과기부 “티빙 3954만 계정·30GB 규모 내부 프로젝트 유출” 조사결과 발표 작성일 09-03 46 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="84HLmkPKsk"> <figure class="figure_frm origin_fig" contents-hash="1e3ddee8a828d8f75d69ab6bc093537ddaa62368f92e9372c20eac6ed03cbb59" dmcf-pid="68XosEQ9Ic" dmcf-ptype="figure"> <p class="link_figure"><img alt="온라인 동영상서비스 티빙이6월3일 누리집에 올린 공지. 티빙 누리집 갈무리" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202609/03/hani/20260903140648485rmbf.jpg" data-org-width="565" dmcf-mid="fKDqx41yID" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202609/03/hani/20260903140648485rmbf.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 온라인 동영상서비스 티빙이6월3일 누리집에 올린 공지. 티빙 누리집 갈무리 </figcaption> </figure> <p contents-hash="0f045f1fbdf756bbbc7be5f012aff9d3af292dc2839ba0f328c589b643d3e6b2" dmcf-pid="P6ZgODx2OA" dmcf-ptype="general"> 국내 온라인동영상서비스(OTT) 티빙이 시스템 접속 키를 허술하게 관리한 탓에 3954만개 계정에 담긴 개인정보와 추천·검색 알고리즘 등 핵심 기술자산이 유출된 것으로 드러났다.</p> <p contents-hash="82a71e3bf32d9c2ffd31e39e6de86404bc084c48ab11496ea15b10491b4419f3" dmcf-pid="Qvn3VBWIOj" dmcf-ptype="general">과학기술정보통신부 민관합동조사단은 3일 오후 2시 서울 종로구 정부서울청사에서 티빙 침해사고 관련 브리핑을 열고 조사 결과를 발표했다. 조사단은 티빙의 침해 신고가 이뤄진 직후인 6월3일 구성돼 피해 규모와 사고 원인을 파악해왔다. </p> <p contents-hash="b2106a50aabf38698deddc852de09c634bfcc3e335402c2b8b5f6d635146419b" dmcf-pid="xTL0fbYCON" dmcf-ptype="general">조사 결과를 보면, 유출된 계정 수는 로그인이 가능한 활성 계정 2206만개, 휴면·탈퇴 계정 1737만개, 테스트 계정 11만개 등 모두 3954만개로 집계됐다. 이는 동일인이 다수의 계정을 보유한 경우를 포함한 수치다. 실제 개인정보 유출 인원과 세부 규모는 개인정보보호위원회가 추후 확정할 예정이다.</p> <p contents-hash="45d226b770fdc395b858dadb7cc019508bdbb9c63baad62ea73332601c1187b7" dmcf-pid="yQ1NCrRfra" dmcf-ptype="general">유출 정보는 이름, 휴대전화 번호, 아이디, 비밀번호, 생년월일, 연계정보(CI), 결제 이력 등 20개 항목(70종)이다. 휴대전화번호와 이메일 일부는 암호화돼 있었지만 암호화 키도 함께 유출돼 복호화할 수 있는 상태였다. 비밀번호는 복호화가 불가능한 일방향 암호화 상태였다. </p> <p contents-hash="95fc8454083c1a9182139b503896274ba76d3873ecc485b88af0e74627161f18" dmcf-pid="Wxtjhme4mg" dmcf-ptype="general">이번 유출 사고로 회원 계정뿐만 아니라 티빙 내부의 기술 자산 또한 함께 빠져나갔다. 조사단은 티빙 개발자가 구축·개발 중인 소스코드가 포함된 개발 프로젝트 361건(30.35 기가바이트(GB) 규모)이 함께 유출된 것으로 파악했다. 해당 자료에는 이용자 맞춤형 콘텐츠 추천 및 검색 알고리즘, 이용자 관리 및 인증체계 등의 기술 자산이 포함돼 있었다. </p> <figure class="figure_frm origin_fig" contents-hash="6980e09905ae831090add8ac75c6c629aded5d050e060a59d14d5cfcdedef191" dmcf-pid="YMFAlsd8ro" dmcf-ptype="figure"> <p class="link_figure"><img alt="해커가 티빙 개발·운영환경에 침투한 과정. 과학기술정보통신부 제공" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202609/03/hani/20260903140649737txbv.jpg" data-org-width="621" dmcf-mid="4Q1NCrRfOE" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202609/03/hani/20260903140649737txbv.