온라인동영상서비스(OTT) 티빙에서 유출된 이용자 계정이 4천만개에 육박한 것으로 드러났다.
공격자는 개발자 한 명의 접속키를 탈취한 뒤 소스코드에 그대로 노출돼 있던 또 다른 접속키를 이용해 내부 시스템에 침투했다. 티빙은 1차 개인정보 유출 시도를 차단하고도 이를 해킹이 아닌 시스템 이상으로 판단했고, 이튿날 다른 접속키를 이용한 2차 공격에 뚫리면서 보유 계정이 사실상 모두 털렸다.
사고 신고도 정부 조사단이 판단한 인지 시점부터 약 29시간 만에 이뤄져 법정시한을 5시간가량 넘겼다.
티빙 보유 계정 몽땅 유출…최소 1300만명
과학기술정보통신부 민관합동조사단은 3일 티빙 침해사고 조사 결과 계정 3954만개와 소스코드가 담긴 개발 프로젝트 361건이 유출됐다고 밝혔다.당시 티빙이 보유한 계정이 사실상 몽땅 유출된 것이다. 로그인 가능한 활성 계정 2206만개를 비롯해 휴면·탈퇴 계정 1737만개와 테스트 계정 11만개까지 빠져나갔다.
앞서 티빙이 개인정보보호위원회에 신고한 유출 규모는 1953만명이었다. 반면 조사단이 중복 계정을 포함해 집계한 계정 수는 모두 3954만개에 달했다.
가입 방식은 SNS 간편가입 2247만개, CJ ONE 863만개, 티빙 자체가입 726만개, 기타 118만개였다.
임정규 조사단장(과기정통부 정보보호네트워크정책관)은 브리핑에서 "티빙은 성장 과정에서 중복성을 초기에 체크하지 않은 것으로 판단된다"며 "동일인이 여러 방법으로 계속 가입할 수 있었다"고 말했다. 실제 한 사람이 최대 13개 계정을 보유한 사례도 확인됐다.
조사단은 실제 유출 인원을 추리기 위해 연계정보(CI)를 대조했다. CI는 본인확인기관이 주민등록번호 대신 개인을 식별하도록 부여하는 정보다.
CI를 보유한 계정 1904만개 가운데 약 580만개가 중복으로 확인돼 중복을 제외하면 1324만개였다. 다만 CI가 없는 계정 2040만개는 이들 사이의 중복은 물론 CI 보유 계정과의 중복 여부도 확인할 수 없었다. 이에 따라 최종 개인정보 유출 인원은 개인정보보호위원회가 추가 조사를 거쳐 확정할 예정이다.
유출 정보는 아이디와 성명, 생년월일, 휴대전화번호, 이메일 주소, CI 등 20개 항목 70종이다.
휴대전화번호와 이메일 주소 일부는 암호화돼 있었지만 이를 풀 수 있는 암호화키도 함께 유출돼 조사단은 평문으로 유출된 것과 같은 수준으로 판단했다. 비밀번호는 원래 값으로 되돌릴 수 없는 일방향 방식으로 암호화돼 있었다.
소스코드에 꽂아둔 '열쇠'…361개 프로젝트 통째로
침투는 개발자 한 명의 '개발환경 접속키'가 탈취되면서 시작됐다.
공격자는 이 접속키 하나로 개발환경에 들어갔다. 모든 개발자에게 전체 프로젝트 접근 권한이 열려 있어 소스코드가 담긴 개발 프로젝트 361건 전체를 가져갈 수 있었다.
조사단은 피싱과 악성코드, 공급망 공격, 접속키 오남용, 취약점 악용 등 다양한 공격 시나리오를 분석했지만 최초 접속키가 어떤 경로로 탈취됐는지와 공격자의 신원은 확인하지 못했다.
현재 경찰도 이번 사건을 수사 중이다. 조사단은 향후 경찰 수사를 통해 공격자의 신원과 구체적인 침투 경위가 밝혀질 것으로 기대한다고 설명했다.
