휴대전화·이메일 암호화키까지 빠져나가…"평문 유출과 동일 수준"
보안 전담인력 4명 내외…사고 신고 지연으로 과태료 부과 예정
[메가경제=황성완 기자] 티빙 침해사고로 중복 계정을 포함해 총 3954만개 계정의 이용자 정보가 유출된 것으로 확인됐다. 이용자 정보뿐 아니라 티빙 서비스를 운영하는 소스코드 등 개발 프로젝트 361건도 외부로 빠져나갔다.
특히 티빙은 운영환경에 접근할 수 있는 접속키를 소스코드 내부에 그대로 노출하거나 평문으로 저장하는 등 기본적인 보안 관리가 미흡했던 것으로 조사됐다.
 |
| ▲과학기술정보통신부 CI. [사진=과기정통부] |
과학기술정보통신부(이하 과기정통부)는 3일 한국인터넷진흥원(KISA) 등과 구성한 민관합동조사단의 티빙 침해사고 조사 결과를 발표했다.
조사 결과 공격자는 티빙 개발자의 '개발환경 접속키'를 탈취한 뒤 개발환경에 침투해 소스코드가 포함된 개발 프로젝트 361건, 약 30.35GB 규모의 자료를 빼냈다.
유출된 프로젝트에는 이용자 맞춤형 콘텐츠 추천·검색 알고리즘과 이용자 관리·인증체계, 결제 관리, 유료 서비스 운영 등 티빙 서비스를 운영하는 핵심 기술자산이 포함됐다.
이용자 정보는 총 3954만697개 계정에서 유출됐다. 이 가운데 로그인이 가능한 활성화 계정은 2206만3021개, 휴면·탈퇴 등을 포함한 비활성화 계정은 1737만853개, 테스트 계정은 10만6823개다.
다만 동일인이 여러 계정을 보유할 수 있는 구조여서 중복이 포함됐으며, 실제 한 이용자가 최대 13개 계정을 가진 사례도 확인됐다.
유출 정보에는 ID와 비밀번호, CJ ONE 통합 ID, 성명, 휴대전화 번호, 이메일 주소, 생년월일, 연계정보(CI), 중복가입 확인정보(DI), 결제이력 등 총 20개 항목 70종이 포함됐다.
특히 휴대전화 번호와 이메일 주소는 일부 암호화된 상태였지만 암호화키도 함께 유출돼 사실상 평문으로 유출된 것과 동일한 수준으로 평가됐다. 비밀번호는 일방향 암호화돼 평문 복호화는 불가능한 것으로 확인됐다.
본인인증 등을 거쳐 CI를 보유한 계정의 피해 범위도 상대적으로 컸다. CI 보유 계정 1904만개는 계정당 평균 11.1개 항목, 17.6종의 정보가 유출된 것으로 나타났다.
조사단은 유출된 휴대전화 번호와 이메일 주소 등이 스미싱이나 보이스피싱, 다크웹 등을 통한 불법거래에 악용될 가능성이 있다고 판단했다. 현재까지 실제 이용자 피해나 불법 유통 정황은 확인되지 않았다.
이번 사고의 핵심 원인으로는 티빙의 허술한 접속키 관리가 지목됐다. 공격자는 개발환경에 침투한 뒤 유출한 소스코드에서 티빙 운영환경에 접근할 수 있는 별도의 접속키를 확보했다. 조사단 확인 결과 개발 프로젝트에는 총 43개의 운영환경 접속키가 포함돼 있었다.
이 가운데 41개는 소스코드 내부에 직접 입력하는 '하드코딩' 방식으로 저장돼 있었으며 일부는 암호화되지 않은 평문 상태로 방치됐다. 공격자는 이 가운데 2개의 키를 실제 공격에 활용했다.
이후 티빙 클라우드 운영환경에 접근한 공격자는 이용자 정보가 저장된 데이터베이스(DB)의 ID와 비밀번호 역시 평문으로 저장된 사실을 확인해 이를 탈취했다.
공격자는 5월30일 DB에 접근해 이용자 정보 유출을 처음 시도했다. 당시 DB 서버 CPU 이용률이 100%까지 치솟으면서 이상징후가 발생했고 티빙이 관련 작업을 차단했다.
하지만 공격자는 다음 날 가상서버를 새로 생성한 뒤 다시 공격했다. 이번에는 DB에 저장된 이용자 정보 약 24GB를 가상서버로 옮긴 뒤 외부 서버로 유출하고 해당 가상서버를 삭제했다.
조사단은 공격자가 2차 공격 당시 CPU 이용률을 10% 이내로 제한해 이상징후 알림이 발생하지 않도록 한 것으로 판단했다.
조사단은 티빙의 정보보호 관리체계 전반에서도 다수의 문제점을 확인했다. 티빙은 모든 개발자에게 전체 개발 프로젝트 접근권한을 부여해 공격자가 접속키 하나만 탈취해도 전체 프로젝트에 접근할 수 있는 구조였던 것으로 조사됐다. 접속키의 발급과 사용, 변경, 폐기 등을 관리하는 체계도 제대로 마련돼 있지 않았으며 일부 키는 사내 메신저 등을 통해 직원 간 공유됐다.
특히 티빙은 2024년 모의해킹 과정에서 개발·운영환경 접속키가 소스코드 내부에 노출되는 취약점을 이미 발견했지만 이를 개선하지 않은 것으로 나타났다.
보안 모니터링 역시 CPU 부하 등 단순 지표에 의존해 네트워크와 데이터 흐름, 비정상적인 대량 데이터 조회 등을 실시간으로 탐지·차단할 수 있는 체계가 부족했다.
정보보호 인력도 부족했다. 티빙 전체 임직원은 265명, 개발인력은 149명이지만 정보보호 전담인력은 외주를 제외하면 4명 내외에 그쳤다.
침해사고 대응 과정에서도 내부 상황 공유가 늦었다. 5월30일 오후 6시 이상징후가 발생했지만 정보보호 전담조직과 정보보호 최고책임자(CISO)에게 관련 상황이 전달된 것은 약 14시간 뒤였다.
침해사고 신고도 법정 기한을 넘겼다. 조사단은 5월31일 오전 10시10분 정보보안팀에 상황이 전파된 시점을 침해사고 인지 시점으로 판단했지만 티빙은 6월1일 오후 3시8분 KISA에 신고했다.
과기정통부는 이에 따라 정보통신망법 위반으로 티빙에 최대 3000만원 이하의 과태료를 부과할 예정이다.
티빙에는 접속키 관리·통제 체계 구축과 접근권한 최소화, 비정상 행위와 대량 데이터 조회 모니터링 강화, 정보보호 인력·예산 확충 등의 재발방지 대책도 요구했다.
과기정통부는 이달 중 티빙으로부터 재발방지 대책 이행계획을 제출받은 뒤 오는 10월부터 12월까지 개선조치 이행 여부를 확인하고, 내년 1월부터 본격적인 이행점검에 나설 계획이다.
[저작권자ⓒ 메가경제. 무단전재-재배포 금지]
