3일 오후 정부서울청사에서 임정규 과기정통부 정보보호네트워크정책관이 티빙 해킹에 대한 민관합동조사단 조사결과를 발표하고 있다. 심화영기자

[대한경제=심화영 기자] 온라인동영상서비스(OTT) 티빙(TVING)에서 이용자 계정 약 3954만개(중복 포함)와 핵심 개발 소스코드가 유출되는 대형 보안 사고가 발생했다. 특히 개인정보 복호화가 가능한 암호화키까지 함께 탈취돼 일부 개인정보가 사실상 평문 상태로 외부에 노출된 것과 다름없는 것으로 조사됐다.

과학기술정보통신부는 3일 정부서울청사에서 민관합동조사단의 티빙 침해사고 조사 결과를 발표했다. 조사 결과 유출된 계정은 중복을 포함해 총 3954만개로 집계됐다. 이 가운데 실제 로그인이 가능한 활성 계정은 2206만개이며, 나머지는 비활성(휴면·탈퇴) 계정 1737만개, 테스트 계정 11만개다. 다만 연계정보(CI) 기준 중복 사례도 상당수 포함돼 있어 '3954만건 유출'을 실제 피해 이용자 수로 봐서는 안 된다는 게 조사단의 설명이다.

유출된 개인정보는 성명, 생년월일, 휴대전화번호, 이메일 주소, CI 등 20개 항목(70종)에 달했다. 특히 휴대전화번호와 이메일 주소는 일부 암호화된 상태로 저장돼 있었지만 이를 풀 수 있는 암호화키가 함께 유출되면서 사실상 평문 상태로 외부에 노출된 것과 다름없는 수준으로 평가됐다.

반면 비밀번호는 애초 복호화가 불가능한 일방향 암호화 방식으로 저장돼 있어 이번 사고로 비밀번호 원문이 직접 노출되지는 않은 것으로 조사됐다.

개인정보뿐 아니라 티빙의 핵심 기술자산인 개발 프로젝트도 대거 유출됐다. 개인정보가 포함된 소스코드를 포함해 총 361건, 30.35GB 규모의 개발 프로젝트가 1·2차 공격을 거쳐 외부로 빠져나간 것으로 조사됐다.

사고의 결정적 원인은 접속키 관리 부실이었다. 공격자는 티빙 개발자가 보유하고 있던 개발환경 접속키를 탈취해 내부 시스템에 침투했다. 이후 소스코드에 포함돼 있던 운영환경 접속키까지 추가로 확보하면서 운영 데이터베이스 접근 정보를 빼낸 것으로 파악됐다.

정부 조사단은 이 과정에서 △키 관리체계 미비 △이상행위 모니터링 부재 △정보보호 전담인력 부족 △2024년 모의해킹에서 발견된 취약점(접속키 하드코딩 등) 미조치 등 전사적인 정보보호 관리체계의 문제를 확인했다.

침해사고 신고도 지연됐다. 티빙은 침해사고를 인지한 5월 31일 오전 10시 10분으로부터 24시간을 넘긴 6월 1일 오후 3시 8분에야 한국인터넷진흥원(KISA)에 신고했다. 이에 따라 정보통신망법 위반에 따른 과태료(최대 3000만원) 처분 대상이 됐다.

이는 신고 지연에 따른 과태료로, 개인정보 유출 자체에 대한 과징금과는 별개다. 유출에 따른 과징금 부과 여부와 규모는 개인정보보호위원회가 세부 유출 규모 등을 확정한 뒤 별도로 결정할 예정이다.

온라인동영상서비스(OTT) 티빙이 3천954만개 계정 정보가 유출된 대규모 개인정보 침해 사고에 대해 공식 사과하고 2030년까지 정보보호 투자를 직전 5년의 4배로 확대하는 등 보안 체계를 전면 재구축하기로 했다.

이날 티빙은 서울 광화문 코리아나호텔에서 설명회를 열고, 민관합동조사단의 최종 조사 결과에 따른 재발 방지 대책과 고객 보상 계획을 발표했다. 최주희 티빙 대표는 “이번 침해 사고로 고객 여러분께 심려와 불안을 끼쳐드린 점 진심으로 사과드린다”며 “전한 서비스를 제공하지 못한 데 대해 대표이사로서 무거운 책임을 느낀다”고 말했다.

이어 “조사 결과를 겸허히 받아들이고 필요한 시정 조치와 재발 방지 대책을 끝까지 이행하겠다”며 “보안 체계 전반을 근본부터 다시 세우겠다”고 밝혔다.

티빙은 오는 2030년까지 정보보호 투자를 직전 5년 대비 약 4배로 확대할 계획이다.  아울러 내부 정보보호 인력을 연말까지 10명 수준으로 늘리고 향후 5년 간 내외부 전문 인력을 현재의 약 3배 수준으로 늘린다는 방침이다.

심화영 기자 dorothy@

〈ⓒ 대한경제신문(www.dnews.co.kr), 무단전재 및 수집, 재배포금지〉