티빙 3954만 계정 정보 유출…접속키 하나로 뚫렸다

▲티빙 로고

CJ ENM의 온라인동영상서비스(OTT) 플랫폼 티빙에서 중복을 포함해 3954만 개 계정의 정보가 유출된 것으로 확인됐다. 개발자의 접속키 하나를 탈취한 공격자는 허술한 키 관리체계를 타고 운영환경까지 침투했다. 임직원 265명 규모의 티빙에 정보보호 전담 인력은 4명 내외인 것으로 나타났다.

3일 과학기술정보통신부는 민관합동조사단의 조사 결과 티빙에서 로그인이 가능한 활성화 계정 2206만 개, 휴면·탈퇴 등 비활성화 계정 1737만 개, 테스트 계정 11만 개 등 3954만 개 계정이 유출됐다고 밝혔다.

동일인이 여러 계정을 보유한 경우가 포함된 수치로 실제 한 명이 최대 13개 계정을 보유한 사례도 확인됐다. 티빙 자체가입 계정은 726만 개, CJ ONE 통합회원은 863만 개였다. 네이버, 카카오, 페이스북, 애플, X(구 트위터) 등 SNS 간편가입은 2247만 개였다.

유출된 정보는 ID와 성명, 비밀번호, 휴대전화 번호, 이메일 주소, 생년월일, 연계정보(CI) 등 20개 항목 70종이다. 휴대전화 번호와 이메일 주소 일부는 암호화돼 있었지만 암호화키까지 함께 유출돼 복호화가 가능했다. 비밀번호는 일방향 암호화돼 평문 복호화가 불가능했다.

이중 CI 보유 계정에서 더 많은 개인정보가 유출됐다. CI 보유 계정 1904만 개(중복 제거 시 1324만 개 계정)는 평균 11.1개 항목(17.6종)이 유출됐고 CI 미보유 계정 2040만 개는 평균 4.6개 항목(5.9종)이 빠져나갔다.

공격자는 ‘개발환경 접속키’를 사전 탈취해 5월 29일 티빙 개발환경에 침투했다. 이후 개발 프로젝트를 빼내고 소스코드 안에 저장돼 있던 ‘운영환경 접속키’를 확보했다. 당시 개발 프로젝트에는 운영환경 접속키 43개가 포함돼 있었다.

공격자는 이를 이용해 운영환경에 무단 접속한 뒤 이용자 정보가 저장된 데이터베이스(DB)의 접속정보(ID·PW)까지 확보했다. 해당 접속정보는 암호화되지 않고 평문으로 저장돼 있었다. 5월 30일 1차 유출 시도 당시 DB 서버 CPU 이용률이 100%까지 급상승해 이상징후 알림이 발생했고 티빙은 작업을 차단했다.

이튿날 공격자는 별도 접속키로 가상서버를 만든 뒤 이용자 정보 24GB를 외부 서버로 빼돌렸다. 조사단은 공격자가 CPU 이용률을 10% 이내로 유지하면서 이상징후 탐지를 피했다고 판단했다.

티빙의 기술 자산도 유출됐다. 공격자는 개발환경에 침투하는 과정에서 개발 프로젝트 361건(30.35GB 규모)을 빼냈다. 여기에는 이용자 맞춤형 콘텐츠 추천 및 검색 알고리즘, 이용자 관리 및 인증체계, 결제 관리, 유료 서비스 운영 등 티빙의 핵심 기술 자산이 포함됐다.

조사단은 티빙의 키 관리체계가 부실해 이같은 사고가 발생했다고 봤다. 티빙 개발자는 개발·운영환경에 접근할 수 있는 접속키를 소스코드 내부에 숨김없이 그대로 노출하거나 평문으로 저장했다. 특히 2024년 모의해킹에서 접속키를 소스코드에 하드코딩(그대로 노출)하는 취약점을 발견하고도 개선하지 않았다. 모든 개발자에게 전체 프로젝트 접근 권한을 부여해 접속키 하나만 탈취해도 모든 개발 프로젝트에 접근할 수 있었다.

또한 티빙은 임직원 265명, 개발인력 149명 규모임에도 정보보호 전담인력은 4명 내외에 불과했다. 공격자의 비정상 행위가 발생해도 네트워크 및 데이터 흐름 등을 실시간으로 탐지·차단할 수 있는 정보보호 체계가 부재했다.

이상징후 발생 시점으로부터 약 14시간이 지난 후에야 침해사고 대응을 총괄하는 정보보호 전담조직과 정보보호 최고책임자(CISO)에게 상황이 공유됐다.

침해사고 신고도 늦었다. 조사단은 티빙이 5월 31일 오전 10시10분 사고를 인지한 것으로 판단했지만 한국인터넷진흥원(KISA) 신고는 다음 날 오후 3시8분에 이뤄졌다. 과기정통부는 24시간 이내 신고 의무를 위반한 티빙에 정보통신망법에 따라 과태료를 부과할 예정이다.

한편, 앞서 티빙의 개인정보 유출 피해자는 1953만명으로 추산됐다. 쿠팡(약 3756만명), 싸이월드·네이트(약 3500만명), SK텔레콤(약 2324만명)에 이어 역대 네 번째 규모가 될 것으로 전망됐다. 이번 조사에서 확인된 계정 3954만 개는 중복이 포함돼 구체적인 유출 규모는 개인정보보호위원회가 상세 분석을 거쳐 확정할 예정이다.