아이디, 비번, 이름, 생년월일 등 유출돼
개발 프로젝트 361건 기술유출도 발생

과학기술정보통신부는 3일 정부서울청사에서 민관합동조사단의 티빙 침해사고 조사 결과를 발표했다. 과기정통부 제공.

온라인동영상서비스(OTT) 플랫폼 티빙의 해킹사고로 3954만 개 계정(중복 포함)이 유출된 것으로 드러났다.

과학기술정보통신부는 3일 정부서울청사에서 민관합동조사단의 티빙 침해사고 조사 결과를 이 같이 발표했다. 조사단은 로그인 가능한 활성화 계정 2206만 개, 비활성화 계정(휴면·탈퇴) 1737만 개, 테스트 계정 11만 개 등 총 3954만 개의 계정이 유출됐음을 확인했다. 동일인이 최대 13개 계정을 보유한 사례가 확인돼 유출 사고에서도 중복 계정이 다수 있는 것으로 나타났다.

유출된 항목은 유출된 항목은 아이디(CJ ONE 통합 아이디 포함)와 비밀번호를 비롯해 성명·생년월일·휴대전화번호·이메일 주소·연계정보(CI) 등 20개 항목(70종)이다. 비밀번호는 일방향 암호화 상태로 복호화가 불가능하나, 휴대전화번호와 이메일 주소는 암호화키가 함께 유출돼 사실상 평문 유출과 동일한 수준으로 판단됐다.

CI 보유 여부에 따라 정보 유출 규모도 달라, 보유 계정 1904만 개는 평균 11.1개 항목(17.6종), 미보유 계정 2040만 개는 평균 4.6개 항목(5.9종)이 유출됐다. 개인정보 세부 유출 규모는 개인정보보호위원회가 별도로 확정할 예정이다.

기술자산 유출도 발생했다. 소스코드가 포함된 개발 프로젝트 361건(30.35GB 규모)이 빠져나갔다. 이용자 맞춤형 콘텐츠 추천·검색 알고리즘, 이용자 관리·인증체계, 결제 관리, 유료 서비스 운영 등 핵심 기술 자산이 유출됐다.

조사단은 공격자가 개발자의 ‘개발환경 접속키’를 탈취한 뒤 개발환경에 무단 접속해 프로젝트를 유출했다고 밝혔다. 공격자는 지난 5월 30일 1차 정보유출을 시도했으나 DB 서버 과부하로 이상징후 알림이 발생해 티빙이 차단 조치했다. 그러나 다음날인 31일 가상서버를 생성해 이용자 정보 24GB를 일괄 저장하고 외부 서버로 유출했으며 이후 흔적을 지우기 위해 가상서버를 삭제했다.

조사단은 탈취 경로 확인을 위해 개발자 단말기 포렌식 분석으로 다양한 공격 시나리오를 정밀 분석했으나, 확인이 불가능했다고 전했다. 다만 이 과정에서 키 관리체계 부실, 로그 보관기관의 한계 등 티빙 정보보호 관리체계 상 문제점을 확인했다.

조사단은 키 관리체계가 잘 정비됐다면, 개발환경에 접근하는 것을 차단할 수 있었고 운영환경에 접속하지 못 했을 것이라고 판단했다. 또 비정상 행위 탐지를 위한 모니터링, 차단체계가 잘 구축됐다면, 대규모 이용자 정보유출까지 이르지 못 했을 것이라고 분석했다.

정보통신망법에 따라 침해사고 인지 후 24시간 이내에 신고해야 하지만, 티빙은 조사단이 판단한 인지 시점(5월 31일 오전 10시 10분)으로부터 24시간이 지난 6월 1일 오후 3시 8분에야 신고했다. 이에 과기정통부는 최대 3000만 원의 과태료를 부과할 예정이다. 과기정통부는 티빙에 이달까지 재발 방지 이행계획 제출을 요구하고 내년 1월부터 이행점검에 나설 계획이다.

이달 11일 시행되는 개정 개인정보보호법에 따라 반복·중과실에 의한 대규모 개인정보 유출 시 전체 매출액의 최대 10%까지 징벌적 과징금을 부과할 수 있게 된다. 또 오는 10월 1일 시행되는 개정 정보통신망법은 정보보호 인력·예산 의무화, 정부의 선제적 조사 착수 근거 마련, 이행강제금 신설 등을 담고 있다. 과기정통부와 개인정보위는 관련 법이 차질 없이 시행될 수 있도록 만전을 기하겠다는 입장을 밝혔다.