'티빙' 3954만 전 계정 털린 초유의 사태… 접속키 방치에 늑장 신고로 과태료 3천만원

국내 대표 온라인동영상서비스(OTT) 플랫폼 '티빙'에서 3954만 개에 이르는 전 이용자 계정과 핵심 기술 자산이 통째로 유출되는 초유의 침해사고가 발생했다. 암호화조차 거치지 않은 '접속키' 방치가 부른 인재(人災)로, 사후 대처마저 지연되며 최대 3000만 원의 과태료 처분을 피할 수 없게 됐다. 과학기술정보통신부는 3일 정부서울청사에서 민관합동조사단과 함께 이 같은 내용의 조사 결과를 공식 발표했다.

휴면부터 테스트까지 전 계정 노출, 평문 유출과 다름없는 참사

조사단에 따르면, 이번 사태로 로그인 가능한 활성화 계정 2206만 개, 휴면 및 탈퇴 상태인 비활성화 계정 1737만 개, 테스트 계정 11만 개 등 총 3954만 개의 계정 정보가 빠져나갔다. '임정규' 과기정통부 정보보호네트워크정책관은 브리핑을 통해 "사실상 티빙이 보유한 모든 계정이 유출된 것"이라고 사태의 심각성을 인정했다.

유출 항목은 아이디와 비밀번호를 필두로 성명, 생년월일, 휴대전화번호, 이메일 주소, 연계정보(CI) 등 20개 항목(70종)에 달한다. 비밀번호는 일방향 암호화가 적용돼 복호화가 불가능하지만, 휴대전화번호와 이메일 주소는 '암호화키'가 통째로 유출돼 '평문 노출'과 다름없는 치명적 타격을 입었다. 아울러 이용자 맞춤형 콘텐츠 추천 알고리즘과 결제 관리 시스템이 포함된 개발 프로젝트 361건(30.35GB 규모)의 핵심 기술 자산도 고스란히 탈취당했다.

소스코드 내 숨김없는 '하드코딩', 예견된 보안 붕괴

공격자는 지난 5월 29일부터 31일까지 사전에 탈취한 개발자의 '개발환경 접속키'를 악용해 프로젝트를 빼돌린 것으로 확인됐다. 더 큰 문제는 소스코드 내부에 무방비로 저장된 '운영환경 접속키' 43개가 추가로 발각되며, 아마존웹서비스(AWS) 기반의 운영환경까지 뚫렸다는 점이다.

조사 결과, 티빙의 '보안 관리체계'는 총체적 부실 그 자체였다. 운영환경 접속키를 별도 분리하지 않고 소스코드에 그대로 노출하는 이른바 '하드코딩' 방식으로 방치했으며, 데이터베이스(DB) 접속 정보 역시 평문으로 뒹굴고 있었다. 특히 2024년 자체 모의해킹에서 해당 취약점을 발견하고도 아무런 개선 조치를 취하지 않은 안일함이 피해를 키웠다.

법정 시한 넘긴 늑장 대처, 당국 제재와 경찰 수사 본격화

현재 최초 공격자의 신원은 오리무중이며, 탈취된 정보가 해외 계정으로 넘어간 정황만 파악돼 경찰이 집중 수사를 벌이고 있다.

사고 발생 후 티빙의 대처도 도마 위에 올랐다. 정보통신망법상 침해사고 인지 후 24시간 이내에 관계 당국에 신고해야 하나, 이를 초과한 '늑장 신고'로 일관했다. 이에 과기정통부는 관련 법령에 의거해 최대 3000만 원의 '과태료'를 부과할 방침이다.

정부는 티빙 측에 철저한 키 관리 및 접근권한 통제 체계 구축, 정보보호 전담 인력의 대폭 확충을 골자로 한 재발방지책을 요구했으며, 내년 1월부터 강도 높은 이행 점검에 착수할 예정이다.

#티빙 #TVING #정보유출 #DataBreach #임정규 #LimJungGyu #과기정통부 #MSIT #하드코딩 #Hardcoding #사이버보안