티빙, 개발자 ‘접속키’ 방치로 3954만개 이용자 계정 유출

CJ ENM(대표 윤상현)의 온라인동영상서비스(OTT) 티빙(TVING)에서 발생한 침해 사고로 약 3954만개 계정의 개인정보와 개발 프로젝트 361건이 유출된 것으로 확인됐다. 이번 사고의 핵심 원인은 ‘개발·운영 환경 접속키 관리 부실’이었다. 티빙은 2024년 모의해킹에서 접속키를 소스코드에 그대로 저장하는 취약점을 발견하고도 개선하지 않은 것으로 조사됐다.

과학기술정보통신부(과기정통부)는 3일 서울정부청사에서 지난 5월 발생한 티빙 침해사고 관련 민관합동조사단의 조사 결과를 발표했다.

3954만개 계정 유출, 개발 프로젝트까지 포함

정부가 확인한 유출 계정은 총 3954만697개다. 로그인이 가능한 활성화 계정 2206만3021개, 휴면 계정 850만2679개, 탈퇴 계정 886만8174개, 테스트 계정 10만6823개다. 정부는 기존에 알려진 ‘1953만명’이라는 수치는 티빙이 자체적으로 중복을 제거해 신고한 수치라고 설명했다.

유출된 계정 3954만개는 실제로 피해자가 3954만명이라는 것은 아니다. 티빙은 한 사람이 여러 방식으로 계정을 만들 수 있는 구조다. 조사에서는 한 사람이 최대 13개 계정을 보유한 사례도 확인됐다.

가입 방식별로는 티빙 자체 가입이 약 726만개, CJ ONE 통합회원이 약 863만개다. 네이버·카카오·페이스북·애플·X 등 소셜미디어(SNS) 간편가입 계정은 약 2247만개다.

조사단은 개인을 식별하는 연계정보(CI)가 있는 약 1904만개 계정에서는 약 580만개의 중복을 확인했다. 이를 제외하면 약 1324만개다. CI가 없는 약 2040만개 계정은 다른 계정과 동일인인지는 확인되지 않았다. 실제 피해자 수는 개인정보보호위원회가 추가 조사를 거쳐 확정할 예정이다.

유출된 정보는 아이디와 성명, 휴대전화번호, 이메일 주소, 생년월일, 성별, CI, 중복가입 확인정보(DI), 결제이력 등 20개 항목 70종이다. CJ ONE 통합ID도 포함됐다. 계정마다 유출 항목은 달랐다. CI 보유 계정은 평균 11.1개 항목, CI 미보유 계정은 평균 4.6개 항목이 유출됐다.

휴대전화번호와 이메일 주소 일부는 암호화돼 있었지만 암호화키도 함께 유출됐다. 조사단은 공격자가 복호화할 수 있어 평문으로 유출된 것과 같은 수준으로 판단했다. 비밀번호는 일방향으로 암호화돼 평문으로 복구할 수 없는 상태였다.

SNS 간편가입 계정의 경우 네이버나 카카오 등에 보관된 개인정보 전체가 함께 유출된 것은 아니다. 외부 서비스에서 티빙으로 전달된 정보와 티빙이 별도로 수집해 보관한 정보가 유출된 사고다. 정부는 티빙 정보 유출이 네이버·카카오 등 외부 서비스의 개인정보 유출로 이어지는 구조는 아니라고 설명했다.

개인정보뿐 아니라 티빙의 기술자산도 함께 유출됐다. 공격자는 소스코드가 포함된 개발 프로젝트 361건을 빼냈다. 전체 규모는 30.35기가바이트(GB)다. 여기에는 이용자 맞춤형 콘텐츠 추천·검색 알고리즘, 이용자 관리·인증체계, 결제 관리, 유료 서비스 운영 등 티빙 서비스를 운영·관리하는 데 필요한 소스코드가 포함됐다. 조사단은 유출된 소스코드가 추가 공격에 악용될 가능성이 있다고 판단했다. 현재까지 이를 이용한 추가 공격 정황은 확인되지 않았다.

‘접속키’ 방치로 AWS·DB까지 뚫려, 소스코드 포함된 개발 프로젝트 361건 유출 

공격은 개발자가 보유한 ‘개발환경 접속키’ 탈취에서 시작됐다. 접속키는 허가된 사용자가 시스템에 접근할 때 사용하는 일종의 디지털 열쇠다.

공격자는 이 키를 이용해 5월 29일 티빙 개발환경에 접근했다. 이후 소스코드가 포함된 개발 프로젝트 361건을 유출했다. 규모는 30.35기가바이트(GB)다. 콘텐츠 추천·검색 알고리즘과 이용자 인증체계, 결제 관리 등 티빙 서비스 운영에 필요한 기술자산이 포함됐다.

문제는 개발 프로젝트 안에 실제 운영환경에 접속할 수 있는 키까지 들어 있었다는 점이다.

조사단은 개발 프로젝트에서 운영환경 접속키 43개를 확인했다. 이 가운데 41개는 소스코드에 직접 입력하는 ‘하드코딩’ 방식으로 저장돼 있었다. 3개는 프로그램 설정값인 환경변수에 암호화하지 않은 평문으로 저장돼 있었다. 1개는 중복이다.

접속키 같은 중요 정보는 소스코드와 분리해 관리해야 한다. 소스코드에 키를 그대로 넣으면 코드가 유출될 때 운영 시스템에 접근할 수 있는 열쇠까지 함께 넘어갈 수 있다.

