티빙 간편가입 정보 유출, ‘접근 토큰’ 유출 여부가 변수

티빙에서 발생한 대규모 개인정보 유출 사고의 피해 대상에 네이버·카카오 간편가입 이용자와 KT 보상 이용권 사용자가 포함됐다. 이에 네이버·카카오 계정의 추가 정보까지 유출될 수 있는지에도 관심이 쏠린다. 보안 전문가들은 티빙이 보유한 개인정보만 유출됐다면 공격자가 해당 정보로 제휴사 계정의 추가 정보를 조회하기는 어렵다고 보고 있다. 다만 접근 토큰까지 유출됐는지는 정부의 민관합동조사를 통해 확인해야 하는 상황이다.

지난 6월 22일 기준 티빙의 개인정보 유출 대상은 약 1953만명이다. KT가 개인정보 유출 피해 보상으로 제공한 티빙 이용권을 실제 사용한 41만6000여명도 여기에 포함됐다. 네이버·카카오 계정으로 가입한 이용자의 이름과 이메일, 휴대전화번호, 계정 식별정보 등 티빙에 저장된 정보도 유출 대상에 포함된 것으로 파악됐다.

티빙 측은 제휴사가 보유한 원본 고객정보가 추가로 유출된 것은 아니라고 밝혔다. 이용자가 티빙에 가입하거나 이용권을 등록할 때 직접 입력했거나, 티빙이 이용자를 식별하기 위해 확보한 정보가 유출됐다는 설명이다. 또한 KT 이용권 사용자 41만6000여명도 기존 유출 규모에 포함된 이용자이며, 별도의 2차 유출은 아니라는 입장이다.

간편로그인 정보는 어떻게 전달되나

간편로그인은 이용자가 네이버나 카카오 계정으로 다른 서비스에 가입하거나 로그인하는 방식이다. 이용자는 네이버·카카오 계정의 비밀번호를 티빙에 직접 전달하지 않는다.

네이버 개발자센터에 따르면, 서비스 사업자는 이용자 인증이 끝난 뒤 발급받은 접근 토큰으로 회원 프로필 조회 ‘애플리케이션 프로그래밍 인터페이스(API)’를 호출한다. 이용자가 동의하면 이름과 이메일, 휴대전화번호 등을 조회할 수 있다. 카카오도 비슷한 방식이다. 로그인 과정에서 받은 인가 코드로 접근 토큰을 발급받은 뒤, 이를 이용해 카카오 회원번호와 이용자가 제공에 동의한 정보를 조회한다.

티빙이 네이버·카카오 간편가입 과정에서 실제로 어떤 정보를 받았고, 접근 토큰을 별도로 저장했는지는 확인되지 않았다.

접근 토큰 유출 여부가 변수

접근 토큰은 서비스가 이용자를 대신해 허용된 정보나 기능에 접근할 때 사용하는 인증 수단이다. 갱신 토큰은 접근 토큰이 만료됐을 때 새 접근 토큰을 발급받는 데 쓰인다.

인증보안 전문기업 센스톤 관계자는 “티빙에 저장된 개인정보와 이용자 식별값만 유출되고 접근 토큰은 유출되지 않았다면, 공격자가 해당 정보만으로 제휴사에서 추가 이용자 정보를 조회하기는 어렵다”고 설명했다.

그는 “반대로 접근 토큰까지 유출됐다면 공격자가 제휴사 API를 호출해 추가 정보를 가져갈 수 있다”며 “갱신 토큰이 함께 유출됐다면 이용자가 알지 못하는 사이 권한을 더 오래 사용할 위험도 있다”고 덧붙였다.

맞춤형 피싱 등 후속 피해 가능성 남아

접근 토큰이 유출되지 않았더라도 개인정보와 실제 서비스 이용 이력이 함께 노출되면 후속 피해 가능성은 남는다.

센스톤 관계자는 “공격자가 ‘KT 보상 이용권 추가 지급’이나 ‘티빙 결제 오류’처럼 이용자가 실제 이용한 서비스를 언급해 접근할 수 있다”며 “연계정보(CI)가 다른 개인정보 유출 자료에도 포함돼 있다면 여러 서비스에서 유출된 정보를 같은 사람의 정보로 연결하는 데 쓰일 가능성도 있다”고 설명했다.

티빙도 개인정보 유출 확인 안내에서 스팸과 보이스피싱, 스미싱 등에 유의해 달라고 이용자에게 당부했다. 다만 현재 이런 방식의 2차 피해가 실제로 발생했는지는 확인되지 않았다.

현재 과학기술정보통신부는 민관합동조사단을 통해 티빙 사고의 침투·유출 경로와 정보보호 관리체계를 조사하고 있으며, 오는 8월 조사 결과를 발표할 예정이다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network