[속보] 티빙 계정 3954만개 피해…개인정보, 결제이력 등 70종 털렸다

온라인동영상서비스(OTT) 티빙에서 약 3954만개 계정 정보와 소스코드가 유출된 것으로 정부 조사 결과 확인됐다. 유출된 정보도 이름·휴대전화번호·결제이력 등 70종에 달했다. 접속키 관리와 보안 취약점 개선을 소홀히 한 것이 피해를 키운 것으로 조사됐다.

조사 결과 유출된 계정은 활성 계정 2206만개, 휴면·탈퇴 등 비활성 계정 1737만개, 테스트 계정 11만개 등 총 3954만개로 집계됐다. 앞서 정부가 파악했던 피해 규모는 약 1953만명이었다. 이번 조사에서 휴면·탈퇴 계정 등을 포함한 전체 유출 계정 규모가 추가로 확인된 것이다.

유출 계정은 자체가입(726만), CJ ONE 통합회원(863만), SNS간편가입(2247만) 등 다양한 경로로 가입됐다. 다만 3954만개에는 동일인이 여러 계정을 가진 경우가 중복 집계돼 실제 피해자 수와는 차이가 있다. 실제로 최대 13개 계정을 가진 이용자도 확인됐다.

유출 정보는 성명과 휴대전화번호, 이메일주소, 생년월일, 결제이력 등 20개 항목·70종에 달했다. 휴대전화번호와 이메일주소 일부는 암호화돼 있었지만 암호화키까지 함께 유출됐다. 해커가 암호화된 정보를 원래 값으로 복원할 수 있다는 뜻이다. 비밀번호는 원래 값을 되돌릴 수 없는 방식으로 암호화돼 있었다. 현재까지 2차 피해는 확인되지 않았다.

공격자는 사전에 탈취한 개발자의 접속키를 이용해 5월29일 티빙 개발시스템에 침투했다. 이곳에서 소스코드가 담긴 개발 프로젝트 361건을 빼낸 뒤 추가 접속키를 확보해 운영시스템에 들어갔다. 30일 이용자 정보 유출을 처음 시도했고, 이튿날에 이용자 정보 24GB를 외부로 빼냈다.

허술한 보안 관리도 피해를 키웠다. 운영시스템 접속키 43개가 소스코드 등에 그대로 들어 있었고, 모든 개발자가 전체 프로젝트에 접근할 수 있었다. 접속키 하나만 뚫려도 전체로 피해가 번질 수 있는 구조였다.

티빙은 2024년 모의해킹에서 접속키 관리 취약점을 발견하고도 고치지 않았다. 정보보호 전담인력은 4명 내외에 그쳤고, 이상행위 탐지체계도 미흡해 첫 이상징후가 나타난 뒤 보안 책임자에게 상황이 전달되기까지 약 14시간이 걸렸다. 티빙은 이번 유출 사고에서 24시간인 법정 신고기한을 넘긴 것으로 조사됐다.

과기정통부는 과태료를 부과하고 재발방지 대책 이행 여부도 점검할 예정이다. 개인정보보호위원회도 별도 조사를 진행 중으로, 법 위반 사항이 확인되면 과징금 등 제재에 나설 예정이다.