정부, 티빙 3954만 계정 ‘모두’ 유출 확인…내부 기술 자산도 털렸다

▲3일 정부서울청사에서 임정규 과기정통부 정보보호네트워크정책관이 티빙 민관합동조사단 조사결과를 브리핑하고 있다. 김연진 기자 yeonjin@

CJ ENM의 온라인동영상서비스(OTT) 플랫폼 티빙에서 3954만 개 계정의 정보가 유출된 것으로 확인됐다. 티빙이 가지고 있는 모든 계정이 털린 것이다. 공격자는 개발자의 접속키 하나를 탈취해 운영환경까지 침투했으며 개발 프로젝트 361건 등 핵심 기술 자산도 빼갔다.

임정규 과학기술정보통신부 정보보호네트워크정책관은 3일 정부서울청사에서 티빙 민관합동조사단 조사결과 브리핑을 열고 “활성화, 비활성화, 테스트 계정 등 티빙이 가지고 있는 모든 계정이 유출됐다”며 “KT 보상권 수령 가입자 중 개인정보가 유출된 숫자는 52만7000건으로 확인됐다”고 말했다.

민관합동조사단의 조사 결과 티빙에서 로그인이 가능한 활성화 계정 2206만 개, 휴면·탈퇴 등 비활성화 계정 1737만 개, 테스트 계정 11만 개 등 3954만 개 계정이 유출됐다. 동일인이 여러 계정을 보유한 경우가 포함된 수치로 한 명이 최대 13개 계정을 보유한 사례도 확인됐다

티빙 자체가입 계정은 726만 개, CJ ONE 통합회원은 863만 개였다. 네이버, 카카오, 페이스북, 애플, X(구 트위터) 등 SNS 간편가입은 2247만 개로 확인됐다.

유출된 정보는 ID와 성명, 비밀번호, 휴대전화 번호, 이메일 주소, 생년월일, 연계정보(CI) 등 20개 항목 70종이다. 휴대전화 번호와 이메일 주소 일부는 암호화돼 있었지만 암호화키까지 함께 유출돼 복호화가 가능했다.

조사단은 공격자가 티빙 운영환경에 침투할 수 있었던 배경으로 △‘운영환경 접속키’를 소스코드 내부에 숨김없이 그대로 노출하는 ‘하드코딩’ △개발환경 프로그램 구동에 필요한 설정값이 별도 암호화 처리 없이 ‘평문 저장’ 2가지를 꼽았다.

해킹 사태의 시작은 접속키 하나였다. 공격자는 ‘개발환경 접속키’를 사전 탈취해 5월 29일 티빙 개발환경에 침투했다. 이후 개발 프로젝트를 빼내고 소스코드 안에 저장돼 있던 ‘운영환경 접속키’를 확보했다. 당시 개발 프로젝트에는 운영환경 접속키 43개가 포함돼 있었다.

공격자는 이를 이용해 운영환경에 무단 접속한 뒤 이용자 정보가 저장된 데이터베이스(DB)의 접속정보(ID·PW)까지 확보했다. 해당 접속정보는 암호화되지 않고 평문으로 저장돼 있었다. 5월 30일 1차 유출 시도 당시 DB 서버 CPU 이용률이 100%까지 급상승해 이상징후 알림이 발생했고 티빙은 작업을 차단했다.

이튿날 공격자는 별도 접속키로 가상서버를 만든 뒤 이용자 정보 24GB를 외부 서버로 빼돌렸다. 조사단은 공격자가 CPU 이용률을 10% 이내로 유지하면서 이상징후 탐지를 피했다고 판단했다.

티빙의 핵심 기술 자산도 유출됐다. 공격자는 개발환경에 침투하는 과정에서 개발 프로젝트 361건(30.35GB 규모)을 빼냈다. 여기에는 이용자 맞춤형 콘텐츠 추천 및 검색 알고리즘, 이용자 관리 및 인증체계, 결제 관리, 유료 서비스 운영 등이 포함됐다.

조사단은 티빙의 키 관리체계가 부실해 이같은 사고가 발생했다고 봤다. 티빙은 2024년 모의해킹에서 접속키를 소스코드에 하드코딩하는 취약점을 발견하고도 개선하지 않았다. 모든 개발자에게 전체 프로젝트 접근 권한을 부여해 접속키 하나만 탈취해도 모든 개발 프로젝트에 접근할 수 있었다.

또한 티빙은 임직원 265명, 개발인력 149명 규모임에도 정보보호 전담인력은 4명 내외에 불과했다. 이상징후 발생 시점으로부터 약 14시간이 지난 후에야 침해사고 대응을 총괄하는 정보보호 전담조직과 정보보호 최고책임자(CISO)에게 상황이 공유됐다.

ISMS 인증을 받은 기업에서 접속키 관리 절차가 제대로 마련되지 않은 것을 두고 임 정책관은 “키 관리체계는 ISMS에 명확하게 규정된 부분으로 이렇게 관리해서는 안 된다”며 “인증 실효성 강화 방안을 통해 실제 현장 가서 확인하는 방안으로 개편했다”고 말했다. 이어 “인증 제도의 허점이 없도록 보완하겠다”고 강조했다.