온라인동영상서비스(OTT) 플랫폼 '티빙'에서 소스 코드가 포함된 기술 자산 361건과 이용자 계정 약 3천954만 개가 유출된 것으로 확인됐다.

◇ 활성·휴면·탈퇴까지 3천954만 계정 유출…사실상 '전체 계정'

과학기술정보통신부는 3일 정부서울청사에서 민관합동조사단의 티빙 침해사고 조사 결과를 이같이 발표했다.

조사단은 로그인 가능한 활성화 계정 2천206만 개, 비활성화 계정(휴면·탈퇴) 1천737만 개, 테스트 계정 11만 개 등 총 3천954만 개의 계정이 유출됐음을 확인했다.

이 중 동일인이 최대 13개 계정을 보유한 사례가 확인되는 등 중복이 다수 포함돼 있다.

임정규 과기정통부 정보보호네트워크정책관은 이날 브리핑에서 "활성화·비활성화·테스트 계정까지 티빙의 모든 계정이 유출됐다"고 인정했다.

지난해 KT[030200] 개인정보 유출 사고 당시 제공된 보상 쿠폰을 통해 티빙에 가입한 이용자 정보 52만7천 건도 유출된 것으로 확인됐다. 다만 이는 집계에 포함되지 않았다.

가입 경로별로는 네이버·카카오·페이스북·애플·X 등 소셜네트워크서비스(SNS) 간편가입 2천247만 개, CJ ONE 통합회원 863만 개, 티빙 자체가입 726만 개 등이다.

유출된 항목은 유출된 항목은 아이디(CJ ONE 통합 아이디 포함)와 비밀번호를 비롯해 성명·생년월일·휴대전화번호·이메일 주소·연계정보(CI) 등 20개 항목(70종)이다.

비밀번호는 일방향 암호화 상태로 복호화가 불가능하나, 휴대전화번호와 이메일 주소는 암호화키가 함께 유출돼 사실상 평문 유출과 동일한 수준으로 판단됐다.

CI 보유 여부에 따라 정보 유출 규모도 달라, 보유 계정 1천904만 개는 평균 11.1개 항목(17.6종), 미보유 계정 2천40만 개는 평균 4.6개 항목(5.9종)이 유출됐다.

전체 CI 보유 계정 1천300만 개 중 휴면 계정은 370만 개, 탈퇴 계정은 5만 개다.

개인정보 세부 유출 규모는 개인정보보호위원회가 별도로 확정할 예정이다.

◇ 개발자 접속키 탈취해 침투…소스코드 등 기술자산 361건 빼내

기술자산 피해와 관련해서는 소스코드가 포함된 개발 프로젝트 361건(30.35GB 규모)이 빠져나갔다.

이용자 맞춤형 콘텐츠 추천·검색 알고리즘, 이용자 관리·인증체계, 결제 관리, 유료 서비스 운영 등 핵심 기술 자산이 망라됐다.

조사단은 공격자가 5월 29일부터 31일에 걸쳐 개발자의 '개발환경 접속키'를 사전에 탈취한 뒤 개발환경에 무단 접속해 프로젝트를 유출한 것으로 파악했다.

소스코드 내에 저장된 '운영환경 접속키' 43개를 추가 확보해 운영환경(아마존웹서비스·AWS)까지 침투한 것으로 파악했다.

공격자는 5월 30일 1차 정보유출을 시도했으나 DB 서버 과부하로 이상징후 알림이 발생해 티빙이 차단 조치했다.

그러나 다음날인 31일 가상서버를 생성해 이용자 정보 24GB를 일괄 저장하고 외부 서버로 유출했으며 이후 흔적을 지우기 위해 가상서버를 삭제했다.

조사단은 탈취 경로 확인을 위해 개발자 단말기 포렌식 분석으로 다양한 공격 시나리오를 정밀 분석했으나, 확인이 불가능했다고 전했다.

최초 공격자의 신원 역시 특정하지 못했으며, 유출된 정보가 해외 계정으로 전송된 사실만 확인했다. 이에 대해서는 현재 경찰 수사가 진행 중이며, 정확한 국가와 서버 위치 등은 수사 과정에서 밝혀질 것이라고 부연했다.

◇ 접속키·DB 비밀번호까지 평문 방치…모의해킹 지적에도 미조치

조사단은 조사 과정에서 키 관리체계 부실, 로그 보관기관의 한계 등 티빙 정보보호 관리체계 상 문제점을 확인했다.

운영환경 접속키를 별도 저장 공간에 분리 보관하지 않고, 개발 편의를 위해 소스코드 내부에 숨김없이 그대로 노출(하드코딩)한 채 사용한 것으로 드러났다.

또한 개발환경의 프로그램 구동을 위한 설정값(환경변수)에 별도 암호화 처리를 통한 숨김없이 평문으로 방치돼 있었다.

이용자 정보가 저장된 데이터베이스(DB)에 접근할 수 있는 접속정보(아이디·패스워드)도 암호화되지 않고 평문으로 저장돼 있었다.

전체 임직원 265명·개발인력 149명 규모에 정보보호 전담인력은 외주인력 제외 4명 내외에 불과했다.

