[이슈밸리=박지영 기자] 국내 대표 온라인동영상서비스(OTT) 업체 티빙에서 약 3954만 개의 이용자 계정과 소스코드가 포함된 개발 프로젝트 361건이 유출된 것으로 확인됐다.

과학기술정보통신부는 3일 정부서울청사에서 민관합동조사단의 티빙 침해사고 조사 결과를 발표했다.

조사 결과 유출된 계정은 로그인 가능한 활성 계정 2206만 개, 휴면·탈퇴 상태인 비활성 계정 1737만 개, 테스트 계정 11만 개 등 총 3954만 개로 파악됐다.

다만 동일인이 최대 13개의 계정을 보유한 사례가 확인되는 등 중복 계정이 다수 포함돼 있어 실제 피해 이용자 수와는 차이가 있을 수 있다. 개인정보별 최종 유출 규모는 개인정보보호위원회가 별도 조사해 확정할 예정이다.

가입 경로별로는 네이버·카카오·페이스북·애플·엑스(X) 등 소셜미디어 간편가입 계정이 2247만 개로 가장 많았다. CJ ONE 통합회원은 863만 개, 티빙 자체가입 계정은 726만 개로 조사됐다.

유출 정보에는 아이디와 암호화된 비밀번호를 비롯해 성명, 생년월일, 휴대전화번호, 이메일 주소, 연계정보(CI) 등 20개 항목·70종의 정보가 포함됐다.

비밀번호는 일방향으로 암호화돼 복호화가 불가능한 상태였지만 휴대전화번호와 이메일 주소는 암호화키가 함께 유출됐다. 조사단은 암호화된 정보와 이를 해제할 수 있는 키가 함께 빠져나간 만큼 사실상 평문이 유출된 것과 같은 수준으로 판단했다.

CI를 보유한 계정 1904만 개에서는 계정당 평균 11.1개 항목·17.6종의 정보가 유출됐다. CI 미보유 계정 2040만 개에서는 평균 4.6개 항목·5.9종이 유출된 것으로 나타났다.

개인정보뿐 아니라 티빙의 서비스 운영과 관련된 기술 자산도 대규모로 빠져나갔다.

조사단은 소스코드가 포함된 개발 프로젝트 361건, 총 30.35GB 규모의 자료가 외부로 유출된 사실을 확인했다.

유출된 프로젝트에는 이용자 맞춤형 콘텐츠 추천·검색 알고리즘과 이용자 관리·인증체계, 결제 관리, 유료 서비스 운영 등 핵심 기술 자산이 포함됐다.

조사단에 따르면 공격자는 지난 5월 29일부터 31일까지 사전에 탈취한 개발자의 ‘개발환경 접속키’를 이용해 티빙 개발환경에 무단으로 접속했다.

이어 소스코드 내부에 저장돼 있던 ‘운영환경 접속키’ 43개를 추가로 확보한 뒤 아마존웹서비스(AWS) 기반 운영환경까지 침투한 것으로 조사됐다.

공격자는 5월 30일 이용자 정보 유출을 처음 시도했다. 당시 DB 서버에 과부하가 발생하면서 이상징후 알림이 울렸고 티빙은 해당 접근을 차단했다.

그러나 공격자는 이튿날인 31일 운영환경에 가상서버를 새로 생성한 뒤 이용자 정보 24GB를 한꺼번에 저장해 외부 서버로 유출했다. 이후 침투 흔적을 없애기 위해 해당 가상서버를 삭제한 것으로 파악됐다.

조사단은 티빙의 접속키와 비밀번호 관리체계에서 다수의 문제점을 확인했다.

티빙은 운영환경 접속키를 별도의 보안 저장 공간에 분리하지 않고 소스코드 내부에 암호화하지 않은 상태로 직접 입력하는 이른바 ‘하드코딩’ 방식으로 관리했다.

개발환경에서 프로그램을 구동하기 위한 환경변수도 별도 암호화 처리 없이 평문으로 보관했다. 이용자 정보가 저장된 DB에 접근할 수 있는 아이디와 비밀번호 역시 암호화하지 않은 상태였던 것으로 조사됐다.

앞서 2024년 실시된 모의해킹에서도 하드코딩 관련 취약점이 발견됐지만 개선 조치가 이뤄지지 않은 것으로 나타났다.

티빙의 전체 임직원은 265명, 개발인력은 149명이었으나 외주 인력을 제외한 정보보호 전담인력은 4명 안팎에 그쳤다.

시스템 접속기록 관리도 미흡했다. 티빙은 로그를 선별적으로 저장·관리했고 신규 가상사설망(VPN) 장비에는 접속기록을 6일 동안만 보관한 것으로 확인됐다.

조사단은 개발자 단말기 포렌식 등을 통해 최초 접속키 탈취 경로를 분석했지만 제한적인 로그 보관 등의 영향으로 정확한 경로를 확인하지 못했다고 밝혔다. 티빙의 침해사고 신고가 법정 기한을 넘긴 사실도 확인됐다.

정보통신망법에 따르면 사업자는 침해사고를 인지한 뒤 24시간 이내에 관계 기관에 신고해야 한다.

조사단은 티빙이 사고를 인지한 시점을 5월 31일 오전 10시 10분으로 판단했다. 그러나 티빙은 24시간이 지난 6월 1일 오후 3시 8분에 한국인터넷진흥원(KISA)에 신고했다.

과기정통부는 정보통신망법에 따라 티빙에 최대 3000만원의 과태료를 부과할 예정이다.

아울러 티빙에 이달까지 재발 방지 대책과 이행계획을 제출하도록 요구하고 내년 1월부터 개선 조치가 제대로 이행됐는지 점검할 방침이다.

오는 11일부터는 반복적이거나 중대한 과실로 대규모 개인정보 유출 사고를 일으킨 사업자에게 전체 매출액의 최대 10%까지 과징금을 부과할 수 있는 개정 개인정보보호법이 시행된다.

다만 티빙 사고는 개정법 시행 전에 발생해 강화된 과징금 규정이 이번 사건에 직접 적용될지는 개인정보위의 법률 검토와 조사 결과를 지켜봐야 한다.

다음 달 1일 시행되는 개정 정보통신망법에는 사업자의 정보보호 인력·예산 확보 의무와 정부의 선제적 조사 착수 근거, 시정조치 불이행에 대한 이행강제금 제도 등이 담겼다.