티빙의 이용자 계정 3954만개가 유출된 건 예견된 사고였다. 1차 경고에도 단순 시스템 이상으로 판단해 2차 공격을 대비하지 않았고, 비정상 행위를 탐지·대응하거나 모니터링 체계도 없던 것으로 드러났다.
3일 과학기술정보통신부 민관합동조사단 발표에 따르면 공격자(해커)는 지난 5월30일 탈취한 티빙의 운영환경 접속키와 데이터베이스 접속 정보를 이용해 이용자 정보 조회와 유출을 처음 시도했다.
이 과정에서 데이터베이스 서버의 중앙처리장치(CPU) 이용률이 100%까지 치솟아 이상징후 알림이 발생했고 티빙은 해당 작업을 차단했다.
문제는 이를 해킹이 아닌 단순 시스템 과부하로 판단해 접속 차단 외 별다른 후속조치가 없었다는 점이다. 일반적으로 공격자는 1차 시도 후 단계적으로 후속 공격을 감행하는 경우가 많은데 낌새조차 알아차리지 못한 탓에 해킹에 무방비로 당한 것이다.
임정규 과기정통부 정보보호네트워크정책관은 "티빙은 당시 CPU 이용률이 100%로 올라갔다는 사실을 일반적인 시스템의 CPU 과다 사용으로 보고 해킹으로 판단하지 않았다"고 전했다.
박용규 한국인터넷진흥원(KISA) 디지털위협대응본부장도 "1차 시도 때는 보안 알림이라기보다 시스템 이상 알림이어서 티빙도 이후 어떤 상황인지 계속 조사를 하고 있었다"며 "그러던 중 2차 시도가 함께 발생했다"고 설명했다.
실제 공격자는 하루 뒤(5월31일) 2차 공격을 단행했다. CPU 이용률을 10% 이내로 제한하는 방식으로 이상징후 탐지를 회피했고, 가상서버를 만들어 24기가바이트(GB) 규모의 이용자 정보를 외부로 유출한 후 흔적을 삭제했다.
1차 시도 때 티빙의 대응방식을 파악해 이를 우회하는 방식으로 재공격을 단행한 셈이다.
상황전파도 늦었다. 조사단이 판단한 티빙의 사고 인지시점은 5월31일 10시10분이지만 인터넷진흥원에 신고한 시점은 6월1일 15시8분으로 24시간이 지난 후였다. 정보통신망법 제48조 3항에 따라 침해사고를 인지하면 24시간 이내에 과기정통부나 인터넷진흥원에 신고해야 한다.
박용규 본부장은 "최초 알림 후 내부적으로 판단하는데 시간이 소요됐을 것"이라며 "보고체계와 인적 관리 모두 문제가 있는 것으로 판단하고 있다"고 밝혔다.
공격자 실체는 밝히지 못했다. 임정규 정책관은 "다양한 시나리오를 뒷받침할 만한 로그를 확인하고 해당 PC와 노트북 포렌식 분석도 수행했지만 근거를 확인하지는 못했다"고 말했다.
유출된 정보가 해외 소재 서버로 전송된 정황은 확인됐다. 이번 침해사고는 과기정통부 조사와 별개로 경찰 수사가 이뤄지고 있다. 아직까지 다크웹을 통한 불법 거래나 유통 정황은 탐지되지 않은 것으로 알려졌다.
티빙의 개인정보 유출을 계기로 정보보호관리체계(ISMS) 인증 제도의 실효성도 도마에 올랐다. 티빙은 ISMS 인증을 받았지만 접속키를 원래 코드와 분리해 별도 관리하지 않고 소스코드에 그대로 넣어둔 것으로 드러났다. 이는 ISMS 인증기준에 위배되는 사안이다.
