온라인동영상서비스 티빙에서 활성·휴면·탈퇴·테스트 계정을 합쳐 3천954만개 계정의 개인정보가 외부로 유출된 것으로 조사됐다. 이름과 연락처, 이메일, 생년월일, 결제이력 등 다양한 정보가 포함됐고 일부 암호화 자료는 암호화키까지 함께 빠져나간 것으로 파악됐다. 개발 프로젝트 361건도 유출돼 이용자 정보뿐 아니라 서비스 핵심 기술에 대한 우려도 커졌다.
과학기술정보통신부 민관합동조사단은 9월 3일 티빙 침해사고 조사 결과를 발표했다. 유출 계정은 활성 2천206만개, 휴면 850만개, 탈퇴 887만개, 테스트 11만개로 분류됐다. 다만 계정 수가 곧 피해자 수를 의미하지는 않는다. 한 사람이 여러 가입 경로를 이용해 복수 계정을 가진 사례가 있었고 조사에서는 최대 13개 계정을 보유한 경우도 확인됐다.
간편가입 계정과 탈퇴 정보까지 포함
가입 경로별로는 네이버와 카카오, 페이스북, 애플, 엑스 등을 통한 사회관계망 간편가입 계정이 2천247만개로 가장 많았다. CJ ONE 통합회원은 863만개, 티빙 자체가입 계정은 726만개였다. 외부 플랫폼 로그인 방식을 이용했다고 해서 티빙 내부에 저장된 연계 정보가 자동으로 보호되는 것은 아니라는 점이 드러났다.
유출 항목은 아이디, 성명, 휴대전화번호, 이메일주소, 생년월일, 연계정보와 결제이력 등 20개 항목 70종에 이른다. 비밀번호는 원문을 되돌리기 어려운 일방향 암호화 상태였던 것으로 조사됐다. 그러나 일부 전화번호와 이메일은 암호화돼 있었어도 이를 해제할 수 있는 키가 함께 유출돼 사실상 평문 노출과 비슷한 위험을 가진다고 조사단은 판단했다.
탈퇴 회원의 정보가 887만개나 포함됐다는 사실은 개인정보 보유 기간과 파기 절차에 대한 질문을 낳는다. 사업자는 법령이나 정산·분쟁 대응을 위해 일부 정보를 일정 기간 보관할 수 있지만 목적과 기간을 명확히 구분하고 접근을 제한해야 한다. 서비스 이용이 끝난 계정의 데이터가 운영망에서 어떤 이유로 유지됐는지 추가 설명이 필요하다.
개발 접속키 탈취에서 운영망 침투로
조사단에 따르면 공격자는 개발자의 개발환경 접속키를 탈취해 내부 시스템에 들어갔다. 이후 개발 프로젝트 361건, 약 30.35GB를 외부로 빼낸 것으로 파악됐다. 소스코드 안에는 운영환경 접속키 43개가 그대로 노출돼 있었고, 공격자는 이를 이용해 실제 서비스 운영망과 이용자 데이터베이스까지 접근했다.
접속키를 코드에 직접 적어두는 방식은 ‘하드코딩’으로 불린다. 개발과 배포는 편할 수 있지만 코드 저장소가 노출되면 여러 시스템의 열쇠가 한꺼번에 넘어가는 위험이 있다. 키는 별도 비밀관리 시스템에 보관하고 사용 권한과 유효기간을 최소화해야 한다. 유출 가능성을 전제로 주기적으로 교체하고, 개발망과 운영망의 권한을 분리하는 것이 기본적인 방어 원칙이다.
티빙은 2024년 자체 모의해킹에서 소스코드에 접속키가 포함된 취약점을 발견하고도 이를 개선하지 않은 것으로 조사됐다. 이용자 데이터베이스 접속 아이디와 비밀번호도 암호화되지 않은 상태로 저장돼 있었다. 사고 전에 확인한 위험이 실제 침해 경로로 이어졌다는 점에서 단순한 기술 오류보다 개선 조치와 경영진의 감독 체계가 핵심 쟁점이 됐다.
늦어진 보고와 부족한 보안 인력
전체 임직원 265명과 개발인력 149명에 비해 외주를 제외한 정보보호 전담인력은 4명에 불과했던 것으로 나타났다. 서비스 규모와 보유 데이터, 개발 속도에 비해 보안 인력이 충분했는지 검토가 필요하다. 보안은 사고 발생 뒤 대응하는 조직에 그치지 않고 개발 단계에서 코드와 권한, 데이터 보관을 지속적으로 점검해야 한다.
5월 30일 이상징후가 발생한 뒤 정보보호최고책임자에게 보고되기까지 약 14시간이 걸렸고 한국인터넷진흥원 신고도 사고 인지 후 24시간이라는 법정 기한을 넘긴 것으로 조사됐다. 과기정통부는 최대 3천만원의 과태료를 부과할 예정이다. 초기 보고가 늦어지면 공격자의 추가 접근을 차단하고 피해 이용자에게 대응 방법을 안내할 시간도 줄어든다.
티빙은 공식 사과와 설명회를 열어 보안 강화 및 고객 보상 계획을 밝힐 예정이다. 회사는 유출된 정보의 정확한 범위와 계정별 항목, 공격자가 접근한 기간, 현재까지 확인된 2차 피해를 이용자가 이해하기 쉽게 알려야 한다. 보상안과 별개로 삭제·휴면 데이터의 보관 근거와 재발 방지 조치의 이행 일정도 공개할 필요가 있다.
이용자가 지금 확인할 사항
이용자는 티빙이 보내는 공식 안내에서 자신의 계정과 유출 항목을 확인해야 한다. 티빙과 동일하거나 비슷한 비밀번호를 다른 서비스에 사용했다면 각각 다른 비밀번호로 바꾸고 다중인증을 설정하는 것이 안전하다. 비밀번호 자체가 복호화 불가능한 형태였더라도 이메일과 전화번호, 결제이력의 조합은 정교한 피싱과 계정 탈취 시도에 악용될 수 있다.
티빙이나 결제회사, 수사기관을 사칭해 환불이나 보상을 약속하며 링크 접속과 인증번호 전달을 요구하는 연락도 경계해야 한다. 공식 앱과 홈페이지를 직접 열어 공지사항을 확인하고 카드·계좌의 낯선 결제 내역을 살피는 것이 좋다. 의심 피해가 발생하면 비밀번호 변경과 결제수단 정지 뒤 KISA 118 상담이나 경찰 신고를 이용할 수 있다.
이번 사고는 개발 편의를 위해 남겨둔 하나의 접속키가 대규모 개인정보 침해로 확대될 수 있음을 보여준다. 사업자는 보유 데이터 자체를 줄이고 탈퇴 정보는 법정 보관분과 즉시 파기분을 분리해야 한다. 모의해킹에서 발견된 문제의 개선 완료 여부를 경영진이 확인하고, 외부 검증 결과까지 공개해야 이용자의 신뢰를 회복할 수 있다.
댓글