티빙 해킹에 3천954만 계정 유출…개발 소스코드 361건도 털렸다

개발자 접속키 탈취해 내부망 침투…운영키 43개 소스코드에 노출

보안 인력 4명 내외·2024년 취약점 미조치…신고 지연 과태료

(서울=연합인포맥스) 윤영숙 기자 = 온라인동영상서비스(OTT) 티빙의 침해사고로 이용자 계정 약 3천954만개와 소스코드가 포함된 개발 프로젝트 361건이 외부로 유출된 것으로 확인됐다.

공격자는 개발자의 접속키를 탈취해 내부 개발환경에 침투한 뒤 소스코드에 그대로 노출돼 있던 운영환경 접속키를 확보하는 방식으로 이용자 데이터베이스(DB)까지 접근했다.

과학기술정보통신부는 3일 한국인터넷진흥원(KISA) 등과 구성한 민관합동조사단의 티빙 침해사고 조사 결과를 발표했다.

조사 결과 로그인이 가능한 활성화 계정 2천206만개와 휴면·탈퇴 등 비활성화 계정 1천737만개, 테스트 계정 11만개 등 모두 3천954만개 계정 정보가 유출됐다. 동일인이 여러 계정을 보유한 경우가 포함돼 실제 피해 인원과는 차이가 있다. 한 이용자가 최대 13개 계정을 보유한 사례도 확인됐다.

유출 정보에는 성명과 생년월일, 휴대전화번호, 이메일 주소, 연계정보(CI), 결제이력 등 20개 항목 70종이 포함됐다. 휴대전화번호와 이메일 주소는 일부 암호화돼 있었지만 암호화키도 함께 유출돼 사실상 평문 유출과 같은 수준으로 평가됐다. 비밀번호는 일방향 암호화돼 복호화가 불가능한 것으로 조사됐다.

이와 함께 추천·검색 알고리즘과 이용자 인증, 결제 관리 등 티빙 서비스 운영 기술이 담긴 개발 프로젝트 361건 규모의 소스코드도 유출됐다.

공격자는 사전에 탈취한 개발환경 접속키로 지난 5월 29일 티빙 개발환경에 침투했다. 이후 개발 프로젝트 내부에 저장된 운영환경 접속키를 확보해 클라우드 운영환경과 이용자 DB에 접근했다.

조사단은 361개 프로젝트에서 운영환경 접속키 43개가 발견됐으며 이 중 41개는 소스코드에 직접 입력하는 '하드코딩' 방식으로 저장돼 있었다고 밝혔다.

공격자는 5월 31일 운영환경에 가상서버를 만들어 이용자 정보 약 24GB를 일괄 저장한 뒤 외부 서버로 빼냈고, 이후 가상서버를 삭제해 흔적을 없앴다.

조사단은 티빙의 전반적인 보안 관리에도 문제가 있었다고 판단했다. 임직원 265명 가운데 개발인력이 149명인 반면 정보보호 전담인력은 외주인력을 제외하면 4명 내외에 그쳤다. 2024년 모의해킹에서 접속키가 소스코드에 노출된 취약점을 이미 발견했지만 개선하지 않은 사실도 확인됐다.

과기정통부는 티빙이 침해사고를 인지한 뒤 법정 신고기한인 24시간을 넘겨 KISA에 신고했다며 정보통신망법에 따라 과태료를 부과할 예정이다.

티빙에는 이달 중 재발방지 이행계획을 제출하도록 하고 오는 10~12월 이행 상황을 거쳐 내년 1월부터 점검에 나설 계획이다.

ysyoon@yna.co.kr