"티빙 계정 사실상 다 털렸다"…1차 공격 막고도 해킹 몰라 2차 유출(종합)

3천954만개 계정 정보 유출…개발 소스코드 361건도 빠져나가

CPU 과부하로 판단해 접속만 차단…다음날 공격자가 우회해 24GB 반출

(서울=연합인포맥스) 윤영숙 기자 = 온라인동영상서비스(OTT) 티빙이 보유한 계정이 사실상 모두 해킹으로 유출된 것으로 확인됐다.

특히 티빙은 공격자의 1차 정보유출 시도를 차단하고도 이를 해킹으로 즉각 인지하지 못하면서 후속 공격을 막지 못했다. 공격자는 다음날 다른 접속키와 가상서버를 이용해 대규모 이용자 정보를 외부로 빼냈다.

임정규 과기정통부 정보보호네트워크정책관은 3일 정부서울청사에서 이 같은 내용을 담은 민관합동조사단의 티빙 침해사고 조사 결과를 발표했다.

조사 결과 로그인이 가능한 활성화 계정 2천206만개와 휴면·탈퇴 등 비활성화 계정 1천737만개, 테스트 계정 11만개 등 총 3천954만개 계정이 유출됐다. 동일인이 여러 계정을 가진 경우가 포함돼 실제 피해자 수는 이보다 적지만 티빙이 보유한 계정 자체는 모두 유출 대상이 된 것으로 파악됐다.

임정규 정책관은 이날 브리핑에서 탈퇴나 휴먼 계정을 포함해 "티빙의 모든 계정이 유출된 것으로 보고 있다"고 말했다.

유출 정보에는 성명과 휴대전화번호, 이메일 주소, 생년월일, 연계정보(CI), 결제이력 등 20개 항목 70종이 포함됐다. 소스코드가 담긴 개발 프로젝트 361건, 30.35기가바이트(GB) 규모의 기술자산도 함께 빠져나갔다.

◇ 1차 공격 막았는데도 '시스템 이상' 판단…2차 공격 못 막아

이번 사고에서 특히 문제가 된 것은 티빙이 1차 유출 시도를 포착하고도 후속 공격을 차단하지 못했다는 점이다.

공격자는 5월 30일 오전 9시 22분부터 DB에서 이용자 정보를 빼내려 했다. 이 과정에서 DB 서버 중앙처리장치(CPU) 이용률이 100%까지 치솟자 이상징후 알림이 발생했고 티빙은 해당 작업을 차단했다.

그러나 당시 이를 침해사고가 아닌 CPU 과다사용에 따른 시스템 이상으로 판단하면서 접속 차단 외에 즉각적인 보안조치로 이어지지 않았다.

과기정통부 관계자는 "1차 시도 당시 해킹이라는 것을 알았다면 바로 조치했겠지만 CPU가 100%까지 올라가 시스템 과부하로 판단해 접속 차단 이외의 추가 조치는 하지 않았다"며 "티빙이 원인을 계속 조사하는 과정에서 2차 사고가 발생한 상황"이라고 설명했다.

공격자는 이튿날인 5월 31일 1차 공격 때와 다른 운영환경 접속키를 이용해 내부에 가상서버를 만들었다. 이후 이용자 정보 약 24GB를 가상서버에 일괄 저장한 뒤 외부 서버로 반출하고 가상서버를 삭제했다. CPU 이용률도 10% 이내로 유지해 1차 공격 때와 같은 이상징후 알림을 피했다.

과기정통부 관계자는 "1차 시도 때 DB에서 정보를 가져오는 이상 상황을 확인해 이를 차단했지만, 공격자가 2차 시도에서는 다른 경로를 이용해 정보를 유출했다"고 말했다.

◇ 2024년 취약점 알고도 방치…보안인력은 4명

기본적인 보안관리 부실도 확인됐다.

티빙은 2024년 모의해킹에서 개발·운영환경 접속키가 소스코드에 그대로 노출되는 '하드코딩' 취약점을 발견하고도 이를 개선하지 않았다. 공격자가 탈취한 개발 프로젝트 361건에는 운영환경 접속키 43개가 들어 있었으며 이 중 41개가 소스코드에 하드코딩돼 있었다.

임직원 265명 가운데 개발인력은 149명이었지만 정보보호 전담인력은 외주를 제외하면 4명 내외에 불과했다. 최초 이상징후가 발생한 뒤 정보보호 전담조직과 최고정보보호책임자(CISO)에게 상황이 전달되기까지 약 14시간이 걸렸다.

과기정통부 관계자는 "인적 체계와 보고 체계 모두에 문제가 있었다고 판단한다"며 "티빙에 정보보호 인력과 예산 확충을 포함한 관리체계 강화를 주문하고 있다"고 말했다.

과기정통부는 티빙이 침해사고 인지 후 24시간 이내 신고 의무도 지키지 않았다며 정보통신망법에 따라 과태료를 부과할 예정이다. 다만 오는 9월 11일 시행되는 개정 개인정보보호법과 10월1일 시행되는 강화된 정보통신망법은 이번 사고에는 소급 적용되지 않는다.

ysyoon@yna.co.kr