온라인동영상서비스(OTT) 티빙 침해사고로 활성·휴면·탈퇴 계정 등 총 3954만 개 계정의 정보가 유출된 것으로 조사됐다. 콘텐츠 추천·검색 알고리즘 등 티빙 서비스 운영에 사용되는 소스코드가 포함된 개발 프로젝트 361건도 유출됐다.

과학기술정보통신부는 3일 티빙 침해사고에 대한 민관합동조사단 조사 결과를 발표했다.

티빙 데이터베이스와 관련 로그 등을 분석한 결과 공격자는 티빙 내부 시스템에 무단 침투해 총 3954만 개 계정의 정보를 유출했다.

로그인이 가능한 활성 계정이 2206만 개였고 비활성 계정은 1737만 개였다. 비활성 계정에는 휴면 계정 850만 개와 탈퇴 계정 887만 개가 포함됐다. 테스트 계정도 11만 개 유출됐다.

다만 3954만 개는 실제 이용자 수가 아니라 중복을 포함한 계정 수다. 티빙은 동일인이 여러 계정을 만들 수 있으며 조사 과정에서는 한 명이 최대 13개 계정을 보유한 사례도 확인됐다.

가입 방식별로는 네이버·카카오·페이스북·애플·X(옛 트위터) 등을 통한 SNS 간편가입 계정이 2247만 개로 가장 많았다. CJ ONE 통합회원은 863만 개, 티빙 자체가입 계정은 726만 개였다.

유출된 정보에는 △ID △비밀번호(일방향 암호화) △CJ ONE 통합ID △성명 △휴대전화 번호 △이메일 주소 △생년월일 △연계정보(CI) 등 20개 항목(70종)이 포함됐다.

휴대전화 번호와 이메일 주소 중 일부는 암호화돼 있었지만 암호화키도 함께 유출됐다. 조사단은 복호화가 가능한 만큼 평문으로 유출된 정보와 동일한 수준으로 판단했다.

계정별로 보유한 정보에 따라 실제 유출된 개인정보의 종류에는 차이가 있었다.

CI를 보유한 계정은 1904만 개로, 중복을 제거하면 1324만 개였다. 이들 계정에서는 평균 11.1개 항목, 17.6종의 정보가 유출됐다. CI가 없는 2040만 개 계정에서는 평균 4.6개 항목, 5.9종의 정보가 유출됐다.

CI 미보유 계정은 본인인증을 거치지 않아 이름이나 휴대전화 번호, 이메일 주소 등이 없거나 유효하지 않은 정보가 입력된 사례도 다수 확인됐다.

실제 개인정보가 유출된 이용자 수는 추가 조사가 필요하다. 개인정보보호위원회는 유출 항목을 상세 분석한 뒤 구체적인 개인정보 유출 규모를 별도로 발표할 예정이다.


개인정보와 함께 티빙의 서비스 운영에 사용되는 소스코드가 유출되는 등 기술자산도 외부로 빠져나갔다.

조사단이 티빙 개발환경의 보안 로그를 분석한 결과 소스코드가 포함된 개발 프로젝트 361건, 총 30.35GB가 유출됐다.

유출된 프로젝트에는 이용자 맞춤형 콘텐츠 추천·검색 알고리즘을 비롯해 이용자 관리·인증체계, 결제 관리, 유료 서비스 운영 등에 사용되는 소스코드가 포함됐다.

이번 사고는 지난 5월 30일 티빙 데이터베이스 서버의 작업량이 급증하면서 처음 이상징후가 포착됐다. 티빙은 분석 과정에서 비인가자가 내부 서버에 무단 접근해 이용자 정보를 조회한 사실을 확인하고 6월 1일 한국인터넷진흥원(KISA)에 침해사고를 신고했다.

과기정통부는 6월 2일 KISA와 현장조사에 착수하고 다음 날 민관합동조사단을 구성해 피해 규모와 공격 경로, 정보보호 관리체계 등을 조사해왔다.

yjra@news1.kr