#티빙

• 개발자 접속키 소스코드에 방치…전사 보안 인력 단 4명에 늑장 신고까지
• 이용자 CI·개인정보 70종 노출…정부, 법정 신고 기한 초과에 과태료 부과

국내 대표 온라인동영상서비스(OTT) 티빙에서 4,000만 건에 육박하는 대규모 계정 정보가 유출되는 사태가 발생했다. 특히 사전에 실시한 모의해킹에서 동일한 보안 취약점을 발견하고도 이를 바로잡지 않은 채 방치한 사실이 밝혀져 인재(人災)라는 비판이 거세지고 있다.

과학기술정보통신부 민관합동조사단에 따르면, 해커는 사전에 탈취한 개발환경 접속키로 내부 망에 침투한 뒤 소스코드에 암호화 없이 적혀 있던 운영 시스템 접속키까지 연쇄적으로 확보했다. 서버와 데이터베이스(DB) 출입문 역할을 하는 디지털 열쇠가 소스코드 내에 그대로 노출되어 있던 점이 결정적 침입 통로가 됐다. 이 공격으로 서비스 핵심인 추천·검색 알고리즘과 결제 시스템이 담긴 개발 프로젝트 361건(30.35GB)과 이용자 데이터가 외부에 노출됐다.

유출된 계정은 중복 사례를 포함해 총 3,954만 6,97개로 집계됐다. 현재 이용 중인 활성 계정 2,206만 개를 비롯해 휴면 및 탈퇴 계정 1737만 개가 한꺼번에 털렸다. 유출 항목에는 이름, 생년월일, 전화번호, 이메일은 물론 본인확인 암호화 값인 연계정보(CI) 등 총 70종의 세부 정보가 포함됐다. 특히 CI가 저장된 1,904만 개 계정에서는 10개가 넘는 세부 항목이 한꺼번에 빠져나간 것으로 파악됐다. 다만 비밀번호와 환불 계좌번호는 암호화 처리되어 직간접적인 금융 피해로까지는 이어지지 않았다.

이번 사고는 허술한 내부 관리 실태를 그대로 드러냈다. 전체 개발 인력이 149명에 달했던 반면 전사 정보보호를 담당하는 전담 인력은 4명 안팎에 불과했다. 대용량 데이터가 외부로 빠져나가는 상황을 실시간으로 감지하는 모니터링 체계조차 갖추지 않았다. 무엇보다 2024년 모의해킹 당시 접속키 관리 부실에 대한 경고를 받았음에도 적절한 후속 조치를 이행하지 않은 점이 조사 결과 확인됐다.

늑장 대응에 따른 사후 제재도 면하기 어렵게 됐다. 티빙은 침해 사고를 인지하고도 법정 신고 시한인 24시간을 5시간가량 넘겨 29시간 만에 당국에 신고했다. 과기정통부는 정보통신망법 위반에 따른 과태료를 부과할 방침이며, 개인정보보호위원회 역시 과징금 부과와 개인정보보호법 위반 여부를 두고 별도 조사를 진행 중이다. 최주희 대표를 비롯한 티빙 경영진은 공식 사과와 함께 피해 이용자를 위한 보상안 및 보안 강화 대책을 내놓을 예정이다.

1/6. 무슨 일이 있었나?

티빙 개인정보 유출 사고의 피해 범위가 티빙 자체 가입자에 그치지 않고 KT·네이버·카카오 등 제휴 채널을 통해 가입한 이용자에게까지 확산된 것으로 14일 확인됐다. 국회 과학기술정보방송통신위원회 소속 더불어민주당 이정헌 의원실은 이날 과학기술정보통신부와 개인정보보호위원회로부터 제출받은 자료를 근거로 이 같은 사실을 공개했다. 자료에 따르면 티빙과 제휴를 맺은 플랫폼과 통신사를 거쳐 가입하거나 서비스를 이용한 고객들도 이번 유출 피해에 포함된 것으로 파악됐다.

2/6. 네이버·카카오 간편로그인 이용자는 어떻게 됐나?

네이버와 카카오의 간편로그인을 이용해 티빙에 연동 가입한 회원들의 개인정보 유출도 확인됐다. 간편로그인으로 계정을 연동하는 과정에서 이용자의 이름, 이메일, 휴대전화번호 등 본인인증 정보가 티빙 서버에 전송·저장돼 있었고, 이번 해킹으로 SNS 계정 정보와 함께 유출된 것으로 나타났다. 다만 업계 관계자는 간편로그인 연동 시 넘어가는 정보 수준이 티빙 회원가입 시 필수로 입력하는 정보와 동일해, 간편로그인을 이용했다는 사실만으로 추가 정보가 더 유출된 것은 아니라고 설명했다.

3/6. KT 이용권 고객은 왜 유출 대상에 포함됐나?

KT를 통해 티빙 서비스를 이용한 고객들도 이번 사고를 피하지 못했다. KT는 올해 초 발생한 자사 개인정보 유출 사고의 보상 차원으로 고객들에게 티빙 이용권을 지급한 바 있는데, 이용권을 받은 58만6천여명 가운데 실제로 서비스를 이용한 41만6천여명의 개인정보가 이번 유출 대상에 함께 포함된 것으로 확인됐다.

4/6. 이에 대한 KT의 입장은?

KT 측은 이번 유출 사고가 CJ ENM이 운영하는 티빙 자체 데이터베이스에 대한 외부 침입으로 발생한 것으로, 자사 시스템과는 무관하다는 입장을 밝혔다. KT는 티빙의 개인정보 처리시스템을 운영하거나 접근할 권한이 없으며, 이용권을 제공하는 과정에서 고객 개인정보를 티빙 측에 넘기거나 위탁한 사실도 없다고 강조했다. 고객에게 제공한 것은 개인정보가 아닌 무작위로 발급된 이용권 코드였을 뿐이며, 제휴 서비스의 특성상 제휴사에서 발생한 보안 사고를 사전에 통제하는 데는 한계가 있었다는 설명도 덧붙였다.

5/6. 다른 제휴 채널 이용자도 위험할 수 있나?

티빙은 이들 기업 외에도 SK텔레콤, LG유플러스 등 통신사 결합상품과 SSG닷컴, 디즈니플러스 등 다양한 제휴 채널을 통해 가입한 회원들의 본인인증 정보를 보유하고 있는 것으로 알려졌다. 이 때문에 정부 민관합동조사단의 조사가 정밀해질수록 제휴 서비스를 거친 피해 고객 규모가 추가로 늘어날 가능성이 있다는 관측도 나온다.

6/6. 전체 피해 규모와 소송 현황은?

지난달 22일 기준으로 집계된 티빙 개인정보 유출 사고의 피해 규모는 1천953만명으로, 국내 개인정보 유출 사고 중 쿠팡(약 3천756만명), 싸이월드·네이트(약 3천500만명), SK텔레콤(약 2천324만명)에 이어 역대 네 번째로 큰 규모로 집계됐다. 유출 항목에는 아이디, 이름, 생년월일, 비밀번호, 환불 계좌번호는 물론 ‘온라인 주민등록번호’로 불리는 연계정보(CI)와 중복가입확인정보(DI)까지 포함돼 명의 도용 등 2차 피해 우려도 함께 제기돼 왔다. 이런 가운데 피해자들을 대리한 손해배상 청구 소송 참여 신청자는 지난달 중순 기준 7만명을 넘어섰으며, 소송을 대리하는 법무법인은 향후 참여 인원이 최대 10만명 수준까지 늘어날 것으로 내다보고 있다.