개발자 접속키 탈취해 개발환경 침투…소스코드에 노출된 운영키로 AWS까지 접근
개인정보 20개 항목 유출…법정 신고 시한도 15시간여 넘겨
온라인동영상서비스(OTT) 티빙에서 이용자 계정 3천954만개와 핵심 소스코드 361건이 유출된 사실이 정부 조사에서 확인됐다. 공격자는 개발자의 접속키를 탈취한 뒤 소스코드에 노출된 운영환경 접속키를 이용해 이용자 정보가 저장된 AWS(아마존웹서비스)까지 침투한 것으로 조사됐다.
과학기술정보통신부는 3일 정부서울청사에서 민관합동조사단의 티빙 침해사고 조사 결과를 발표했다. 유출된 계정은 활성 계정 2천206만개, 휴면·탈퇴 등 비활성 계정 1천737만개, 테스트 계정 11만개다. 동일인이 최대 13개 계정을 보유한 사례도 확인돼 실제 이용자 수와 유출 계정 수에는 차이가 있다.
가입 경로별로는 네이버·카카오·페이스북·애플·X 등 간편가입 계정이 2천247만개로 가장 많았다. CJ ONE 통합회원은 863만개, 티빙 자체가입은 726만개였다.
유출된 개인정보는 아이디와 비밀번호를 비롯해 성명, 생년월일, 휴대전화번호, 이메일 주소, 연계정보(CI) 등 20개 항목, 70종이다. 비밀번호는 일방향 암호화돼 복호화가 불가능했다. 반면 휴대전화 번호와 전자우편 주소는 암호화키까지 함께 유출돼 사실상 평문 유출과 같은 수준으로 판단됐다. 구체적인 개인정보 유출 규모는 개인정보보호위원회가 별도로 확정한다.
소스코드가 포함된 개발 프로젝트 361건도 유출됐다. 규모는 30.35GB다. 이용자 맞춤형 콘텐츠 추천·검색 알고리즘과 이용자 관리·인증체계, 결제 관리, 유료 서비스 운영 등 핵심 기술이 포함됐다.
조사단에 따르면 공격자는 5월 29일부터 31일까지 개발자의 개발환경 접속키를 탈취해 개발환경에 침투했다. 이후 소스코드에 저장된 운영환경 접속키 43개를 확보해 AWS 운영환경까지 접근했다.
공격자는 5월 30일 1차 정보 유출을 시도했다. 데이터베이스(DB) 서버 과부하로 이상 징후가 발생하자 티빙이 차단했다. 하지만 다음 날 가상서버를 만들어 이용자 정보 24GB를 저장한 뒤 외부 서버로 빼냈다. 이후 해당 서버를 삭제해 흔적을 지웠다.
조사단은 개발자 단말기 포렌식 등을 진행했지만 접속키 탈취 경로는 확인하지 못했다. 대신 티빙의 정보보호 관리체계에서 여러 문제점을 확인했다. 운영환경 접속키를 별도 저장공간에 보관하지 않고 소스코드에 그대로 노출했다. 개발환경의 환경변수와 이용자 정보가 저장된 DB의 접속 아이디·비밀번호도 암호화하지 않은 채 평문으로 관리했다.
정보보호 전담인력은 외주인력을 제외하면 4명 안팎에 불과했다. 2024년 모의해킹에서 하드코딩 취약점이 발견됐지만 개선하지 않았다. 시스템 로그도 선별적으로 관리해 신규 VPN 장비의 접속기록은 6일치만 보관했다.
침해사고 신고도 늦었다. 조사단이 판단한 인지 시점은 5월 31일 오전 10시 10분이지만, 티빙은 24시간이 6월 1일 오후 3시 8분에야 한국인터넷진흥원(KISA)에 신고했다. 과기정통부는 정보통신망법에 따라 최대 3천만원의 과태료를 부과할 예정이다.
과기정통부는 티빙에 이달까지 재발 방지 이행계획을 제출하도록 하고 내년 1월부터 이행 여부를 점검한다. 오는 11일부터 시행되는 개정 개인정보보호법에 따라 반복적·중대한 과실로 대규모 개인정보 유출이 발생하면 전체 매출액의 최대 10%까지 과징금을 부과할 수 있다.
