IT 보안/해킹

보안 취약점 알고도 방치한 티빙, 3954만개 계정 탈취

이구순 기자

파이낸셜뉴스

'24년 모의해킹서 취약점 발견하고도 방치
추천·검색 알고리즘, 인증·결제 관리에 활용되는 핵심 기술자산도 유출
정보는 해외로 유출...법인은 수사중

[파이낸셜뉴스] 온라인동영상서비스(OTT) 티빙에서 이용자 계정 약 3954만개와 추천·검색 알고리즘과 인증·결제 관리 등에 활용되는 핵심 기술자산 361건이 유출된 것으로 정부 조사 결과 드러났다.

티빙은 지난 2024년 진행된 모의해킹에서 '개발·운영환경 접속키'를 소스코드 내부에 숨김없이 그대로 노출하는 취약점을 발견했는데도, 이를 개선하지 않아 피해를 키웠다는게 정부의 진단이다.

과학기술정보통신부는 3일 정부서울청사에서 민관합동조사단의 티빙 침해사고 조사 결과 로그인 가능한 활성화 계정 2206만개, 휴면·탈퇴 등으로 인한 비활성화 계정 1737만개, 테스트 계정 11만개 등 총 3954만개의 계정 유출을 확인했다고 발표했다.

단, 유출된 계정 숫자가 그대로 3954만명의 개인정보 유출로는 볼 수 없다는게 조사단의 설명이다. 특정 개인 한사람이 최대 13개의 계정을 갖고 있는 등 중복된 숫자가 포함돼 있었다는 것이다.

임정규 과학기술정보통신부 정보보호네트워크정책관이 3일 서울 종로구 정부서울청사에서 티빙(TVING) 침해사고 조사결과를 발표하고 있다. 기술자산 소코드가 포함된 티빙 개발 프로젝트 361건이 유출된 것으로 파악됐다. /사진=뉴스1화상

따라서 구체적인 개인정보 유출 숫자는 개인정보보호위원회의 별도 조사를 통해 확인될 예정이다.

대규모 정보유출을 실행한 해커는 해외로 정보를 빼돌렸다는 것이 확인됐을 뿐, 범인이 특정되지 않았다. 정부는 별도 수사를 통해 범인을 확인할 계획이라고 설명했다.

핵심 소스코드·기술자산도 유출…"정보, 해외로 유출"

이번 티빙 정보유출 사고는 단순한 개인정보 유출을 넘어 추천·검색 알고리즘과 인증·결제 관리 등에 활용되는 핵심 기술자산까지 외부로 빠져나간 것으로 드러나면서 티빙의 보안 관리 체계 전반에 대한 책임론이 커지고 있다.

유출된 계정은 총 3954만개다. 유출 항목은 아이디와 이름을 비롯해 생년월일, 이동화번호, 이메일 주소, 연계정보(CI) 등 20개 항목, 70종에 이른다. 비밀번호도 유출 대상에 포함됐지만 일방향 암호화돼 있어 복호화가 불가능한 것으로 조사됐다.

온라인동영상서비스(OTT) 티빙에서 이용자 계정 약 3954만개와 추천·검색 알고리즘과 인증·결제 관리 등에 활용되는 핵심 기술자산 361건이 유출된 것으로 정부 조사 결과 드러났다. 티빙은 지난 2024년 진행된 모의해킹에서 '개발·운영환경 접속키'를 소스코드 내부에 숨김없이 그대로 노출하는 취약점을 발견했는데도, 이를 개선하지 않아 대규모 피해를 일으켰다는게 정부의 진단이다. (챗GPT 생성 이미지) /사진=뉴스1

문제는 휴대전화번호와 이메일 주소다. 해당 정보 자체뿐 아니라 암호화 키까지 함께 유출돼 사실상 평문이 노출된 것과 같은 수준으로 정부는 판단했다.

CI정보 유출로 2차 피해 우려도

가장 우려되는 것은 유출된 개인정보가 다른 정보와 결합돼 추가 범죄에 이용되는 것이다. 전화번호와 이메일, 이름 등이 함께 유출된 만큼 피싱이나 스미싱, 사칭 메시지 등 표적형 공격에 악용될 가능성이 있다.

특히 티빙 이용자가 다른 서비스에서도 동일하거나 유사한 아이디·비밀번호를 사용했다면 계정 탈취로 피해가 확대될 가능성도 있다.

조사단은 "CI 정보는 사용자가 직접 입력하는 정보가 아니라 로그인 등에는 쓸 수 없지만, 다른 정보들과 결합하면 스미싱·피싱 등에 악용될 소지가 있어 대선방안을 마련 중"이라고 밝혔다.

또 하나 주목할 부분은 개인정보와 함께 유출된 기술자산이다. 공격자는 소스코드가 포함된 개발 프로젝트 361건, 약 30.35GB 규모의 데이터를 가져갔다. 이용자 추천·검색 알고리즘과 인증·결제 관리 등에 활용되는 코드가 포함된 만큼 단순한 고객정보 사고와는 차원이 다르다는 평가다.

개발인력은 149명 vs 정보보호 전담은 4명

조사단은 티빙 내부의 보안 관리가 공격자의 침투해 활동하고 있는데도 이 사실을 탐지하지 못해 피해를 키웠다고 지적했다.

해커는 개발자가 보유한 개발환경 접속키를 먼저 탈취해 티빙 운영환경시스템에 침투한 뒤 데이터베이스(DB)에 접속해 이용자 정보 조회 및 정보유출을 시도했다. 그러나 티빙은 비정상적인 접근과 대규모 정보 조회를 실시간으로 탐지·차단하지 못했다.

이후 5월 30일 DB서버의 작업량이 급증하면서 시스템에 이상이 발생한 뒤 이를 조사하는 과정에서 비인가자의 접근 사실이 드러났다. 더구나 티빙의 개발인력이 149명에 달한데 비해 정보보호 전담인력은 4명에 그치는 등 정보보호 관리체계가 부실했다는게 조사단의 결론이다.

시고 신고도 법적 시한을 넘겼다. 티빙은 5월 31일 오전 10시10분 침해사고를 인지했지만 한국인터넷진흥원(KISA)에 신고한 것은 6월 1일 오후 3시8분이었다.

법정 신고기한인 24시간을 넘긴 것이다. 과기정통부는 정보통신망법 위반에 따라 최대 3000만원의 과태료를 부과할 예정이다.

개인정보보호위, 조사에 따라 과징금 처벌 예상

티빙은 과기정통부의 과태료와 별도로 개인정보보호위 조사에 따른 과징금 제재를 받게 될 것으로 예상된다.

개인정보보호위는 지난 6월 티빙으로부터 개인정보 유출 신고를 접수하고 현장조사 등에 착수했다.

그러나 티빙의 개인정보 유출 사고는 지난 5월 발생한 것으로, 대규모 개인정보 유출 시 전체 매출액의 최대 10%까지 징벌적 과징금을 부과하는 개정 개인정보보호법의 적용 대상은 아니다.
오는 10월 1일 이행강제금 등 규제가 강화되는 개정 정보통신망법의 규제 대상에서도 비껴났다.

유출 피해를 주장하는 이용자들의 손해배상 청구도 변수다. 실제 피해 규모와 법 위반 정도가 확정될수록 티빙의 법적·재무적 부담도 커질 수 있을 것으로 보인다.

[email protected] 이구순 기자

#개인정보 유출 #티빙 #계정 탈취