공격자는 43개 운영환경 접속키 가운데 2개를 실제 공격에 사용했다. 이 키로 티빙의 아마존웹서비스(AWS) 운영환경에 들어간 뒤 개인정보 데이터베이스(DB) 접속에 필요한 아이디와 비밀번호까지 확보했다. DB 접속정보도 암호화하지 않은 평문 상태로 저장돼 있었다.

접근권한도 과도하게 부여돼 있었다. 티빙은 모든 개발자에게 전체 개발 프로젝트에 접근할 수 있는 권한을 줬다. 이 때문에 개발자 한 명의 접속키만 탈취해도 전체 개발 프로젝트에 접근할 수 있었다.

조사단은 피싱과 악성코드, 공급망 공격, 접속키 공유·오남용, 취약점 악용 등 최초 키 탈취 가능성을 조사했다. 개발자 노트북과 PC 9대도 포렌식했지만 구체적인 탈취 경로는 확인하지 못했다. 티빙의 가상사설망(VPN) 접속기록이 6일만 보관되는 등 로그 부족도 조사에 한계로 작용했다. 공격자의 신원은 경찰이 수사하고 있다.

첫 공격 ‘시스템 이상’으로 오판…2차 유출 못 막아

공격자는 지난 5월 30일 운영환경 접속키와 DB 접속정보를 이용해 이용자 정보 유출을 처음 시도했다. 이 과정에서 DB 서버 중앙처리장치(CPU) 사용률이 100%까지 올라가면서 이상징후 알람이 발생했다.

조사단에 따르면, 티빙은 당시 이상징후를 알고 해당 데이터 조회 작업을 차단했다. 그러나 당시 이를 해킹이 아닌 시스템 이상으로 판단했다. 추가 침해 가능성에 대비한 보안조치는 하지 않았다.

공격자는 다음 날 다른 운영환경 접속키를 이용해 다시 침투했다. 해당 키에는 AWS 안에 가상 서버를 만들 수 있는 권한이 있었다. 공격자는 가상 서버를 만든 뒤 DB 이용자 정보를 이 서버로 옮기고 해외 서버로 빼냈다. 약 24기가바이트(GB) 크기에 달한다. 이후 흔적을 지우기 위해 가상 서버를 삭제했다.

두 번째 공격에서는 CPU 사용률이 10% 이내로 유지됐다. 조사단은 공격자가 첫 공격에서 CPU 과부하로 탐지된 뒤 이를 피하도록 시스템 부하를 조절한 것으로 판단했다. 조사단은 데이터가 해외 서버로 나간 흔적까지 추가로 확인했다고 밝혔다. 다만 어느 국가의 서버인지와 현재 데이터가 남아 있는지까지는 확인하지 못했다고 덧붙였다.

2년 전 모의해킹서 이미 ‘하드코딩’ 문제 확인

티빙은 이번 사고에 악용된 접속키 관리 문제를 2024년 모의해킹에서 이미 발견했다. 개발·운영환경 접속키를 소스코드에 그대로 노출하는 하드코딩 취약점을 확인했지만 개선하지 않았다.

정부는 이런 키 관리 방식이 현행 정보보호 관리체계(ISMS) 인증 기준에 맞지 않는다며, 관리감독을 제대로 하지 못했다고 설명했다.

키 관리 절차도 부족했다. 티빙은 접속키의 발급·사용·변경·폐기를 체계적으로 관리하지 않았고 일부 개발자는 사내 메신저를 통해 접속키를 공유했다.

모니터링 체계도 시스템 CPU 부하 등을 확인하는 수준에 머물렀다. 비정상적인 네트워크 흐름이나 대량 데이터 조회를 실시간 탐지·차단하는 체계는 갖추지 못했다.

보안 인력이 부족하다는 문제도 있었다. 티빙의 정보보호 전담인력은 외주인력을 제외하고 4명 안팎이었다. 티빙 전체 임직원은 265명, 개발인력은 149명이다.

사고 신고도 법정기한을 넘겼다. 정부는 티빙 정보보안팀에 운영환경 접속키 탈취와 정보유출 의심 상황이 전달된 5월 31일 오전 10시 10분을 침해사고 인지 시점으로 판단했다. 티빙은 다음 날 오후 3시 8분 한국인터넷진흥원(KISA)에 신고했다.

정보통신망법은 침해사고 인지 후 24시간 안에 신고하도록 규정한다. 과기정통부는 신고 지연을 이유로 티빙에 3000만원 이하의 과태료를 부과할 예정이다. 다만 이번 사고는 강화된 법안의 적용 대상은 아니다. 9월 11일 시행되는 개정 개인정보보호법과 10월 1일 시행되는 개정 정보통신망법보다 앞선 지난 5월 발생했기 때문이다. 개정 개인정보보호법은 반복적이거나 고의·중과실에 따른 대규모 개인정보 유출에 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 제재를 강화했다.

정부는 티빙에 이달 중 재발방지 대책 이행계획을 제출하도록 했다. 티빙은 접속키 관리와 접근권한 통제, 비정상 행위·대량 데이터 조회 탐지체계를 강화해야 한다. 올해 10월부터 12월까지 조치 상황을 확인하고 내년 1월부터 이행 여부를 점검할 계획이다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network