[서울=뉴시스]심지혜 윤현성 기자 = 티빙의 대규모 정보유출 사고가 허술한 접속키 관리와 미흡한 보안체계에서 비롯된 것으로 나타났다. 개발·운영환경 접속키를 소스코드에 그대로 노출하거나 평문으로 저장했고, 2024년 모의해킹에서 이 같은 취약점을 발견하고도 개선하지 않았다.

결국 활성·비활성 계정을 포함한 총 3954만개 계정 정보가 유출됐다.

과학기술정보통신부는 티빙 침해사고에 대한 민관합동조사단 조사 결과를 3일 발표했다.

◆ 중복 제외하고 1324만 계정 털려

조사 결과 로그인이 가능한 활성 계정 2206만개와 휴면·탈퇴 등 비활성 계정 1737만개, 테스트 계정 11만개 등 총3954만개 계정 정보가 유출됐다. 티빙이 보유한 모든 계정이 털린 셈이다.

다만 3954만개가 실제 피해 인원을 의미하는 것은 아니다. 티빙은 자체가입과 CJ ONE 통합회원, 네이버·카카오 등 SNS 간편가입 등 여러 경로로 가입할 수 있어 동일인이 여러 계정을 보유할 수 있는 구조다. 조사 과정에서는 한 사람이 최대 13개 계정을 보유한 사례도 확인됐다.

조사단은 중복 규모를 확인하기 위해 전체 계정을 연계정보(CI) 보유 여부에 따라 나눠 분석했다. CI를 보유한 1904만개 계정은 동일인을 식별할 수 있어 중복 여부를 확인할 수 있었고 이 가운데 약580만개가 중복 계정인 것으로 파악됐다. 이를 제외하면 1324만개 계정이다.

반면 CI를 보유하지 않은 2040만개 계정은 정확한 중복 규모를 확인하지 못했다. CI 보유 계정과 겹칠 가능성이 있고 CI 미보유 계정끼리도 동일인이 여러 계정을 보유했을 수 있어서다. 이에 3954만개 가운데 실제 피해 인원이 몇명인지는 아직 확정되지 않았다. 구체적인 개인정보 유출 규모는 개인정보보호위원회가 추가 분석할 예정이다.

유출된 정보는 아이디와 성명, 휴대전화번호, 이메일주소, 생년월일, 성별, CI, 중복가입확인정보(DI), 결제이력 등 20개 항목 70종이다. CI를 보유한 계정은 평균11.1개 항목, 17.6종의 정보가 유출됐고 CI 미보유 계정은 평균4.6개 항목, 5.9종이 빠져나갔다.

휴대전화번호와 이메일주소는 일부 암호화돼 있었지만 이를 풀 수 있는 암호화키도 함께 유출됐다. 조사단은 사실상 평문으로 유출된 것과 같은 수준으로 판단했다. 다만 비밀번호는 일방향 암호화돼 있어 원래 값으로 복호화할 수 없는 상태로 확인됐다. 환불 계좌번호도 암호화돼 있었다.

네이버·카카오·페이스북·X·애플 등 SNS 간편가입의 경우 SNS에 저장된 개인정보까지 함께 유출된 것은 아니라는 게 과기정통부 설명이다. SNS에서 티빙으로 전달되는 정보는 통상 이름과 이메일 주소이며 네이버에서는 출생연도와 성별까지 전달된다. 휴대전화번호와 CI, DI, 생년월일, 성별 등은 이후 티빙이 본인확인 과정에서 별도로 수집한다.

KT가 해킹 피해 보상으로 제공한 티빙 이용 쿠폰 가입자 가운데 정보가 유출된 경우도 52만7000건으로 확인됐다. 이 수치는 앞선 3954만개 계정에는 포함되지 않은 별도 집계다.

조사단은 유출된 휴대전화번호와 이메일주소 등이 스미싱·보이스피싱 등 2차 피해나 다크웹 등을 통한 불법거래에 악용될 가능성이 있다고 봤다. 다만 현재까지 이용자 피해 사례나 다크웹 등을 통한 불법거래·유통 정황은 확인되지 않았다.

◆개발자 접속키 탈취해 내부 침투…DB 정보 24GB 외부 반출

해커는 개발자의 접속키를 탈취해 티빙 개발환경에 침투한 뒤 소스코드가 포함된 개발 프로젝트 361건을 유출했다.

이들 프로젝트에는 운영환경 접속키 43개가 포함돼 있었다. 대부분 소스코드에 그대로 입력되거나 평문으로 저장돼 있었고 해커는 이 가운데 2개를 실제 공격에 이용했다.

