티빙, 전체 이용자 계정 ‘4000만개’ 유출…“접속키 탈취해 내부 시스템 침투”

[헤럴드경제=고재우 기자] 티빙 개인정보 유출 사태로 이용자 계정 ‘4000만개’가 유출된 것으로 드러났다. 계정별로 휴대폰, 이메일, 생년월일, 결제 이력 등 20개 항목 70종에 달하는 개인정보가 새 나가면서 ‘2차 피해’ 가능성도 대두됐다.

티빙 개발자 ‘접속키’ 관리 체계 미비로 내부 시스템 침투가 이뤄졌고, 해커의 비정상 행위에 대한 모니터링도 없었다. 여기에 사이버 침해 사실 인지 후, 24시간이 지나서야 신고한 것도 도마 위에 올랐다.

과학기술정보통신부(과기정통부)는 3일 서울 종로구 정부서울청사에서 열린 ‘티빙 민관합동조사단 조사 결과 브리핑’에서 이 같은 민관합동조사단 결과를 발표했다.

▶기술 자산 및 개인정보 유출…‘2차 피해’ 가능성 존재= 피해 규모는 크게 ‘기술자산’ ‘이용자 정보’ 유출 등으로 나뉜다. 티빙 개발 환경 보안로그 분석 결과, 개발 프로젝트 361건(30.35㎇)이 유출됐다. 해당 프로젝트에는 이용자 맞춤형 콘텐츠 추천 및 검색 알고리즘, 이용자 관리 및 인증 체계, 결제 관리, 유료 서비스 운영 등 티빙 운영·관리를 위한 기술 자산이 포함됐다.

특히 조사단은 해커가 개발 프로젝트를 분석해 취약점을 파악하고, 2차 피해 등 추가 공격에 악용할 가능성이 있다고 판단했다.

이용자 정보는 ▷로그인 가능 활성화 계정 2206만개 ▷비활성화 계정 1737만개(휴면 계정 850만개·탈퇴 계정 887만개) ▷테스트 계정 11만개 등 총 3954만개(중복 포함)가 유출됐다.

유출 정보는 ▷ID ▷비밀번호(일방향 암호화) ▷CJ ONE 통합 ID ▷성명 ▷휴대전화 번호 ▷이메일 주소 ▷생년월일 ▷연계 정보(CI, 주민번호 대체 개인 식별 고유값) 등 20개 항목 70종 등이었다.

이중 휴대폰 번호, 이메일 주소 등은 일부 암호화된 형태로 유출됐으나, 암호화키가 함께 유출된 탓에 평문으로 유출된 정보와 동일한 수준으로 판단됐다.

조사단은 휴대전화 번호, 이메일 주소 등 이용자 정보 유출에 따라 스미싱, 보이스피싱 등 2차 피해 또는 다크웹 내 판매 등 불법 거래 및 유통 등을 통한 피해 확산 가능성이 있는 것으로 봤다.

▶티빙, 정보보호 ‘총체적’ 부실…사이버 침해 신고 ‘지연’= 대규모 개인정보 유출 근저에는 티빙의 총체적으로 부실했던 티빙의 개인정보보호 정책이 있었다. 더욱이 사이버 침해 신고도 24시간이 지나서야 이뤄졌다.

구체적으로 해커는 모든 개발자에 접근권을 부여한 ‘개발 환경 접속키’를 탈취해, 개발 프로젝트 361건 전체를 탈취했다.

또 유출된 개발 프로젝트 내 소스코드에 저장된 ‘운영환경 접속키(361건 중 43개)’로는 운영환경 내부 접근이 가능했다. 이 과정에서 이용자 정보가 저장된 데이터베이스(DB)에 접근할 수 있는 아이디·패스워드 등 접속 정보가 암호화 없이 평문으로 저장된 것으로 확인됐다.

이후 1차에 이어 2차 정보 유출 시도가 있었으나, 티빙은 1차와 달리 2차에서는 DB 서버 작업량 과다로 인한 이상 징후 알림이 발생하지 않았다.

이에 과기정통부는 ▷키 관리·통제·접근권한 체계 구축 및 상시 점검 ▷비정상 행위 탐지 및 대량 데이터 조회 모니터링 체계 강화 ▷정보보호 전담 인력(외주 인력 제외 시 4명 불과) 및 예산 확보 등을 당부했다.

아울러 사이버 침해 사고 인지 후 24시간 이내에 과기정통부 혹은 한국인터넷진흥원(KISA)에 신고토록 규정한 정보통신망법 위반에 따라 티빙에 과태료가 부과될 예정이다.