[아이뉴스24 서효빈 기자] 티빙 침해사고로 로그인이 가능한 활성화 계정 2206만3021개가 유출된 것으로 확인됐다. 공격자는 개발자의 접속키를 탈취한 뒤 내부 시스템에 침투했다. 티빙은 2024년 모의해킹에서 접속키 관련 취약점을 발견하고도 개선하지 않은 것으로 조사됐다.
개발 프로젝트 361건·이용자 계정 3954만개 유출
과학기술정보통신부는 3일 티빙 침해사고에 대한 민관합동조사단 조사 결과를 이같이 발표했다.
지난 5월 30일 티빙 데이터베이스(DB) 서버에서 작업량 과다에 따른 시스템 과부하가 발생했다. 티빙은 이상징후를 분석하는 과정에서 비인가자가 내부 서버에 무단 접근해 이용자 정보를 조회한 사실을 인지하고 한국인터넷진흥원(KISA)에 침해사고를 신고했다.
과기정통부는 6월 3일 침해사고 조사 심의위원회 심의를 거쳐 민관합동조사단을 구성하고 피해 규모와 사고 원인을 조사했다. 조사 결과 소스코드가 포함된 티빙 개발 프로젝트 361건이 유출됐다. 전체 규모는 30.35GB다.
유출된 개발 프로젝트에는 이용자 맞춤형 콘텐츠 추천·검색 알고리즘과 이용자 관리·인증체계, 결제 관리, 유료 서비스 운영 등 티빙 운영에 필요한 기술 자산이 포함됐다.
이용자 정보는 중복을 포함해 3954만697개 계정에서 유출됐다. 로그인이 가능한 활성화 계정은 2206만3021개다. 비활성화 계정은 휴면 계정 850만2679개와 탈퇴 계정 886만8174개 등 1737만853개다. 테스트 계정은 10만6823개다.
티빙은 동일인이 여러 계정을 보유할 수 있어 유출 계정에는 중복이 포함됐다. 실제 한 이용자가 최대 13개 계정을 보유한 사례도 확인됐다.
가입 방식별로는 티빙 자체가입 725만9960개, CJ ONE 통합회원 863만755개, 사회관계망서비스(SNS) 간편가입 2247만1922개다. 테스트·PC방 쿠폰 등 기타 계정은 117만8060개다.
유출된 정보는 △ID △비밀번호 △CJ ONE 통합ID △성명 △휴대전화번호 △이메일 주소 △생년월일 △성별 △연계정보(CI) △중복가입 확인정보(DI) △프로필명 △프로필 잠금번호 △환불 계좌번호 △IP △앱 마켓 거래정보 △제휴 서비스 정보 △환불금액·이력 △티빙 쿠폰 △캐시금액·결제 △결제이력 등 20개 항목 70종이다.
구체적인 개인정보 유출 규모는 개인정보보호위원회가 유출 항목을 상세 분석한 뒤 확정할 예정이다.
개발자 접속키 탈취…소스코드에 운영환경 키 노출
조사 결과, 공격자는 티빙 개발자의 '개발환경 접속키'를 탈취해 내부 시스템에 침투했다.
조사단은 개발환경 접속키 탈취 경로를 확인하기 위해 피싱과 악성코드, 공급망 공격, 접속키 공유·오남용, 취약점 악용 등을 조사했지만 구체적인 탈취 경로는 확인하지 못했다.
공격자는 유출한 개발 프로젝트에서 티빙 운영환경에 침투할 수 있는 '운영환경 접속키'도 확보했다. 공격자는 운영환경에 침투한 뒤 이용자 정보 DB에 접근할 수 있는 ID와 비밀번호가 암호화되지 않은 평문으로 저장된 사실을 확인하고 이를 탈취했다.