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 해커가 티빙 개발·운영환경에 침투한 과정. 과학기술정보통신부 제공 </figcaption> </figure> <p contents-hash="09d74778770c8f502bac5e88f6aeee6face14e147e2f6353b60926a9c2d646cf" dmcf-pid="GR3cSOJ6EL" dmcf-ptype="general"> 조사단은 티빙 내부의 개발·운영환경 접속키 관리 부실이 대규모 정보 유출로 이어졌다고 판단했다. 조사단이 재구성한 공격 과정을 보면, 해커는 사전에 탈취한 ‘개발환경 접속키’를 이용해 티빙 개발환경에 무단으로 접속했고, 두 차례 공격으로 거쳐 개발 프로젝트 361건 전체를 유출했다. 해당 자료에는 아마존웹서비스(AWS) 운영환경에 접근할 수 있는 접속키 43개가 소스코드 안에 그대로 적혀 있거나(하드코딩) 별도의 암호화 없이 설정값으로 저장돼 있었다. 해커는 이 가운데 2개의 운영환경 접속키를 활용해 이용자 정보가 담긴 데이터베이스(DB)에 접근한 것으로 조사됐다. 해커는 5월30일 첫 공격을 시도했으나 서버 중앙처리장치(CPU) 이용률이 100%까지 치솟으면서 이상징후 알림이 발생했고, 티빙은 알림을 확인한 뒤 해당 작업을 차단 조치 했다. 하지만 이튿날 해커가 별도의 가상 서버를 만든 뒤 이를 정보 유출 통로로 활용해 개인정보 24GB를 빼돌린 것으로 파악됐다. 조사단은 공격의 단초가 된 개발환경 접속키가 어떤 경로로 해커에게 넘어가게 됐는지 추적했으나 밝히지 못했다.</p> <p contents-hash="48eb8c17205172fd4f98b4c456378be8e4a702edf575799f8129dea5ff684548" dmcf-pid="He0kvIiPrn" dmcf-ptype="general">조사단은 티빙의 정보보호 체계 전반에 문제점이 있다고 보고 재발방지 대책 마련을 요구했다. 조사단은 티빙이 프로젝트 접근 권한을 업무 목적에 따라 최소한으로 부여해야 함에도 모든 개발자에게 전체 개발 프로젝트 접근 권한을 부여했고, 접속키를 암호화하지 않고 저장하는 등 관리체계가 미흡했다고 지적했다. 특히 티빙은 2024년 모의해킹에서 소스코드에 접속키를 그대로 적어두는 취약점을 발견하고도 개선하지 않았다.</p> <p contents-hash="fbd869190a2e340f15571b468a3f33d9d502179628fcf4562bb50911cbb8cd07" dmcf-pid="XdpETCnQOi" dmcf-ptype="general">아울러 비정상 공격 행위 탐지도 중앙처리장치 부하 등 단순 모니터링에만 의존했을 뿐, 네트워크와 데이터 흐름 등을 실시간으로 탐지하는 보호 체계가 부재했다고 봤다. 정보보호 전담인력 또한 외주인력을 제외하면 4명 안팎이어서 정보보호 활동에 한계가 있다고 봤다. </p> <p contents-hash="d5c40810cc2180af774b26abeb651a7208e310d74f68f786f26824dbd09af8e1" dmcf-pid="ZJUDyhLxrJ" dmcf-ptype="general">과기정통부는 티빙이 침해사고 신고를 지연했다고 보고 과태료를 부과할 예정이다. 조사단은 티빙이 5월31일 오전10시10분 최초 침해사실을 인지하고도 29시간가량이 지난 6월1일 오후3시8분께 한국인터넷진흥원(KISA·키사)에 신고했다고 봤다. 정보통신망법상 침해사고를 알게 된 때부터 24시간 이내에 과기정통부 또는 키사에 신고해야 한다.</p> <p contents-hash="38effe13f1a582ca14d92f572ca1716195ec3e079b518f204ad64561bda63b0b" dmcf-pid="5iuwWloMrd" dmcf-ptype="general">과기정통부는 “조사결과를 토대로 티빙에 재발방지 대책에 따른 이행계획을 제출하도록 하고 티빙의 이행여부를 점검할 계획”이라고 말했다. </p> <p contents-hash="a0333167b7a853ecbec5fdffe21381ada8b91527ae63b2ccf1265f89f858cdaf" dmcf-pid="1n7rYSgREe" dmcf-ptype="general">강재구 기자 j9@hani.co.kr</p> </section> </div> <p class="" data-translation="true">Copyright © 한겨레신문사 All Rights Reserved. 무단 전재, 재배포, AI 학습 및 활용 금지</p> 관련자료 이전 티빙 계정 3954만개 털렸다...SNS 간편가입 화 키워 09-03 다음 올해 IFA엔 ‘냉방·냉각기술’이 라이징스타...유럽 폭염에 에어컨 대전 펼쳐져 09-03 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
