[IT동아 김예지 기자] 과학기술정보통신부(과기정통부)가 지난 5월 30일 발생한 OTT 플랫폼 티빙(TVING)의 침해사고에 대한 민관합동조사단의 조사 결과를 3일 발표했다. 이번 사고는 해커가 티빙 개발자의 접속키를 탈취해 내부 시스템에 침투하면서 발생했으며, 티빙 전체에 해당하는 3954만 개 계정 정보가 유출된 것으로 조사됐다.

티빙은 같은 날 서울 광화문 코리아나호텔에서 설명회를 열고 피해 고객 보상안과 중장기 정보보호 혁신 방안을 공개했다. 티빙은 고객 보상으로 안심보험 패키지 및 쿠폰을 지급하고, 오는 2030년까지 정보보호 투자액을 직전 5년 대비 약 4배로 늘리며, 보안 전문인력을 5년 내 3배 수준으로 확충하겠다고 밝혔다.

석 달간 정밀 포렌식, 결과는

앞서 티빙은 데이터베이스(DB) 서버 과부하 원인을 점검하던 중, 비인가자의 무단 접근 및 정보 조회 정황을 포착하고 6월 1일 한국인터넷진흥원(KISA)에 침해사고를 신고했다. 이에 조사단은 석 달여간 개발자 단말기 9대에 대한 디지털 포렌식과 정보보호 관리체계 점검을 병행해 진행했다.

조사 결과 유출된 계정은 총 3954만 개로 집계됐다. 구체적으로 ▲로그인 가능한 활성화 계정 2206만 개 ▲휴면·탈퇴 등 비활성화 계정 1737만 개(휴면 850만, 탈퇴 887만) ▲테스트 계정 11만 개다. 가입 경로별로는 ▲티빙 자체가입 726만 개 ▲CJ ONE 통합회원 863만 개 ▲SNS 간편가입(네이버·카카오·페이스북·애플·X 등) 2247만 개 ▲기타 118만 개로 파악됐다.

이는 알려진 피해 규모 1954만 명을 웃도는 수치다. 티빙이 개인정보보호위원회(개인정보위)에 제출했던 초기 신고치는 중복을 제거하고 산정한 수치로, 집계 방식과 시점이 달랐다. 티빙은 가입 경로 간 중복 필터링 시스템이 미비해, 단일 이용자가 최대 13개의 계정을 보유한 사례도 확인됐다.

계정 유형에 따라 유출된 정보의 범위도 달랐다. 본인인증 과정에서 생성되는 연계정보(CI)를 보유한 계정은 미보유 계정보다 평균 11.1개 항목(17.6종)의 정보가 더 유출됐다. 조사단이 CI가 존재하는 계정 1904만 개를 대상으로 중복을 제거한 결과 실제 이용자는 1324만 명으로 축소되어, 약 580만 개가 중복 계정인 것으로 파악됐다. 그러나 CI가 없는 2040만 개 계정은 중복 여부를 확인할 수 없어 정확한 정밀 피해 규모는 개인정보위의 추가 분석 후 발표될 예정이다.

유출 항목은 아이디, 비밀번호, CJ ONE 통합ID, 성명, 휴대전화 번호, 이메일, 생년월일, 연계정보(CI) 등 총 20개 항목(70종)에 달한다. 비밀번호는 일방향 암호화 처리돼 복호화가 불가능했으나, 휴대전화 번호와 이메일 주소는 암호화키가 함께 유출되어 복호화 위험에 노출된 것으로 나타났다.

또한 기술자산 피해도 이어져 콘텐츠 추천·검색 알고리즘, 이용자 인증체계, 결제 관리 로직 등 티빙의 핵심 소스코드가 포함된 개발 프로젝트 361건(30.35GB)이 유출됐다. 조사단은 이를 토대로 새로운 취약점을 발굴하고 2차 공격에 악용할 가능성을 경고했으나, 현재까지 추가 공격 정황이나 다크웹 등을 통한 불법 유통 흔적은 발견되지 않았다고 밝혔다.

부실한 키 관리 등 보안 구멍 탓

조사단은 공격자가 티빙 개발자의 개발환경 접속키를 탈취해 내부 개발 및 운영 시스템에 침투한 사실을 확인했다. 다만 최초의 접속키 탈취 경로에 대해서는 규명하지 못했다. 조사단은 “피싱, 악성코드, 공급망 공격, 접속키 공유·오남용, 시스템 취약점 악용 등 시나리오를 검증했으나, 로그 보관 기간 경과 등으로 인해 이를 입증할 근거를 찾지 못했다”고 설명했다. 관련 사안은 현재 경찰 수사가 진행 중이다.

탈취에 성공한 해커는 361개 개발 프로젝트 소스코드 내에 평문으로 남아있던 43개의 운영환경 접속키를 추가 확보했다. 개발 편의를 위해 접속키를 코드에 그대로 작성(하드코딩)하거나 암호화 없이 저장해 둔 허점이 결정적 원인이 됐다. 해커는 이를 바탕으로 운영 데이터베이스(DB) 접속 정보를 확보했다.

