개발환경→운영환경→DB까지 5단계 침투…사고 신고도 24시간 넘겨 과태료 예정
[더파워 류동우 기자] 온라인동영상서비스(OTT) 티빙에서 이용자 계정 3954만개와 추천·검색 알고리즘 등을 담은 개발 프로젝트 361건이 외부로 유출된 것으로 조사됐다.
공격자는 개발자의 접속키 하나를 발판으로 개발환경에 들어간 뒤 소스코드에 남아 있던 운영환경 접속키와 평문으로 저장된 데이터베이스(DB) 접속정보를 차례로 확보해 이용자 정보까지 빼냈다.
과학기술정보통신부는 3일 정부서울청사에서 민관합동조사단의 티빙 침해사고 조사 결과를 발표하고 이 같은 사실을 확인했다고 밝혔다.
유출된 계정은 총 3954만개다. 로그인이 가능한 활성 계정이 2206만개, 휴면·탈퇴 계정 등 비활성 계정이 1737만개, 테스트 계정이 11만개로 집계됐다. 한 이용자가 여러 계정을 보유한 경우가 포함돼 있어 실제 개인정보 유출 인원과 세부 피해 규모는 개인정보보호위원회가 별도로 확정할 예정이다.
빠져나간 정보는 아이디와 비밀번호, 성명, 휴대전화번호, 이메일 주소, 생년월일, 연계정보(CI), 결제 이력, 제휴 서비스 정보, 환불 계좌번호 등 모두 20개 항목 70종이다. 비밀번호는 일방향 암호화돼 평문으로 복호화할 수 없는 상태였지만, 일부 휴대전화번호와 이메일 주소는 암호화키까지 함께 유출돼 사실상 평문이 유출된 것과 같은 수준으로 조사됐다.
이용자 정보만 유출된 것도 아니다. 맞춤형 콘텐츠 추천·검색 알고리즘과 이용자 관리·인증체계, 결제 관리, 유료 서비스 운영 등에 사용되는 소스코드가 포함된 개발 프로젝트 361건, 30.35GB 규모가 함께 빠져나갔다.
공격의 출발점은 개발자의 ‘개발환경 접속키’였다. 공격자는 사전에 탈취한 키를 이용해 지난 5월 29일 오후 2시 42분 개발환경에 들어간 뒤 361개 개발 프로젝트를 확보했다. 조사단은 해당 개발자의 노트북 8대와 PC 1대를 포렌식했지만 최초 접속키가 어떤 경로로 탈취됐는지는 특정하지 못했다.
문제는 개발 프로젝트 안에 운영환경으로 들어가는 열쇠까지 남아 있었다는 점이다. 조사단에 따르면 361개 프로젝트에는 운영환경 접속키 43개가 포함돼 있었고, 이 가운데 41개는 소스코드에 직접 입력돼 있었다. 일부 키는 별도 암호화 없이 평문 상태로 저장돼 있었으며 공격자는 이 가운데 2개를 실제 침투에 이용했다.
운영환경에 들어간 뒤에는 이용자 DB로 향했다. 내부 시스템을 탐색하던 공격자는 이용자 정보가 저장된 DB 접속 아이디와 비밀번호가 암호화되지 않은 채 저장돼 있는 것을 찾아냈고, 이를 이용해 개인정보 조회와 유출에 나섰다.
첫 시도는 한 차례 막혔다. 지난 5월 30일 오전 9시 22분 공격자가 DB에서 대량 정보를 빼내려 하면서 서버 중앙처리장치(CPU) 이용률이 100%까지 올라갔고 이상징후 알림이 발생했다. 티빙 보안팀이 이를 확인해 작업을 차단했다.
하지만 공격자는 다음 날 방식을 바꿔 다시 들어왔다. 가상서버 생성 권한이 있는 운영환경 접속키를 이용해 내부에 별도의 가상서버를 만든 뒤 DB 정보를 그곳에 모아 외부로 반출했다.
이 과정에서 이상징후 탐지를 피하기 위해 CPU 이용률을 10% 이내로 조절했고, 유출을 마친 뒤에는 공격에 사용한 가상서버까지 삭제한 것으로 조사됐다. 이용자 정보 유출 규모는 약 24GB다.
조사단은 사고가 커진 배경으로 티빙의 접속키와 권한 관리, 모니터링 체계 전반의 허점을 지목했다. 모든 개발자에게 전체 프로젝트 접근 권한이 부여돼 있었고, 2024년 자체 모의해킹에서 접속키 하드코딩 취약점을 확인하고도 조치하지 않은 사실도 드러났다.
정보보호 인력도 부족했던 것으로 나타났다. 티빙은 임직원 265명, 개발인력 149명 규모지만 외주 인력을 제외한 정보보호 전담인력은 4명에 그쳤다. 지난 5월 30일 이상징후가 발생한 뒤 사고 대응을 총괄하는 정보보호최고책임자(CISO)에게 상황이 전달되기까지도 약 14시간이 걸렸다.
침해사고 신고 역시 법정 기한을 넘겼다. 티빙은 지난 5월 31일 오전 10시 10분 사고를 인지했지만 한국인터넷진흥원(KISA) 신고는 6월 1일 오후 3시 8분에 이뤄졌다. 정보통신망법상 침해사고 인지 후 24시간 이내 신고 의무를 지키지 않은 것으로 확인돼 최대 3000만원의 과태료가 부과될 예정이다.
과기정통부는 티빙에 이달까지 재발 방지 이행계획을 제출하도록 요구하고 내년 1월부터 실제 개선 조치가 이행되고 있는지 점검할 방침이다.
류동우 더파워 기자 rdw2026@thepowernews.co.kr
이미지 확대보기
