[세종=뉴스핌] 이경태 기자 = 온라인동영상서비스(OTT) 티빙의 이용자 계정 4000만개가 유출된 것으로 확인됐다.

과학기술정보통신부는 3일 온라인동영상서비스(OTT) 티빙 침해사고에 대한 민관합동조사단 조사 결과를 발표했다.

조사 결과 공격자는 개발자가 보유한 접속키를 탈취해 티빙 내부 시스템에 침투했으며, 소스코드가 포함된 개발 프로젝트 361건과 이용자 계정 3954만개가 유출된 것으로 드러났다.

조사단에 따르면 유출된 이용자 계정은 로그인이 가능한 활성화 계정 2206만개, 휴면·탈퇴 등 비활성화 계정 1737만개, 테스트 계정 11만개 등을 합쳐 3954만개(중복 포함)다. 동일인이 여러 계정을 가질 수 있는 구조여서 중복 계정이 다수 포함됐으며, 한 명이 최대 13개 계정을 보유한 사례도 확인됐다. 가입 경로별로는 티빙 자체가입 726만개, CJ ONE 통합회원 863만개, 네이버·카카오 등 SNS 간편가입 2247만개로 나타났다.

유출 항목은 아이디, 암호화된 비밀번호, 성명, 생년월일, 휴대전화번호, 이메일 주소, 연계정보(CI) 등 20개 항목 70종이다. 본인인증 과정에서 생성되는 연계정보(CI)를 보유한 계정 1904만개는 평균 11.1개 항목이 유출된 반면, CI 미보유 계정 2040만개는 평균 4.6개 항목이 유출돼 계정 특성에 따라 유출 규모에 차이가 있었다.

비밀번호는 일방향 암호화 상태로 유출돼 복호화가 불가능하지만, 휴대전화번호와 이메일 주소는 암호화키가 함께 유출돼 평문 수준으로 확인할 수 있는 상태였다. 개인정보 세부 유출 규모는 개인정보보호위원회가 추가 분석을 거쳐 별도로 발표할 예정이다.

이번 사고는 지난 5월 30일 티빙 데이터베이스 서버에 작업량이 몰리면서 시스템 과부하가 발생해 이상징후가 포착되며 드러났다. 티빙은 비인가자의 무단 접근 사실을 인지한 뒤 6월 1일 한국인터넷진흥원에 신고했고, 과기정통부는 6월 2일 현장조사에 착수해 6월 3일 민관합동조사단을 꾸려 조사를 진행했다.

조사단은 공격자가 개발환경 접속키를 탈취해 개발환경에 침투한 뒤, 소스코드 안에 하드코딩되거나 평문으로 저장돼 있던 운영환경 접속키를 확보해 운영환경까지 침투한 것으로 파악했다. 이후 데이터베이스 접속정보를 탈취해 1차로 정보유출을 시도했으나 서버 과부하로 이상징후가 감지돼 차단됐고, 다음날인 5월 31일 공격자가 가상서버를 생성해 중앙처리장치(CPU) 이용률을 낮게 유지하며 대규모 정보를 외부로 유출한 것으로 조사됐다.

조사단은 티빙의 키 관리체계 미비, 비정상 행위 탐지·모니터링 체계 부재, 전담인력 부족, 로그 관리 소홀 등을 사고 원인으로 지목했다. 티빙의 정보보호 전담인력은 개발인력 149명에 비해 4명 내외에 그쳤고, 2024년 모의해킹에서 접속키 하드코딩 취약점이 발견됐음에도 개선 조치가 이뤄지지 않았던 것으로 나타났다. 또 이상징후 발생 후 약 14시간이 지나서야 정보보호 최고책임자에게 상황이 공유된 사실도 확인됐다.

티빙은 침해사고를 인지한 시점으로부터 24시간이 지난 뒤에야 한국인터넷진흥원에 신고한 것으로 조사됐다. 정보통신망법상 침해사고 인지 후 24시간 이내 신고 의무를 위반한 것으로, 과기정통부는 관련 규정에 따라 최대 3000만원의 과태료를 부과할 예정이다.

과기부는 티빙에 재발방지 대책 이행계획을 9월 중 제출받고 10~12월 이행 상황을 거쳐 내년 1월부터 이행 여부를 점검할 계획이다. 점검 결과 보완이 필요하면 정보통신망법에 따라 시정조치를 명령할 방침이다.

아울러 개정 개인정보보호법이 오는 11일, 개정 정보통신망법이 10월 1일부터 각각 시행되면서 대규모 개인정보 유출 기업에 대한 징벌적 과징금 확대, 정부의 선제적 사고조사 권한 신설, 이행강제금 도입 등 기업의 책임을 강화하는 제도가 순차 적용될 예정이다.

biggerthanseoul@newspim.com