2024년 모의해킹에서 하드코딩 취약점이 발견됐으나 개선 조치가 이뤄지지 않았고, 시스템 로그 역시 선별적으로 저장·관리해 신규 장비(VPN)에는 6일치 접속기록만 보관된 사실이 드러났다.

티빙이 정보보호 관리체계(ISMS) 인증을 받았음에도 이 같은 사고가 발생한 것과 관련해 임 국장은 "키 관리체계 문제점은 ISMS에 명확히 규정된 부분"이라며 "ISMS 인증제 실효성 강화 방안에 따라 인증 기준을 강화하고 현장 점검 방식으로 심사를 개편했다"고 언급했다.

다만 인증 취소 제도는 현재 없으며, 해당 제도를 보완하는 작업이 진행 중이라고 덧붙였다.

◇ 신고 법정시한 넘겨 최대 3천만원 과태료…정부, 내년 이행점검

티빙은 정보통신망법에 따라 침해사고 인지 후 24시간 이내에 신고해야 하지만, 조사단이 판단한 인지 시점(5월 31일 오전 10시 10분)으로부터 24시간이 지난 6월 1일 오후 3시 8분에야 KISA에 신고했다.

이에 과기정통부는 정보통신망법 제76조에 따라 최대 3천만 원의 과태료를 부과할 예정이다.

아울러 티빙에 키 관리·통제·접근권한 체계 구축 및 상시 점검, 비정상 행위 탐지·대량 데이터 조회 모니터링 체계와 접근제어 정책 강화, 충분한 정보보호 전담인력·예산 확보 및 관련 부서 체계 재정립, 로그 저장관리 정책 수립, 모의해킹 등 주기적 취약점 점검·조치 등의 재발방지책을 주문했다.

과기정통부는 티빙에 이달까지 재발 방지 이행계획 제출을 요구하고 내년 1월부터 이행점검에 나설 계획이다.

아울러 이달 11일 시행되는 개정 개인정보보호법에 따라 반복·중과실에 의한 대규모 개인정보 유출 시 전체 매출액의 최대 10%까지 징벌적 과징금을 부과할 수 있게 된다.

10월 1일 시행되는 개정 정보통신망법은 정보보호 인력·예산 의무화, 정부의 선제적 조사 착수 근거 마련, 이행강제금 신설 등을 담고 있다.

다만 정부는 티빙의 경우 이번 침해사고가 개정 시행 이전에 발생했으므로 개정법 적용 대상은 아니라고 밝혔다.

◇ 티빙 "보안투자 4배·인력 3배"…보험·포인트 등 고객 보상

최주희 티빙 대표는 이날 서울 광화문 코리아나호텔에서 설명회를 열고 "이번 침해 사고로 고객 여러분께 심려와 불안을 끼쳐드린 점 진심으로 사과드린다"며 "안전한 서비스를 제공하지 못한 데 대해 대표이사로서 무거운 책임을 느낀다"고 밝혔다.

티빙은 2030년까지 정보보호 투자를 직전 5년 대비 약 4배로 늘리고, 정보보안 전문 인력도 향후 5년간 현재의 3배 수준으로 확충할 방침이다.

현재 내외부 합산 약 9.4명인 보안 인력을 25∼30명 규모로 키우는 것이 목표로, 우선 연말까지 내부 인력을 10명까지 확보하기로 했다.

보안 체계와 관련해서는 인증과 접근 통제를 강화하는 '제로 트러스트' 방식을 도입하고 인공지능(AI) 기반 이상 징후 탐지 및 실시간 대응 시스템도 고도화하기로 했다.

최고경영자(CEO) 직속의 '정보보호혁신 자문위원회'도 신설해 외부 전문가 검증을 받는다.

신고 지연 경위에 대해 최 대표는 "내부적으로 경영진 보고와 태스크포스(TF) 발동이 이뤄진 시점을 사고 인지 시점으로 판단해 5시간의 차이가 발생했다"며 "내부에 신속 전파 거버넌스를 재편하겠다"고 해명했다.

티빙은 사고 피해 우려 고객을 위해 해킹·피싱 등 사이버 금융사기를 1인당 최대 300만원까지 보장하는 안심 보험을 1년간 제공하기로 했다.

별도 신청 없이 프리미엄급 시청 환경으로도 업그레이드해준다.

이와 함께 5천원 상당의 티빙 포인트와 웨이브 광고형 요금제 1개월 이용권 또는 CGV 할인 쿠폰 중 하나를 선택할 수 있는 엔터테인먼트 쿠폰도 지급한다.

티빙 측은 보상 패키지 인당 가액을 약 2만원 수준으로 추산했다.

보상 신청은 오는 7일부터 30일까지이며 다음 달 6일부터 적용된다. 탈퇴·휴면 계정 이용자도 재가입을 통해 보상을 받을 수 있다.

최 대표는 재무 부담이 커진 상황에서도 "오리지널 콘텐츠와 스포츠 투자는 줄일 생각이 없다"며 콘텐츠 경쟁력 강화로 이용자 신뢰를 회복하겠다는 뜻을 밝혔다.