[이데일리 윤정훈 기자]온라인동영상서비스(OTT) 티빙에서 약 4000만개에 달하는 계정 정보가 유출된 것으로 정부 조사 결과 확인됐다. 개발자 한 명의 개발환경 접속키가 탈취된 것을 시작으로 개발환경과 소스코드, 클라우드 운영환경, 이용자 데이터베이스(DB)까지 연쇄적으로 뚫렸다. 특히 소스코드에 운영환경 접속키와 DB 접속정보를 암호화하지 않은 채 보관하는 등 기본적인 보안 관리가 피해를 키운 것으로 조사됐다.

과학기술정보통신부 민관합동조사단은 3일 티빙 침해사고 조사 결과를 발표하고 총 3954만개 계정(중복 포함)이 유출된 것으로 확인됐다고 밝혔다. 이 가운데 로그인이 가능한 활성화 계정은 2206만개다. 동일인이 최대 13개 계정을 보유한 사례도 확인돼 실제 피해자 수는 이보다 적을 것으로 예상되지만, 정확한 실제 피해 규모는 아직 확인되지 않았다.

유출된 개인정보는 성명, 생년월일, 휴대전화번호, 이메일 주소, 연계정보(CI) 등 20개 항목, 70종에 이른다. 비밀번호와 환불 계좌번호는 암호화된 상태로 유출돼 평문으로 복호화할 수 없는 것으로 조사됐다. 반면 휴대전화번호와 이메일 주소는 암호화키까지 함께 유출돼 복호화가 가능한 상태였다. 조사단은 이를 사실상 평문으로 유출된 것과 같은 수준으로 판단했다.

CI를 보유한 계정은 1904만개로, 계정당 평균 11.1개 개인정보 항목이 유출됐다. CI가 없는 2040만개 계정은 평균 4.6개 항목이 유출됐다. 비밀번호 자체가 노출된 것은 아니지만 전화번호와 이메일 등 피싱·스미싱에 악용될 수 있는 개인정보가 대규모로 노출된 만큼 2차 피해 우려도 커지고 있다.

◇개발키 탈취에서 AWS 침투까지…자동문처럼 보안 뚫려

이번 사고는 티빙 개발자 개인의 개발환경 접속키가 탈취되면서 시작됐다. 공격자는 이 키를 이용해 티빙 개발환경에 침투한 뒤 소스코드가 담긴 개발 프로젝트 361건을 유출했다.

문제는 개발환경에 있던 소스코드에 운영환경으로 들어갈 수 있는 접속키가 암호화되지 않은 상태로 관리되고 있었다는 점이다. 티빙이 관리하던 운영환경 접속키 43개 가운데 상당수가 소스코드에 하드코딩되거나 환경변수에 평문으로 저장돼 있었고, 공격자는 이 가운데 2개를 확보했다.

이를 통해 아마존웹서비스(AWS) 기반 클라우드 운영환경까지 침투했다. 이후 이용자 정보가 저장된 DB에 접근할 수 있는 아이디와 비밀번호도 암호화되지 않은 채 평문으로 관리되고 있다는 사실을 확인하고 이를 탈취했다.

결국 개발자 한 명의 접속키 탈취가 개발환경 침투로 이어지고, 다시 소스코드에 노출된 운영환경 접속키를 거쳐 클라우드와 이용자 DB까지 연결됐다. 하나의 계정이나 접속키가 뚫렸을 때 피해가 특정 시스템에 그치지 않고 회사 전체 시스템으로 확산될 수 있는 구조였던 셈이다.

최초 개발환경 접속키가 어떻게 탈취됐는지는 끝내 밝혀지지 않았다. 조사단은 피싱, 악성코드, 공급망 공격, 키 공유 및 오남용, 취약점 악용 등 5가지 가능성을 모두 조사했지만 관련 로그가 이미 보관기간을 넘어선 상태여서 원인을 특정하지 못했다. 해당 부분은 현재 경찰 수사가 진행 중이다.

◇1차 유출 후 경고 하루만에 2차 유출…24GB 정보 해외 반출

공격자의 실제 개인정보 탈취는 두 차례에 걸쳐 이뤄졌다.

지난 5월 30일 공격자는 확보한 운영환경 접속키와 DB 접속정보를 이용해 이용자 정보 탈취를 시도했다. 대량의 쿼리가 실행되면서 DB 서버 CPU 사용률이 100%까지 치솟았고, 이상징후 알림이 발생하면서 공격이 탐지됐다. 티빙은 해당 작업을 차단했다.

