“모의해킹 경고도 씹었다”…티빙, 3954만 계정 유출의 황당한 전말
- 개발자 접속키 소스코드에 방치…전사 보안 인력 단 4명에 늑장 신고까지
- 이용자 CI·개인정보 70종 노출…정부, 법정 신고 기한 초과에 과태료 부과
국내 대표 온라인동영상서비스(OTT) 티빙에서 4,000만 건에 육박하는 대규모 계정 정보가 유출되는 사태가 발생했다. 특히 사전에 실시한 모의해킹에서 동일한 보안 취약점을 발견하고도 이를 바로잡지 않은 채 방치한 사실이 밝혀져 인재(人災)라는 비판이 거세지고 있다.
과학기술정보통신부 민관합동조사단에 따르면, 해커는 사전에 탈취한 개발환경 접속키로 내부 망에 침투한 뒤 소스코드에 암호화 없이 적혀 있던 운영 시스템 접속키까지 연쇄적으로 확보했다. 서버와 데이터베이스(DB) 출입문 역할을 하는 디지털 열쇠가 소스코드 내에 그대로 노출되어 있던 점이 결정적 침입 통로가 됐다. 이 공격으로 서비스 핵심인 추천·검색 알고리즘과 결제 시스템이 담긴 개발 프로젝트 361건(30.35GB)과 이용자 데이터가 외부에 노출됐다.
유출된 계정은 중복 사례를 포함해 총 3,954만 6,97개로 집계됐다. 현재 이용 중인 활성 계정 2,206만 개를 비롯해 휴면 및 탈퇴 계정 1737만 개가 한꺼번에 털렸다. 유출 항목에는 이름, 생년월일, 전화번호, 이메일은 물론 본인확인 암호화 값인 연계정보(CI) 등 총 70종의 세부 정보가 포함됐다. 특히 CI가 저장된 1,904만 개 계정에서는 10개가 넘는 세부 항목이 한꺼번에 빠져나간 것으로 파악됐다. 다만 비밀번호와 환불 계좌번호는 암호화 처리되어 직간접적인 금융 피해로까지는 이어지지 않았다.
이번 사고는 허술한 내부 관리 실태를 그대로 드러냈다. 전체 개발 인력이 149명에 달했던 반면 전사 정보보호를 담당하는 전담 인력은 4명 안팎에 불과했다. 대용량 데이터가 외부로 빠져나가는 상황을 실시간으로 감지하는 모니터링 체계조차 갖추지 않았다. 무엇보다 2024년 모의해킹 당시 접속키 관리 부실에 대한 경고를 받았음에도 적절한 후속 조치를 이행하지 않은 점이 조사 결과 확인됐다.
늑장 대응에 따른 사후 제재도 면하기 어렵게 됐다. 티빙은 침해 사고를 인지하고도 법정 신고 시한인 24시간을 5시간가량 넘겨 29시간 만에 당국에 신고했다. 과기정통부는 정보통신망법 위반에 따른 과태료를 부과할 방침이며, 개인정보보호위원회 역시 과징금 부과와 개인정보보호법 위반 여부를 두고 별도 조사를 진행 중이다. 최주희 대표를 비롯한 티빙 경영진은 공식 사과와 함께 피해 이용자를 위한 보상안 및 보안 강화 대책을 내놓을 예정이다.