티빙, 이용자 정보 3천954만 개 유출…보안관리 ‘허술’이 화불러

[산업일보]
지난 5월 30일 발생한 CJ ENM의 OTT 서비스 ‘티빙(TVING)’의 침해사고 조사 결과, 소스코드가 포함된 개발 프로젝트 361건과 총 3천945만 개의 이용자 정보가 유출된 것으로 확인됐다. 접속키 관리 부실과 기본적인 정보보호 관리 체계가 미흡한 것으로 드러났다.

과학기술정보통신부(이하 과기정통부) 임정규 정보보호네트워크정책관은 3일 서울정부종합청사에서 티빙 침해사고에 대한 민관합동조사단의 조사 결과를 발표했다.

티빙 시스템 내부에 무단 침입한 공격자는 30.35GB(기가바이트) 규모에 달하는 티빙의 개발프로젝트를 유출했다. 이용자 맞춤형 콘텐츠 추천·검색알고리즘 및 이용자 관리·인증체계 등 OTT 서비스 운영·관리에 필요한 기술자산이 포함됐다.

이용자 정보는 총 3천954만 개 계정이 유출됐다. 로그인이 가능한 계정은 2천206만 321개, 비활성화계정은 1천737만 개(휴면 약 850만 개, 탈퇴 약 887만 개)였다. 테스트 계정 11만 개도 함께다.

가입방식을 기준으로 하면 티빙 자체 가입 725만 9천960 개, CJ ONE 통합회원 863만 755개, SNS 간편 가입 2천247만 1천922개 등이었다.

단, 티빙은 동일인이 여러 개의 중복 계정을 보유할 수 있는 구조로 1명의 이용자가 최대 13개의 계정을 보유한 사례가 확인됐다.

더불어, KT 보상쿠폰 수령 가입자 중 정보가 유출된 별도의 사용자 수는 52만 7천 개였다.

유출 정보는 ▲ID ▲일방향 암호화된 비밀번호 ▲CJ ONE 통합 ID ▲성명 ▲휴대전화 번호 ▲이메일주소 ▲생년월일 ▲개인 식별 고윳값인 연계정보(CI)을 비롯한 20개 항목 70종이다.

CI 보유 계정 1천904만 개에서는 평균 11.1개 항목이, 미보유 계정 2천40만 개에서는 4.6개 항목이 유출됐다.

휴대전화 번호와 이메일 주소는 일부 암호화된 상태였으나 암호화 키도 함께 유출돼 복호화가 가능해 평문으로 유출된 정보와 동일한 수준이다. 비밀번호는 복호화가 불가능한 상태로 확인됐다.

이번 티빙 유출사고로 인한 이용자 피해 사례는 확인되지 않았으며, 다크웹을 통한 불법거래 및 유통 정황도 탐지되지 않았다.

구체적인 개인정보 유출 규모는 추후 개인정보보호위원회에서 상세 분석을 거쳐 발표할 예정이다.

이번 사고는 공격자가 개발자의 ‘개발환경 접속키’를 탈취해 티빙 내부 개발환경에 침투한데서 시작됐다. 이어 운영 환경 접근 및 관리권한이 있는 ‘운영환경 접속키’까지 탈취해 운영환경에 침투했다.

공격자는 5월 30일 9시 22분부터 18시 58분까지 운영환경 접속키와 데이터베이스 접속 정보에 기반해 클라우드 저장소에 정보유출형 공격 도구를 삽입하고, 연동된 데이터베이스에서 이용자 정보 조회 및 유출을 시도했다. 이로 인해 서버 작업량 과다로 CPU 이용률이 100%로 상승하면서 이상징후 알람이 발생했고 티빙이 해당 작업을 차단했다. 당시 티빙은 시스템 이상 알림으로 인지하고 원인을 찾고 있었다.

공격자는 이어 5월 31일 19시부터 22시 20분까지 2차 정보유출을 시도했다. 1차 시도에 사용했던 키와 별개의 운영환경 접속키로 운영환경 내부에 가성서버를 생성해 24GB에 달하는 대규모 정보를 유출했다. 이 과정에서는 이상징후 알람이 발생하지 않았다. 조사단은 CPU 이용률을 제한해 공격했을 것으로 내다봤다.

조사단은 티빙의 보안 관리 부실을 원인으로 지목했다. 티빙은 개발·운영환경에 접근 가능한 접속키를 소스코드 내부에 숨김없이 그대로 노출(하드코딩)하거나 암호화 없이 평문으로 저장했다. 사내 메신저를 통해 타인과 무분별하게 공유하기도 했다.

또한 업무 목적에 따라 최소한으로 부여해야 하는 접근 권한을 모든 개발자에게 전체 개발 프로젝트를 대상으로 부여해, 한 개의 개발환경 접속키만 탈취해도 모든 프로젝트에 접근 가능했다. 키 관리 체계도 부실했다.

이외에도 ▲비정상 네트워크 및 데이터 흐름 실시간 탐지·차단 체계 부재 ▲전체 임직원 256명, 개발인력 149명 중 정보보호전담인력은 4명(외주인력 제외)으로 구성 ▲2024년 모의해킹에서 발견한 취약점인 하드코딩 미개선 등이 지적됐다.

과기정통부는 티빙이 침해사고 신고를 지연한 것으로 보고 있다. 티빙은 5월 31일 10시 10분에 정보보안팀에 상황을 전파했으나, 신고 의무 기간인 24시간이 지난 6월 1일 15시 08분에 침해 사실을 신고했다. 이에 3천만 원 이하의 과태료를 부과할 예정이다.

임정규 정보보호네트워크정책관은 “조사 결과를 토대로 티빙의 재발장지 대책에 따른 이행 계획을 제출하게 하고, 이행 여부를 점검할 것”이라며 “이행 점검 결과 보완이 필요한 사항에 대해선 정보통신망법에 따른 시정조치를 명령할 계획이다”라고 밝혔다.