빙에서 별도로 수집한 CI·DI나 휴대전화번호 등이 유출된 것이지, SNS 사업자가 보유한 정보까지 동시에 유출되는 구조는 아니다”라고 말했다.

◆첫 공격 잡았는데 ‘과부하’로 오판…다음날 다른 키로 재침투

공격은 개발자의 접속키 탈취에서 시작됐다. 공격자는 지난 5월29일 개발환경에 침투해 개발 프로젝트 361건, 약 30.35GB를 유출한 뒤 소스코드에 하드코딩되거나 평문으로 저장된 운영환경 접속키를 확보했다. 이후 운영환경에 진입해 평문으로 저장된 DB 접속정보까지 탈취했다.

5월30일 첫 유출 시도에서는 DB CPU 이용률이 100%까지 치솟아 이상징후가 발생했고 티빙이 해당 작업을 차단했다. 그러나 이를 해킹으로 판단하지 않아 추가조치는 이뤄지지 않았다.

공격자는 이튿날 다른 접속키로 재침투해 가상서버를 만든 뒤 이용자 정보 약 24GB를 해외 서버로 반출했다.

유출 정보가 해외 서버로 넘어간 흔적은 확인됐지만 정확한 국가와 해당 서버에 현재도 정보가 남아 있는지는 확인되지 않았다. 정부는 공격자 신원과 최초 개발환경 접속키 탈취 경로 역시 경찰 수사를 통해 추가 규명한다는 입장이다.

조사단은 개발자 단말기 9대를 포렌식하고 피싱과 악성코드, 공급망 공격, 키 공유·오남용 등 여러 가능성을 살폈지만 최초 키 탈취 경로를 특정하지 못했다.

임 정책관은 “다양한 공격 시나리오를 세우고 관련 로그와 PC·노트북 포렌식까지 분석했지만 특정 시나리오를 뒷받침할 근거는 확인하지 못했다”며 “최초 접속키가 어떤 방식으로 유출됐는지는 결국 특정하지 못했다”고 밝혔다.

◆모의해킹서 이미 발견하고도 미조치…ISMS 인증 취소도 못해

정부는 이번 대규모 유출의 배경으로 티빙의 전반적인 보안통제 부실을 지목했다. 접속키를 소스코드와 개발자 단말기에 평문으로 저장하고 일부는 사내 메신저로 공유했으며, 키 발급·사용·변경·폐기를 관리하는 체계도 갖추지 않았다.

접근권한도 과도했다. 모든 개발자가 361개 개발 프로젝트 전체에 접근할 수 있어 개발자 한 명의 접속키만 탈취해도 전체 프로젝트에 접근할 수 있는 구조였다.

특히 티빙은 2024년 모의해킹에서 운영환경 접속키가 소스코드에 하드코딩된 취약점을 이미 발견하고도 이를 개선하지 않은 것으로 나타났다.

그럼에도 티빙은 정보보호관리체계(ISMS) 인증을 유지하고 있다. 정부는 키 관리가 현행 ISMS 기준에도 명확히 규정된 사항이라고 인정하면서도 현재 제도상 이번 사고를 이유로 인증을 취소할 수는 없다고 밝혔다.

임 정책관은 “키 관리체계는 현행 ISMS 기준에도 명확하게 규정돼 있으며 이번에 확인된 방식으로 관리해서는 안 된다”며 “현재는 ISMS 인증을 취소할 수 있는 제도가 없어 이를 보완하는 방안을 마련하고 있다”고 말했다.

사고 대응체계에서도 문제가 확인됐다. 티빙은 5월30일 오후 6시 이상징후를 포착했지만 정보보호 전담조직과 최고정보보호책임자(CISO)에 상황이 전달된 것은 약 14시간 뒤였다. 전체 임직원 265명, 개발인력 149명인 데 비해 외주를 제외한 자체 정보보호 전담인력은 4명 안팎이었다.

침해사고 신고도 법정기한을 넘겼다. 정부는 정보보안팀에 운영환경 접속키 탈취와 정보유출 의심 상황이 전달된 5월31일 오전 10시10분을 사고 인지 시점으로 판단했다. 하지만 티빙은 24시간이 지난 6월1일 오후 3시8분 KISA에 신고했다. 과기정통부는 정보통신망법에 따라 최대 3000만원의 과태료를 부과할 예정이다.

임 정책관은 “인적체계와 보고체계 모두 문제가 있었다고 판단한다”며 “사고 발생 시 신속하게 상황을 공유하고 대응할 수 있도록 전체적인 관리체계를 강화하도록 주문했다”고 밝혔다.

◆휴면·탈퇴 계정 보유도 도마…개인정보위 제재 수위 주목

개인정보 유출에 따른 과징금은 개인정보위 조사 이후 결정된다. 특히 최종 피해자 규모와 휴면·탈퇴 계정의 개인정보 보유 적정성, CI 등에 대한 안전조치 여부가 향후 제재 과정에서 쟁점이 될 전망이다.

임 정책관은 탈퇴·휴면 계정 정보 보유와 관련해 “전자상거래법에 따라 계약철회 관련 기록은 5년, 소비자 분쟁 관련 기록은 3년간 보관하도록 규정돼 있다”며 “실제 보유 정보가 계약철회나 분쟁에 대비한 기록에 해당하는지는 개별적으로 확인해야 하며 개인정보위 조사 과정에서 명확하게 밝혀질 것으로 본다”고 말했다.

한편 과기정통부는 이달 중 티빙으로부터 재발방지 이행계획을 제출받아 오는 10~12월 개선조치 이행 여부를 확인하고 내년 1월부터 별도 이행점검에 나설 예정이다.