온라인동영상서비스(OTT) 티빙의 부실한 접속키 관리가 3954만 개 계정 정보 유출로 이어진 주요 원인 중 하나였던 것으로 조사됐다.

공격자는 개발자의 접속키 하나를 탈취해 개발환경에 침투한 뒤 소스코드에 저장돼 있던 운영환경 접속키를 확보했다. 이를 이용해 실제 티빙 서비스가 운영되는 환경과 이용자 데이터베이스(DB)까지 단계적으로 접근했다.

특히 티빙은 2024년 모의해킹에서 개발·운영환경 접속키를 소스코드에 그대로 저장하는 취약점을 확인하고도 개선하지 않은 것으로 나타났다.

과학기술정보통신부는 3일 티빙 침해사고에 대한 민관합동조사단 조사 결과를 발표했다.

조사 결과 공격자는 티빙 내부 시스템에 무단 침투해 총 3954만 개 계정의 정보와 소스코드가 포함된 개발 프로젝트 361건(30.35GB)을 유출했다.

접속키 하나로 개발환경 침투…소스코드서 운영환경 키 확보
조사단에 따르면 공격자는 티빙 개발자가 보유하고 있던 '개발환경 접속키'를 탈취해 지난 5월 29일 개발환경에 무단 침투했다.

공격자는 탈취한 접속키를 이용해 개발환경에서 접근할 수 있는 개발 프로젝트를 빼냈다. 1차 공격에서는 14개 프로젝트를 유출했고 이후 2차 공격에서 개발 프로젝트 361건 전체를 유출했다.

조사단은 개발환경 접속키의 탈취 경로를 확인하기 위해 해당 키를 사용하던 개발자를 특정해 단말기 포렌식 분석을 실시했다. 피싱, 악성코드, 공급망 공격, 접속키 공유·오남용, 취약점 악용 등 다양한 가능성을 분석했지만 정확한 탈취 경로는 확인하지 못했다.

다만 조사 과정에서 접속키 관리체계 부실과 로그 보관기간의 한계 등 정보보호 관리체계상 문제점이 확인됐다.

공격자는 탈취한 개발 프로젝트에서 티빙의 실제 서비스 운영환경에 접근할 수 있는 '운영환경 접속키'를 찾아냈다.

조사단이 티빙의 개발 프로젝트 361건을 분석한 결과 총 43개의 운영환경 접속키가 소스코드에 포함돼 있었다. 개발·운영환경에 접근할 수 있는 접속키가 소스코드 내부에 그대로 노출되거나 별도 암호화 없이 평문으로 저장돼 있었다.

공격자는 이 가운데 운영환경 접속키를 이용해 티빙의 실제 서비스가 운영되는 아마존웹서비스(AWS)에 침투했다. 이후 관리자 권한과 내부 시스템을 탐색하는 과정에서 이용자 정보가 저장된 DB에 접근할 수 있는 ID와 비밀번호도 확보했다.

5월 30일에는 확보한 운영환경 접속키와 DB 접속정보를 이용해 클라우드 저장소에 정보유출형 공격 도구(스크립트)를 삽입했다. 해당 저장소와 연동된 DB에 접속해 이용자 정보 조회와 유출을 시도했다.

이 과정에서 DB 서버의 CPU 이용률이 100%까지 올라가면서 이상징후 알림이 발생했고 티빙은 해당 작업을 차단했다.

공격자는 다음 날인 5월 31일 다시 공격했다. 가상서버 생성 권한이 있는 운영환경 접속키를 이용해 티빙 운영환경 내부에 가상서버를 만든 뒤 이를 정보 유출 통로로 사용했다.

DB에 저장된 이용자 정보 24GB를 생성한 가상서버로 옮긴 뒤 외부 서버로 유출하고 가상서버를 삭제했다.

두 번째 공격에서는 DB 서버 작업량 증가에 따른 이상징후 알림이 발생하지 않았다. 조사단은 공격자가 CPU 이용률을 제한하는 방식으로 공격했을 가능성이 있다고 보고 있다.


2년전 이미 취약점 확인…접속키 공유·권한 관리도 부실
조사단은 티빙이 접속키 관리체계를 제대로 구축했다면 공격자의 개발환경 접근을 차단하거나 이후 공격이 운영환경으로 확산하는 것을 막을 수 있었을 것으로 판단했다.

티빙은 접속키를 소스코드에 그대로 저장했을 뿐 아니라 일부 키를 사내 메신저 등을 통해 다른 사람과 공유한 것으로 조사됐다.

접근권한 관리에도 문제가 확인됐다. 모든 개발자에게 전체 개발 프로젝트에 접근할 수 있는 권한을 부여해 공격자가 개발환경 접속키 하나만 탈취해도 모든 개발 프로젝트에 접근할 수 있는 구조였다.

키 발급과 사용, 변경, 폐기, 정기점검 등을 위한 관리 절차도 제대로 마련돼 있지 않았다.

특히 티빙은 2024년 실시한 모의해킹에서 개발·운영환경 접속키를 소스코드 내부에 그대로 노출하는 '하드코딩' 취약점을 이미 발견했던 것으로 조사됐다. 이후 해당 취약점에 대한 개선 조치는 이뤄지지 않았다.

조사단은 티빙에 접속키 관리·통제와 접근권한 체계를 새로 구축하고 운영관리 기준을 명확히 하도록 요구했다. 키 발급·사용 이력을 관리하는 체계를 마련하고 상시 점검도 실시하도록 했다.

yjra@news1.kr