1차 침투 당시 해커가 클라우드 저장소에 스크립트를 심고 DB 접속을 시도하자 서버 CPU 이용률이 100%까지 치솟으며 시스템 이상징후 알람이 발생했다. 알람 이후 티빙이 상황을 파악하는 도중, 해커는 2차 시도를 감행했다. 다른 키를 활용해 운영환경 내 가상서버에 이용자 정보를 옮긴 후 외부로 반출했고, 가상서버를 삭제했다. 다만 서버 위치와 공격자 신원 확보 조사는 경찰 조사가 추가 진행될 예정이다.

총체적 정보보호 부실 드러나

조사단은 ▲키 관리 체계 미비 ▲비정상 행위 탐지·대응 및 모니터링 체계 부재 ▲정보보호 거버넌스 미흡 ▲정보보호 활동 미흡 ▲침해사고 신고 지연 등 티빙의 정보보호 체계 전반에 걸친 문제점을 지적했다. 접속키를 소스코드에 평문으로 노출한 것 외에도 사내 메신저를 통해 키를 공유한 정황이 포착됐다. 아울러 업무 필요에 따라 최소한으로 부여해야 할 접근 권한을 모든 개발자에게 전면 허용해, 단 하나의 접속키 탈취만으로 361개 전체 프로젝트가 노출되는 구조적 한계를 안고 있었다. 키를 관리하는 기본 절차조차 부재했다.

또한 CPU 과부하 같은 단순 지표 외에 네트워크 및 데이터 흐름을 실시간 제어하거나 비인가 접속을 차단하는 정책이 없었다. 심지어 1차 공격 당시 발생한 CPU 과부하 알람이 아니었다면 사고를 훨씬 늦게 알아챘을 가능성이 컸다.

인력 및 조직 운영 측면에서도 외주 인력을 제외한 티빙의 정보보호 전담 인력은 4명 안팎에 불과해 상시 관제와 취약점 점검을 수행하기에 턱없이 부족했다. 이상징후 최초 감지 후 정보보호최고책임자(CISO)와 전담 조직에 공유되기까지는 14시간이나 소요됐다. 티빙은 2024년 자체 모의해킹에서 접속키 노출 취약점이 이미 지적됐음에도 개선 조치를 취하지 않았다. 신규 장비 로그 접속 기록은 6일치에 불과했고, 업무용 PC의 백신 미비 등 기본적인 보안 점검도 미흡했던 것으로 나타났다.

조사단은 ▲키 관리·통제 체계 구축 ▲이상행위 탐지 및 모니터링 강화 ▲보안 인력·예산 확충 ▲로그 관리 정책 수립 및 정기 취약점 점검을 재발방지 대책으로 요구했다. 티빙은 오는 9월 중 이행계획을 제출해야 하며, 과기정통부는 10월부터 12월까지 이행 여부를 점검할 예정이다.

티빙, 고객 보상안 발표…2030년까지 보안 투자 4배 확대

사고 결과 발표 직후 티빙은 설명회를 열고 피해 고객 보상 패키지와 보안 혁신 방안을 제시했다. 보상 패키지는 ▲해킹·피싱 안심보험(1년 무상 제공, 최대 300만 원 보상) ▲프리미엄급 시청환경 무상 업그레이드(3개월) ▲티빙 50포인트(5000원 상당) 지급 ▲엔터테인먼트 쿠폰(웨이브 광고형 스탠다드 1개월 이용권(5500원) 또는 CGV 콤보 할인권 중 택1)으로 구성됐다. 보상 신청은 티빙 홈페이지 또는 앱에서 9월 7일부터 30일까지 진행된다. 보상은 10월 6일부터 적용된다.

동시에 티빙은 정보보호 체계 재구축을 위해 ▲투자 및 전문인력 확대 ▲제로 트러스트 기반 보안 체계 전환 ▲거버넌스 및 보안 문화 재정립 ▲외부 협력 강화 등 4대 추진 전략을 발표했다. 2030년까지 정보보호 투자 규모를 지난 5년 대비 4배로 늘리고, 보안 전문인력도 5년 내 3배로 확충한다.

또한 권한 최소화 및 단계별 인증을 골자로 하는 제로 트러스트 보안 표준을 도입한다. AI 기반 지능형 탐지와 실시간 자동 대응 체계를 통해 위험이 감지되면 즉시 차단 및 격리하도록 조치한다는 계획도 밝혔다. 보안 거버넌스를 개편해 CEO·CISO·CPO 직속의 실무 보안협의체를 신설해 보안 이슈 대응력을 높이고, 실전형 모의훈련을 도입할 방침이다.

IT동아 김예지 기자 (yj@itdonga.com)