과기정통부, 티빙 개인정보 유출 결과 발표…활성화 계정 2206만개

휴면·탈퇴 계정까지 더하면 3954만개 달하지만…1인당 최대 13개 중복 계정
실제 피해자 수는 크게 줄어들 것으로 예상
조사단 "티빙 개인정보·기술자산 동시 유출"

온라인동영상서비스(OTT) 티빙에서 활성·휴면·탈퇴 계정을 포함해 총 3954만개 계정의 개인정보가 유출된 것으로 확인됐다. 계정 대비 실제 유출 피해자 수는 크게 줄어들 것으로 보인다. 한 명이 최대 13개 계정을 보유하는 등 중복 계정 수가 많아 정확한 피해자 수는 추산하지 못한 것으로 나타났다.

3일 과학기술정보통신부(과기정통부)는 지난 5월 발생한 티빙 개인정보 유출 사고에 대한 민관합동조사단(조사단) 조사 결과를 발표했다. 그 결과 중복을 포함한 약 3954만개 계정이 유출됐다.

유출된 계정은 티빙 서비스 로그인이 가능한 상태의 활성화 계정 2206만3021개, 1년 이상 미접속해 비활성화된 휴면 계정 850만2679개, 회원 탈퇴로 비활성화된 탈퇴 계정 886만8174개, 테스트 계정 10만6823개다.

이 가운데 동일인이 여러 개 계정을 보유한 사례도 많은 것으로 나타났다. 티빙의 경우 사회관계망서비스(SNS) 로그인을 통해 다수 계정을 보유할 수 있는 구조로, 한 명의 이용자가 최대 13개 계정을 보유한 사례도 있었다.

관련기사

가입 유형별로는 티빙 자체 가입한 계정은 726만개, CJ ONE 통합회원 계정은 863만개, SNS 간편가입 계정은 2247만개 등으로 파악됐다.

조사단은 이번 사고로 △아이디 △비밀번호 △CJ ONE 통합 ID △성명 △휴대전화 번호 △이메일 주소 △생년월일 △주민등록번호를 대체하고 개인을 식별하는 연계정보(CI) 등 총 20개 항목이 유출됐다고 파악했다.

휴대전화 번호, 이메일 주소 등은 일부 암호화된 상태로 유출됐다. 그러나 암호키가 함께 유출돼 복호화할 수 있는 만큼 조사단은 평문 정보와 동일한 수준으로 판단했다.

비밀번호는 일방향 암호화한 상태로 유출돼 평문으로 복호화할 수 없는 것으로 확인됐다.

계정 특성에 따라 유출된 개인정보 범위에도 차이가 있었다. CI를 보유한 계정은 1904만개로, 중복을 제거하면 1324만개다. 이들 계정에선 평균 11.1개 항목의 개인정보가 유출됐다. 반면 CI를 보유하지 않은 계정 2040만개에서는 평균 4.6개 항목이 유출된 것으로 파악됐다.

이에 따라 실제 피해자 수는 전체 유출 계정 수보다 적을 것으로 예상된다. 테스트 계정을 제외하고 CI 보유 계정의 중복만 제거하면 계정 수는 3364만개다. 다만 CI 미보유 계정은 동일인이 여러 계정을 보유했는지 확인하기 어려워 중복을 모두 제거한 실제 피해자 수는 아직 산정되지 않았다. 조사단은 향후 개인정보보호위원회에서 유출 규모를 상세히 분석한 후 구체적인 수치를 발표한다고 밝혔다.

◇공격자, 개발환경 접속키 탈취…유출 프로젝트 총 30.35GB

조사단은 피해 규모와 함께 공격자 침투 경로, 개인정보 탈취 수법도 공개했다. 그 결과 공격자가 티빙 개발자의 '개발환경 접속키'를 탈취해 시스템 내부의 개발환경과 운영환경에 침투한 것을 확인했다.

공격자는 두 차례에 걸쳐 개발 프로젝트를 빼냈다. 1차 공격에선 14건, 2차 공격에서는 개발 환경에 접근할 수 있는 프로젝트 361건을 유출했다. 유출된 프로젝트는 총 30.35GB 규모로, 이용자 맞춤형 콘텐츠 추천·검색 알고리즘과 이용자 관리·인증체계, 결제·유료 서비스 운영 관련 소스코드 등 티빙의 핵심 기술 자산이 포함됐다.

이 가운데 43개 프로젝트의 소스코드에는 티빙 운영환경에 침투할 수 있는 '운영환경 접속키'가 포함돼 있었다. 이용자 정보가 저장된 데이터베이스(DB)의 아이디와 비밀번호도 암호화되지 않은 채 평문으로 저장돼 있었다.

공격자는 이를 이용해 지난 5월 30일 DB에 접속하고 개인정보 유출을 시도했다. 당시 DB서버 중앙처리장치(CPU) 이용률이 100%까지 치솟으면서 이상징후 알림이 발생했고, 티빙은 관련 작업을 차단했다.

그러자 공격자는 이튿날 별도 운영환경 접속키로 내부 가상서버를 생성해 다시 공격했다. DB에 저장된 이용자 정보 24기가바이트(GB)를 해당 가상서버로 옮긴 후 외부 서버로 빼냈고, 흔적을 지우기 위해 가상서버를 삭제했다. 2차 공격에서는 서버 작업량 증가에 따른 이상징후 알림도 발생하지 않았다.

◇티빙, 전체적인 보안 부실…정보보호 전담인력 고작 '4명'

조사단은 접속키 관리와 접근권한 통제, 이상행위 탐지 등 티빙의 전반적인 정보보호 체계가 부실해 피해를 키웠다고 판단했다. 개발·운영환경 접속키를 소스코드에 그대로 노출하거나 평문으로 저장하고 사내 메신저로 공유한 사실이 확인됐다. 모든 개발자에게 전체 개발 프로젝트 접근 권한을 부여해 접속키 하나만 탈취해도 프로젝트 전체에 접근할 수 있었다. CPU 부하 등 이상징후가 발생했을 때도 이를 실시간 탐지·대응할 체계가 부족했다.

티빙은 2024년 모의해킹에서 접속키 '하드코딩' 취약점을 발견하고도 개선하지 않았다. 정보보호 전담인력도 4명으로 개발인력 149명, 전체 임직원 265명에 비해 부족한 것으로 조사됐다. 신규 가상사설망(VPN) 장비의 접속기록은 약 6일치만 보관했고 업무용 PC의 백신 관리 등 정기 보안점검도 미흡했다. 침해사고 인지 후 약 29시간 만에 한국인터넷진흥원(KISA)에 신고해 24시간 이내 신고하도록 규정한 정보통신망법도 위반했다.

과기정통부는 티빙에 이번 조사 결과에 따른 재발 방지 대책 이행계획을 이달 중 제출하도록 했다. 티빙은 오는 10월부터 12월까지 대책을 이행하며, 과기정통부는 내년 1월부터 이행 여부를 점검한다. 점검 결과 보완이 필요한 사항에는 정보통신망법에 따라 시정조치를 명령할 계획이다.

한편 티빙은 이날 공식 입장과 함께 향후 정보보안 강화 계획, 고객 보상 방안 등을 발표할 예정이다.