티빙 3천954만 계정 왜 털렸나…접속키 관리 부실이 화근(종합)

(서울=연합뉴스) 권하영 기자 = 온라인동영상서비스(OTT) 플랫폼 '티빙'에서 소스 코드가 포함된 기술 자산 361건과 이용자 계정 약 3천954만 개가 유출된 것으로 확인됐다.

조사단은 로그인 가능한 활성화 계정 2천206만 개, 비활성화 계정(휴면·탈퇴) 1천737만 개, 테스트 계정 11만 개 등 총 3천954만 개의 계정이 유출됐음을 확인했다.

가입 경로별로는 네이버·카카오·페이스북·애플·X 등 소셜네트워크서비스(SNS) 간편가입 2천247만 개, CJ ONE 통합회원 863만 개, 티빙 자체가입 726만 개 등이다.

유출된 항목은 유출된 항목은 아이디(CJ ONE 통합 아이디 포함)와 비밀번호를 비롯해 성명·생년월일·휴대전화번호·이메일 주소·연계정보(CI) 등 20개 항목(70종)이다.

비밀번호는 일방향 암호화 상태로 복호화가 불가능하나, 휴대전화번호와 이메일 주소는 암호화키가 함께 유출돼 사실상 평문 유출과 동일한 수준으로 판단됐다.

CI 보유 여부에 따라 정보 유출 규모도 달라, 보유 계정 1천904만 개는 평균 11.1개 항목(17.6종), 미보유 계정 2천40만 개는 평균 4.6개 항목(5.9종)이 유출됐다.

이용자 맞춤형 콘텐츠 추천·검색 알고리즘, 이용자 관리·인증체계, 결제 관리, 유료 서비스 운영 등 핵심 기술 자산이 망라됐다.

조사단은 공격자가 5월 29일부터 31일에 걸쳐 개발자의 '개발환경 접속키'를 사전에 탈취한 뒤 개발환경에 무단 접속해 프로젝트를 유출한 것으로 파악했다.

그러나 다음날인 31일 가상서버를 생성해 이용자 정보 24GB를 일괄 저장하고 외부 서버로 유출했으며 이후 흔적을 지우기 위해 가상서버를 삭제했다.

조사단은 탈취 경로 확인을 위해 개발자 단말기 포렌식 분석으로 다양한 공격 시나리오를 정밀 분석했으나, 확인이 불가능했다고 전했다.

운영환경 접속키를 별도 저장 공간에 분리 보관하지 않고, 개발 편의를 위해 소스코드 내부에 숨김없이 그대로 노출(하드코딩)한 채 사용한 것으로 드러났다.

이용자 정보가 저장된 데이터베이스(DB)에 접근할 수 있는 접속정보(아이디·패스워드)도 암호화되지 않고 평문으로 저장돼 있었다.

2024년 모의해킹에서 하드코딩 취약점이 발견됐으나 개선 조치가 이뤄지지 않았고, 시스템 로그 역시 선별적으로 저장·관리해 신규 장비(VPN)에는 6일치 접속기록만 보관된 사실이 드러났다.

티빙은 정보통신망법에 따라 침해사고 인지 후 24시간 이내에 신고해야 하지만, 조사단이 판단한 인지 시점(5월 31일 오전 10시 10분)으로부터 24시간이 지난 6월 1일 오후 3시 8분에야 KISA에 신고했다.