티빙, 3천954만 계정 유출…해커에 내부망 뚫렸다

온라인동영상서비스(OTT) 티빙에서 발생한 해킹 사고로 약 3,954만개 계정의 이용자 정보와 소스코드가 포함된 개발 프로젝트 361건이 유출된 것으로 확인됐다.

공격자는 개발자의 접속키를 탈취해 내부 시스템에 침투했으며, 티빙이 과거 모의해킹에서 발견한 보안 취약점을 제대로 조치하지 않는 등 정보보호 관리체계 전반이 미흡했던 것으로 조사됐다.

과학기술정보통신부는 3일 한국인터넷진흥원(KISA) 등과 구성한 민관합동조사단의 티빙 침해사고 조사 결과를 발표했다.

조사 결과 공격자가 빼낸 이용자 정보는 활성화 계정 2,206만개와 휴면·탈퇴 등 비활성화 계정 1,737만개, 테스트 계정 11만개 등 총 3,954만개 계정에 달했다.

다만 동일인이 여러 계정을 보유한 경우가 포함된 수치로, 한 명이 최대 13개 계정을 보유한 사례도 확인됐다.

유출된 정보에는 ID와 성명, 휴대전화번호, 이메일 주소, 생년월일, 연계정보(CI), 결제이력 등 모두 20개 항목, 70종의 정보가 포함됐다.

휴대전화번호와 이메일 주소 일부는 암호화돼 있었지만 암호화키까지 함께 유출돼 복호화가 가능한 것으로 조사됐다.

비밀번호는 일방향으로 암호화돼 평문 복호화가 불가능한 상태였다. 구체적인 개인정보 유출 규모는 개인정보보호위원회가 추가 분석을 거쳐 확정할 예정이다.

티빙의 핵심 기술자산도 함께 빠져나간 것으로 나타났다.

공격자는 이용자 맞춤형 콘텐츠 추천·검색 알고리즘과 이용자 인증체계, 결제 관리 등이 담긴 개발 프로젝트 361건, 약 30.35GB를 유출했다.

조사단은 유출된 소스코드를 분석해 취약점을 파악한 뒤 추가 공격에 악용할 가능성이 있다고 판단했지만, 현재까지 추가 공격 정황은 확인되지 않았다.

사고의 시작은 개발자가 보유한 '개발환경 접속키' 탈취였다.

공격자는 탈취한 키로 티빙 개발환경에 침입한 뒤 소스코드를 빼냈고, 소스코드 안에 저장돼 있던 '운영환경 접속키'까지 확보했다.

조사 결과 티빙은 운영환경 접속키를 별도의 공간에 보관하지 않고 소스코드에 그대로 넣어두거나 암호화 없이 평문으로 저장하고 있었던 것으로 드러났다. 개발 프로젝트 361건에서는 운영환경 접속키 43개가 발견됐다.

공격자는 이 가운데 2개 키를 실제 공격에 이용해 운영환경에 침투한 뒤 이용자 정보가 저장된 데이터베이스의 ID와 비밀번호까지 확보했다.

이후 5월31일 가상서버를 만들어 데이터베이스에 저장된 이용자 정보 약 24GB를 외부 서버로 빼낸 뒤 흔적을 지우기 위해 가상서버를 삭제한 것으로 조사됐다.

티빙은 모든 개발자에게 전체 개발 프로젝트에 접근할 수 있는 권한을 부여했고, 접속키의 발급과 사용, 변경, 폐기를 관리하는 체계도 갖추지 않았다. 일부 접속키는 사내 메신저 등을 통해 다른 사람과 공유되기도 했다.

특히 티빙은 지난 2024년 모의해킹에서 접속키를 소스코드 내부에 그대로 노출하는 취약점을 발견하고도 이를 개선하지 않은 것으로 확인됐다.

임직원 265명 가운데 개발인력은 149명에 달했지만 정보보호 전담인력은 외주인력을 제외하면 4명 내외에 불과했다.

조사단은 티빙이 5월31일 오전 10시10분 정보보안팀에 접속키 탈취와 정보유출 의심 상황을 공유한 시점을 사고 인지 시점으로 판단했다. 하지만 KISA 신고는 다음날 오후 3시8분 이뤄져 법정 신고기한인 24시간을 넘겼다.

과기정통부는 정보통신망법에 따라 티빙에 최대 3천만원 이하의 과태료를 부과할 예정이다.

과기정통부는 티빙에 이달 중 재발방지 대책 이행계획을 제출하도록 하고 오는 10월부터 12월까지 이행 여부를 점검한 뒤 내년 1월부터 후속 점검에 나설 계획이다.