온라인동영상서비스(OTT) 플랫폼 '티빙'에서 4000만개에 달하는 고객 계정이 유출된 것으로 확인됐다. 개발자의 개발환경 접속키가 제대로 관리되지 않았던 게 원인으로 드러났다.
과학기술정보통신부 민관합동조사단은 티빙 침해사고에 대한 조사결과를 3일 발표했다.
조사단에 따르면 로그인이 가능한 활성화 계정 2206만개와 비활성화 계정 1737만개, 테스트 계정 11만개 등 3954만개 계정이 유출됐다. 이는 약 500만명인 티빙의 가입자수를 훨씬 뛰어넘는 규모다.
동일인이 다수의 계정을 보유할 수 있는 구조라 중복이 포함돼있으며, 실제 1명의 이용자가 최대 13개까지 계정을 보유한 사례도 확인됐다. 구체적인 개인정보 유출 규모는 개인정보보호위원회에서 유출 항목에 대한 상세 분석 진행 후 발표할 예정이다.
가입 방식 기준으로 유출된 계정을 보면 티빙 자체가입 726만개, CJ ONE 통합회원 863만개, SNS 간편가입 2247만개로 나타났다.
침해사고로 유출된 정보는 아이디와 비밀번호(일방향 암호화), CJ ONE 통합 아이디와 성명, 휴대전화 번호와 이메일 주소, 연계정보(CI) 등을 포함한 20개 항목(70종)이다.
휴대전화와 이메일 주소는 일부 암호화된 상태로 유출됐지만 암호화키가 함께 유출돼 평문으로 유출된 정보와 동일한 수준이라는 게 조사단 판단이다. 비밀번호는 암호화된 상태로 빠져나갔다.
이와 함께 개발자가 구축 혹은 개발하고 있는 소스코드가 포함된 개발 프로젝트 361건도 유출됐다. 약 30.35기가바이트(GB) 규모다. 여기에는 OTT 서비스 티빙을 운영·관리하기 위한 기술 자산도 포함됐다.
이번 침해사고가 발생한 것은 공격자(해커)가 티빙 개발자의 '개발환경 접속키'를 탈취해 시스템 내부(개발·운영환경)에 침투했기 때문인 것으로 확인됐다.
공격자는 사전에 탈취한 접속키를 이용해 시스템 내부에 침투했다. 이를 통해 두 차례에 걸쳐 정보유출을 시도했다.
1차 시도(5월30일) 때는 데이터베이스 서버의 중앙처리장치(CPU) 이용률이 100%까지 치솟자 티빙이 이상징후를 탐지해 해당 작업을 차단했다. 하지만 다음 날(5월31일) 2차 시도에선 공격자가 CPU 이용률을 10% 이내로 제한하는 방식을 통해 탐지를 회피, 가상서버를 통해 24GB 규모의 이용자 정보를 유출한 후 흔적을 지운 것으로 조사됐다.
공격자가 티빙의 접속키를 탈취할 수 있었던 것은 키 관리가 부실했던 까닭이다. 티빙 개발자는 접속키를 소스코드 내부에 숨김없이 그대로 노출하거나 평문으로 저장했고, 사내 메신저 등을 통해 무분별하게 공유하기도 했다.
접속키 접근 권한은 업무 목적에 따라 필요 최소한으로 부여해야 하지만 모든 개발자가 전체 개발 프로젝트에 접근하도록 권한을 부여했다. 키 발급과 사용, 변경과 폐기 등 정기점검을 위한 관리절차 수립도 부재했다.
티빙은 비정상 행위가 발생했어도 CPU 부하 등 단순 모니터링에만 의존하는 등 공격행위를 실시간으로 탐지·차단할 수 있는 정보보호 체계를 갖추지 않았다. 또한 전체 임직원 265명 가운데 개발인력은 149명에 달하지만 정보보호 전담인력은 4명 내외에 불과했다.
침해사고 발생 시 초동조치를 위한 부서 간 신속한 상황전파와 협업체계도 미흡했고, 이상징후 발생 시점부터 약 14시간이 지나서야 정보보호 전담조직과 최고 정보보호 책임자(CISO)에게 상황이 공유됐다.
과기정통부는 조사결과를 바탕으로 티빙에 재발방지 대책에 따른 이행계획을 이달 중 제출토록 한다는 계획이다. 티빙의 이행(10~12월) 여부를 점검, 보완이 필요한 사항에 대해선 정보통신망법(제48조의 4)에 따라 시정조치를 명령한다는 방침이다.
한편 티빙은 사고 인지 후 24시간 이내에 과기정통부나 한국인터넷진흥원(KISA)에 신고해야 하지만 이를 준수하지 않았다. 이에 정보통신망법에 따른 과태료(3000만원 이하 부과 대상)가 부과될 예정이다.