공격자는 이튿날인 5월 31일 오후 7시부터 오후 10시 20분까지 2차 공격을 벌였다. 가상서버 생성 권한이 있는 별도의 운영환경 접속키를 이용해 내부에 가상서버를 만들었다. DB에 저장된 이용자 정보 24GB를 가상서버에 일괄 저장한 뒤 외부 서버로 빼냈다. 이후 흔적을 없애기 위해 가상서버를 삭제했다.
2차 공격에서는 CPU 이용률이 10% 이내로 유지돼 이상징후 알림이 발생하지 않았다. 조사단은 공격자가 1차 시도 때와 같은 CPU 과부하 경보를 피하기 위해 이용률을 제한한 것으로 판단했다.
보안인력 4명 내외…2024년 발견한 취약점도 미조치
조사단은 티빙의 키 관리체계가 미흡했다고 판단했다. 개발·운영환경 접속키를 소스코드에 그대로 노출하거나 평문으로 저장했다. 사내 메신저 등을 통해 다른 사람과 무분별하게 공유한 사례도 확인됐다.
모든 개발자에게 전체 개발 프로젝트에 접근할 수 있는 권한도 부여했다. 공격자가 개발환경 접속키 1개만 탈취해도 모든 개발 프로젝트에 접근할 수 있는 구조였다. 키 발급과 사용, 변경, 폐기, 정기점검 등을 관리하는 절차도 없었다.
정보보호 인력도 부족한 것으로 조사됐다. 티빙 전체 임직원은 265명, 개발인력은 149명이지만 정보보호 전담인력은 외주를 제외하고 4명 내외였다.
침해사고 발생 시 부서 간 상황전파와 협업체계도 부족했고, 시스템 접속기록 관리도 미흡했다.
조사단은 티빙에 △키 관리·통제·접근권한 체계 구축 △비정상 행위·대량 데이터 조회 모니터링 강화 △충분한 정보보호 인력·예산 확보 △로그 저장관리 정책 수립 △취약점 점검·조치체계 강화 등을 요구했다.
24시간 넘겨 신고…과기정통부, 과태료 부과
티빙은 침해사고 신고 의무도 위반한 것으로 조사됐다. 정보통신망법에 따르면 침해사고를 인지한 뒤 24시간 이내 과기정통부나 KISA에 신고해야 한다.
조사단은 티빙이 정보보안팀에 상황을 전파한 지난 5월 31일 오전 10시 10분을 침해사고 인지 시점으로 판단했다. 티빙은 다음 날인 6월 1일 오후 3시 8분 KISA에 신고했다. 법정 신고기한인 24시간을 넘겼다.
과기정통부는 정보통신망법에 따라 티빙에 과태료를 부과할 예정이다. 현행법상 3000만원 이하 과태료 부과 대상이다.
과기정통부는 티빙에 이달 중 재발방지 대책 이행계획을 제출하도록 할 예정이다. 오는 10월부터 12월까지 이행한 내용을 내년 1월부터 점검한다. 보완이 필요한 사항에는 시정조치를 명령할 계획이다.
정부는 정보보호 종합대책 후속조치도 추진한다. 국민 생활 밀접 분야 보안점검과 정보보호·개인정보보호 관리체계(ISMS·ISMS-P) 인증제 개선, 보안 취약점 신고·조치·공개제도 시범사업 등을 이어갈 계획이다.
오는 11일부터 시행되는 개정 개인정보보호법에 따라 반복적이거나 고의·중과실 등에 따른 대규모 개인정보 유출에는 전체 매출액의 최대 10%까지 징벌적 과징금을 부과할 수 있다.
내달 1일부터는 개정 정보통신망법이 시행된다. 주요 기업의 정보보호 인력·예산 확충을 유도하고 정부가 해킹사고 정황을 확보하면 기업 신고 전에도 조사에 착수할 수 있도록 했다. 재발방지 대책을 제대로 이행하지 않은 기업에는 이행강제금을 부과하는 제도도 시행된다.
/서효빈 기자(x40805@inews24.com)