개발키 탈취→소스코드·AWS·DB 연쇄 침투 첫 공격 차단하고도 다음날 24GB 정보 유출 "보안체계 근본부터 재구축"…투자 4배·인력 3배 확대 1년 안심보험·5000원 상당 포인트 등 고객 보상
[이데일리 이소현 윤정훈 기자] 과학기술정보통신부의 티빙 침해사고 조사 결과, 약 2200만명의 개인정보 유출이 확인됐다. 중복 혹은 비활성화 계정까지 포함하면 계정 수는 약 4000만개에 이른다.
이번 해킹 사고는 개발자 접속키 탈취에서 시작됐다. 공격자는 소스코드에 노출된 운영환경 접속키를 이용해 클라우드에 침입했고 이용자 데이터베이스(DB)까지 접근한 것으로 조사됐다.
최주희 티빙 대표이사가 3일 서울 중구의 한 호텔에서 개인정보 유출 사고에 대해 사과하고 있다. (사진=연합)
과기정통부 민관합동조사단은 3일 티빙 침해사고 조사 결과 총 3954만개 계정(중복 포함)의 정보가 유출됐다고 밝혔다. 이 가운데 활성계정은 2206만개다. 동일인이 최대 13개 계정을 보유한 사례가 있어 실제 피해자 수는 이보다 적은 것으로 추정된다. 성명·생년월일·휴대전화번호·이메일·연계정보(CI) 등 20개 항목 70종이 유출됐다.
공격자는 지난 5월29일 개발자의 ‘개발환경 접속키’로 내부에 침입해 소스코드가 담긴 개발 프로젝트 361건을 빼냈다. 소스코드에는 운영환경 접속키 43개가 하드코딩되거나 평문으로 저장돼 있었다. 공격자는 이 가운데 2개를 이용해 아마존웹서비스(AWS) 기반 운영환경에 진입했다. DB 접속 ID와 비밀번호도 평문으로 관리돼 탈취됐다.
티빙은 5월30일 첫 정보유출 당시 DB 중앙처리장치(CPU) 사용률이 100%까지 치솟자 공격을 차단했다. 그러나 공격자는 다음 날 다른 접속키와 가상서버를 활용했다. CPU 사용률도 10% 이내로 낮춰 탐지를 피한 뒤 이용자 정보 약 24GB를 외부로 유출했다.
(그래픽=김일환 기자)
조사단은 기본적인 보안 관리 부실이 피해를 키웠다고 판단했다. 티빙은 모든 개발자에게 전체 개발 프로젝트 접근권한을 부여했다. 접속키 발급·변경·폐기 관리체계도 없었다. 2024년 모의해킹에서 접속키 관련 취약점을 발견하고도 개선하지 않았다. 외주를 제외한 정보보호 전담인력은 4명 내외였다.
침해사고 신고도 늦었다. 조사단은 5월31일 오전 10시10분을 사고 인지 시점으로 판단했지만 KISA 신고는 다음 날 오후 3시8분 이뤄졌다. 과기정통부는 24시간 내 신고 의무 위반으로 최대 3000만원의 과태료를 부과할 예정이다.
최주희 대표이사(오른쪽 두 번째)를 비롯한 티빙 임원들이 3일 서울 중구의 한 호텔에서 개인정보 유출 사고에 대해 사과하고 있다.(사진=연합)
최주희 티빙 대표는 “이번 침해 사고로 고객 여러분께 심려와 불안을 끼쳐드린 점 진심으로 사과드린다”며 “보안 체계 전반을 근본부터 다시 세우겠다”고 밝혔다.
한편 티빙은 올해 약 30억원인 정보보호 투자를 2030년 100억~120억원 수준으로 확대한다. 보안인력도 향후 5년간 3배 수준으로 늘린다. 제로 트러스트 기반 접근통제와 AI 기반 이상행위 탐지·자동대응 체계도 구축한다.
각 가입자에게는 1년간 해킹·피싱과 온라인 거래 사기 피해를 1인당 최대 300만원까지 보장하는 안심보험을 제공한다. 5000원 상당 티빙 포인트와 프리미엄급 시청환경 업그레이드도 지원한다. 최 대표는 “지적된 사항에 대한 모든 시정 조치와 재발 방지 대책을 책임감을 가지고 끝까지 이행하겠다”고 말했다.
최주희 티빙 대표이사가 3일 서울 중구의 한 호텔에서 개인정보 유출 사고에 대해 사과하고 있다.(사진=티빙)