운영환경에 침투한 뒤에는 이용자 정보가 저장된 DB의 접속 아이디와 비밀번호가 평문으로 저장된 것을 확인해 탈취했다.

첫 유출 시도는 DB 서버 중앙처리장치(CPU) 이용률이 100%까지 올라가면서 차단됐다. 그러나 다음 날 다른 접속키를 이용해 내부에 가상서버를 만든 뒤 이용자 정보 24GB를 외부로 빼내고 서버를 삭제했다.

조사단은 데이터가 해외 서버로 빠져나간 흔적까지 확인했으나 실제 해당 서버에 남아 있는지는 확인하지 못했다. 해커의 신원도 확인되지 않아 관련 내용은 수사를 통해 확인될 것으로 보인다.

◆ 접속키 평문 저장·공유…모의해킹 취약점 알고도 미조치

사고를 키운 배경에는 허술한 보안 관리가 있었다. 티빙은 개발·운영환경에 접근할 수 있는 접속키를 소스코드 안에 그대로 적어두거나 평문으로 저장했고 사내 메신저 등을 통해 다른 사람과 공유하기도 했다.

접근권한도 과도하게 열어뒀다. 모든 개발자에게 전체 개발 프로젝트에 접근할 수 있는 권한을 부여해 개발환경 접속키 하나만 탈취해도 전체 프로젝트에 접근할 수 있었다. 키 발급과 사용, 변경, 폐기, 정기점검을 관리하는 절차도 없었다.

특히 2024년 모의해킹에서 접속키 노출 취약점을 발견하고도 개선하지 않았다.

비정상 행위 탐지체계도 부족했다. CPU 부하 등 단순 모니터링에 의존했고 네트워크와 데이터 흐름을 실시간으로 탐지·차단하는 체계는 갖추지 않았다.

정보보호 인력도 개발 규모에 비해 적었다. 티빙 전체 임직원은 265명, 개발인력은 149명이었지만 외주인력을 제외한 정보보호 전담인력은 4명 내외였다.

이에 사고에 대한 내부 대응까지 늦었다. 이상징후가 발생한 뒤 정보보호 전담조직과 정보보호 최고책임자(CISO)에 상황이 공유되기까지 약 14시간이 걸렸다. 신규 가상사설망(VPN) 장비에는 로그관리 정책이 제대로 적용되지 않아 약 6일간의 접속기록만 보관돼 있었다.

침해사고를 인지한 뒤 24시간 이내에 신고해야 하지만 티빙은 이를 지키지 못했다. 조사단은 5월31일 오전10시10분을 침해사고 인지시점으로 판단했으며 티빙은 6월1일 오후3시8분 한국인터넷진흥원(KISA)에 신고했다. 과기정통부는 정보통신망법에 따라 3000만원 이하 과태료를 부과한다는 방침이다.

◆ ISMS 인증 받았지만 기본 보안조치 미흡

티빙도 정보보호 관리체계 인증인 ISMS를 받았으나 이번 사고에서 접속키 관리 등 기본적인 보안조치가 제대로 이뤄지지 않은 것으로 드러났다.

임정규 과기정통부 정보보호네트워크정책관은 "인증받은 기업에서 이러한 문제가 발생한 것에 대해 죄송하다"며 "이번에 확인된 키 관리체계 문제는 현행 ISMS에도 명확히 규정돼 있는 사항으로 이같은 방식으로 관리해서는 안 된다"고 말했다.

과기정통부는 앞서 쿠팡 사고 이후 ISMS 인증제 실효성 강화 방안을 마련해 인증 기준을 강화하고 심사 방식도 실제 현장을 직접 확인하는 방식으로 개편했다.

정부는 티빙에 키 관리·통제와 접근권한 체계를 구축하고 비정상 행위와 대량 데이터 조회에 대한 모니터링을 강화하도록 했다. 충분한 정보보호 인력과 예산을 확보하고 로그 저장관리 정책을 수립하는 한편 주기적인 취약점 점검과 발견된 취약점에 대한 조치체계도 강화하도록 요구했다.

과기정통부는 티빙에 9월 중 재발방지 대책에 따른 이행계획을 제출하도록 하고 10월부터 12월까지 이행 여부를 점검할 계획이다. 내년 1월부터는 이행점검에 나서 보완이 필요한 사항이 확인되면 정보통신망법에 따라 시정조치를 명령할 방침이다.


◎공감언론 뉴시스 siming@newsis.com, hsyhs@newsis.com