티빙 해킹 조사 결과 나왔다…3954만 계정 정보 유출, 휴대폰·이메일 '암호화키'까지 털렸다

(엑스포츠뉴스 이예진 기자) 온라인동영상서비스(OTT) 티빙에서 약 4천만 개의 이용자 계정 정보가 유출된 것으로 확인됐다. 소스코드가 포함된 개발 프로젝트까지 외부로 빠져나간 가운데, 정부 조사에서 보안 관리상의 문제도 다수 드러났다.

3일 과학기술정보통신부는 정부서울청사에서 민관합동조사단의 티빙 침해사고 조사 결과를 발표했다.

조사 결과 외부로 유출된 이용자 계정은 약 3천954만 개로 파악됐다. 이름과 생년월일을 비롯해 휴대전화번호, 이메일 주소, 연계정보(CI) 등 20개 항목 70종의 개인정보가 포함됐다.

비밀번호는 일방향 암호화 방식이 적용돼 원래 정보로 되돌리는 것이 불가능한 상태인 것으로 확인됐다. 그러나 휴대전화번호와 이메일 주소의 경우 정보를 풀 수 있는 암호화키까지 함께 유출됐다. 이에 조사단은 사실상 암호화되지 않은 정보가 노출된 것과 같은 수준으로 판단했다.

개인정보별 구체적인 유출 규모는 개인정보보호위원회가 추후 확정할 예정이다.

티빙 내부의 기술 자산도 피해를 입었다. 소스코드를 포함한 개발 프로젝트 361건이 유출됐으며, 전체 용량은 30.35GB 규모다.

침해 경로도 조사됐다. 공격자는 개발자가 사용하던 '개발환경 접속키'를 탈취한 뒤 이를 통해 티빙 내부 시스템에 접근한 것으로 파악됐다.

조사 과정에서는 티빙의 정보보호 관리체계 전반에 걸친 문제점도 확인됐다. 접속키를 관리하는 체계가 미흡했고, 이상 징후를 확인할 모니터링과 정보보호 전담인력 역시 부족했던 것으로 조사됐다. 2024년 실시한 모의해킹에서 발견된 취약점에 대해서도 필요한 조치가 이뤄지지 않은 것으로 나타났다.

사고 발생 이후 신고 과정에서도 문제가 확인됐다. 티빙이 침해사고를 인지한 시점은 지난 5월 31일 오전 10시 10분이었지만, 한국인터넷진흥원(KISA)에 신고한 것은 6월 1일 오후 3시 8분이었다. 법정 신고 기한인 24시간을 넘긴 것이다. 과기정통부는 이에 따라 정보통신망법 위반으로 티빙에 최대 3천만 원의 과태료를 부과할 예정이다.

이에 더 티빙에 이달까지 재발 방지를 위한 이행계획을 제출하도록 요구했다. 내년 1월부터는 제출된 계획에 따른 개선 조치가 제대로 이뤄지고 있는지 점검에 나설 계획이다.

사진=티빙

이예진 기자 leeyj0124@xportsnews.com