더 큰 문제는 유출된 소스코드 안에 운영환경으로 들어가는 또 다른 '열쇠'까지 들어 있었다는 점이다.
티빙의 개발 프로젝트 361건에는 운영환경 접속키 43개가 포함돼 있었다. 이 가운데 41개는 소스코드에 그대로 집어넣는 이른바 '하드코딩' 방식으로 노출돼 있었고, 일부는 별도의 암호화 없이 평문으로 저장돼 있었다. 공격자는 이 가운데 2개를 실제 공격에 사용했다.
내부 데이터베이스에 접속하는 아이디와 비밀번호마저 암호화하지 않은 채 평문으로 저장돼 있어 공격자는 이를 확보해 이용자 정보에 접근했다.
보안 관리도 허술했다. 접속키를 사내 메신저로 공유하면서도 발급·사용·변경·폐기 등을 관리하는 절차가 없었고, 임직원 265명 가운데 개발 인력이 149명에 달한 반면 자체 정보보호 전담인력은 4명 안팎에 불과했다.
특히 티빙은 2024년 모의해킹에서 접속키가 소스코드에 노출된 취약점을 이미 발견하고도 개선하지 않은 것으로 조사됐다. 일부 시스템의 접속기록도 불과 6일만 보관하고 있었다.
1차 공격 막고도 "시스템 이상"…다음 날 3954만 계정 털렸다
티빙이 대규모 유출을 막을 기회도 있었다. 공격자는 지난 5월 30일 확보한 접속키와 데이터베이스 접속정보를 이용해 1차 정보유출을 시도했다.이 과정에서 데이터베이스 서버의 CPU 사용률이 100%까지 치솟으면서 이상징후 경보가 발생했고 티빙은 해당 작업을 차단했다.
하지만 티빙은 이를 해킹이 아닌 일반적인 시스템 과부하로 판단했다. 임정규 조사단장은 "CPU 과다 사용으로 봤고 이것을 해킹으로 보지 않았다"며 "접속 차단 외에 추가적인 조치를 안 했고 그래서 2차적인 추가 사건이 발생하게 된 것"이라고 설명했다.
공격자는 이튿날 다른 운영환경 접속키를 이용해 내부에 가상서버를 만들었다. 이번에는 CPU 점유율을 10% 이내로 유지해 이상징후 경보를 피했다.
결국 이용자 정보 24GB를 가상서버에 옮긴 뒤 해외 서버로 빼냈고, 흔적을 없애기 위해 가상서버까지 삭제했다.
조사단은 티빙에 네트워크와 데이터 흐름을 실시간으로 탐지·차단하는 체계가 있었다면 대규모 이용자 정보 유출까지 이르지 않았을 것으로 판단했다.
신고도 5시간 늦어…최대 3천만원 과태료
사고 신고도 법정시한을 넘겼다. 조사단은 티빙 정보보안팀에 운영환경 접속키 탈취와 정보유출 의심 상황이 공유된 5월 31일 오전 10시 10분을 사고 인지 시점으로 판단했다.
하지만 티빙이 한국인터넷진흥원(KISA)에 신고한 시각은 이튿날인 6월 1일 오후 3시 8분이었다. 사고 인지 후 약 29시간이 지나 법정 신고기한인 24시간을 약 5시간 넘긴 것이다.
과기정통부는 정보통신망법에 따라 티빙에 최대 3천만원의 과태료를 부과할 예정이다.
다만 조사단은 신고 이후에는 정상적인 대응 조치가 이뤄졌으며, 티빙이 사고를 고의로 숨기거나 신고를 의도적으로 늦춘 정황은 확인되지 않았다고 설명했다.
현재까지 유출된 개인정보를 이용한 스미싱이나 보이스피싱 등 2차 피해 사례는 확인되지 않았다. 다크웹 등을 통한 불법 거래나 유통 정황도 발견되지 않았다.