하지만 공격자는 다음 날인 5월 31일 다시 침투했다. 이번에는 CPU 사용률을 10% 이내로 제한하는 방식으로 탐지를 피했다. 이후 가상서버를 새로 생성해 이용자 정보 24GB를 저장한 뒤 해외 서버로 반출했고, 흔적을 없애기 위해 가상서버를 삭제했다.

첫 번째 공격을 탐지하고 차단했지만 탈취된 접속키를 폐기하거나 관련 접근권한을 전면 점검하는 등 후속 조치가 충분히 이뤄지지 않으면서 다음 날 재침투를 허용한 것이다. 결과적으로 일시적인 공격 차단에는 성공했지만 공격 경로 자체를 차단하지 못하면서 대규모 개인정보 유출로 이어졌다.

◇정교한 해킹보다 기본 보안관리 부실이 문제

조사단은 이번 사고의 핵심 원인으로 정교한 해킹 기술보다 티빙의 기본적인 보안 관리가 제대로 작동하지 않았다는 점을 지적했다.

티빙은 개발인력 149명, 전체 임직원 265명 규모였지만 정보보호 전담인력은 외주 인력을 제외하면 4명 내외에 불과했다. 더욱이 2024년 실시한 모의해킹에서 이미 접속키를 소스코드에 하드코딩하는 취약점이 발견됐지만 개선 조치가 이뤄지지 않았다.

개발자들에게 전체 개발 프로젝트에 접근할 수 있는 권한을 부여한 것도 문제였다. 특정 업무에 필요한 범위만 권한을 부여하는 것이 아니라 사실상 광범위한 접근권한을 허용하면서 개발환경 접속키 하나가 탈취되자 361개 프로젝트 전체가 공격자의 접근 대상이 됐다.

접속키의 발급·사용·변경·폐기 등을 관리하는 절차도 제대로 마련돼 있지 않았다. 신규 보안장비인 VPN의 접속기록 역시 6일치만 보관되는 등 로그 관리에도 허점이 있었던 것으로 조사됐다.

◇ISMS 인증받고도 현장에서는 작동 안 해…정부, 점검 방식 바꾼다

이번 사고를 계기로 정보보호관리체계(ISMS) 인증의 실효성을 둘러싼 논란도 불가피할 전망이다. 티빙은 ISMS 인증을 보유하고 있었지만, 조사 결과 핵심 접속키와 DB 접속정보를 암호화하지 않고 관리하는 등 기본적인 보안 관리가 현장에서 제대로 작동하지 않은 것으로 나타났기 때문이다.

임정규 과기정통부 정보보호네트워크정책관은 이날 “키 관리와 관련된 부분은 ISMS에서 명확하게 규정하고 있다”며 인증을 받은 기업에서 이 같은 방식으로 관리된 것은 적절하지 않다는 취지로 설명했다.

정부는 앞서 쿠팡 개인정보 유출 사고 등을 계기로 ISMS 심사를 서류 중심에서 실제 현장 점검 중심으로 강화하는 방안을 추진하고 있다. 이번 티빙 사고 역시 인증을 받았느냐보다 인증 기준에 맞는 보안 조치가 실제 현장에서 지속적으로 이행되고 있는지를 확인해야 한다는 과제를 던졌다.

◇KISA에 해킹 신고 늦어…최대 3000만원 과태료

사고 인지와 신고 과정에서도 문제가 확인됐다. 티빙 정보보안팀이 내부적으로 상황을 전파한 시점은 5월 31일 오전 10시10분이다. 조사단은 이를 실질적인 침해사고 인지 시점으로 판단했다.

정보통신망법은 침해사고를 인지한 뒤 24시간 이내 관계기관에 신고하도록 하고 있지만, 티빙의 한국인터넷진흥원(KISA) 신고는 6월 1일 오후 3시8분 이뤄졌다. 과기정통부는 신고 지연을 정보통신망법 위반으로 보고 최대 3000만원의 과태료를 부과할 예정이다.

다만 이번 사고는 개인정보보호법 개정안과 개정 정보통신망법이 시행되기 전에 발생했다. 이에 따라 매출액의 최대 10%에 달하는 강화된 과징금 등 새로운 제재 규정은 적용되지 않는다.

과기정통부는 티빙으로부터 9월 중 재발방지 대책에 따른 이행계획을 제출받고 10~12월 실제 이행 여부를 점검할 예정이다. 점검 결과 보완이 필요할 경우 정보통신망법에 따른 시정조치를 명령할 계획이다.

개인정보 유출의 구체적인 규모와 이에 따른 과징금 산정 등은 개인정보보호위원회가 별도로 조사해 확정·발표할 예정이다.