티빙 계정 3954만개 털렸다...SNS 간편가입 화 키워 작성일 09-03 49 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">민관합동조사단 침해사고 조사 결과 발표<br>SNS 통한 가입 2247만개...57% 차지<br>성명·전화번호·생년월일 등 정보 유출<br>접속키 별도공간 보관 안하는 등 허술한 관리 탓<br>“다크웹 유통 등 이용자 피해 사례 확인 안돼”</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="Vj1yp1mjyV"> <figure class="figure_frm origin_fig" contents-hash="c7bdbf7c63122ff6bbc61494d66048a44175d9f7928b46ef7f00a2eb2221f13a" dmcf-pid="fAtWUtsAW2" dmcf-ptype="figure"> <p class="link_figure"><img alt="티빙 로고. 사진제공=티빙" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202609/03/seouleconomy/20260903140644014ljjg.png" data-org-width="480" dmcf-mid="2pLxjLKpCf" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202609/03/seouleconomy/20260903140644014ljjg.png" width="658"></p> <figcaption class="txt_caption default_figure"> 티빙 로고. 사진제공=티빙 </figcaption> </figure> <p contents-hash="35ea2972399da1047bb32c4c3c9168f28b5271c1eb8a226eb4950230b821a6e5" dmcf-pid="4MlwWloMW9" dmcf-ptype="general">올해 5월 말 발생한 티빙 해킹으로 인해 개인정보가 유출된 이용자 계정 규모가 중복 계정을 포함해 총 3954만개에 달하는 것으로 나타났다. 소셜네트워크서비스(SNS) 간편가입 계정이 2247만개로 전체 유출 규모의 약 57%를 차지했다. 공격자는 티빙의 허술한 보안 시스템을 틈타 개발자가 보유하고 있는 접속키를 빼앗아 티빙 내부 시스템에 침투한 것으로 조사됐다.</p> <p contents-hash="4b130791cabdedee5898f4a6fe30c8a0ac1edbc83ab19fb6d66ee0c1851eecd5" dmcf-pid="8RSrYSgRSK" dmcf-ptype="general">과학기술정보통신부는 3일 이 같은 내용을 골자로 하는 민관합동조사단 티빙 침해사고 조사 결과를 발표했다.</p> <p contents-hash="bb71f891bea99fa3bf2ef2bd82144fd19688bbb0e17083e13fa3d41247ca6a47" dmcf-pid="6evmGvaeCb" dmcf-ptype="general">여러 경로를 통해 복수 가입이 가능한 탓에 유출 규모가 예상보다 컸다. 조사단에 따르면 중복 계정을 포함해 3954만개에 달하는 계정에 대한 이용자 정보가 유출됐다. 이중 SNS(네이버·카카오·페이스북·애플·엑스 등) 간편가입 계정이 2247만개로 가장 많았다. CJ ONE 통합회원이 863만개, 티빙 자체 가입이 각각 726만개였다. 한 명의 이용자가 최대 13개 계정을 보유한 사례도 확인됐다.</p> <p contents-hash="eb602cf075b5a4f7c806cbfb287c8f6540af79972b4a2ef2587400ea25f8e288" dmcf-pid="PdTsHTNdlB" dmcf-ptype="general">전체 유출 계정 가운데 로그인이 가능한 <span>활성화 계정은 2206만개였다. 비활성화 계정은 1737만개(</span>휴면 계정 850만 개, 탈퇴 계정 887만 개),<span> 테스트 계정 11만개를 차지했다. </span></p> <p contents-hash="a2cb6a093b6963f975d1cb217a733ee4fbd1985a4747e916eeac376f55b90340" dmcf-pid="QJyOXyjJhq" dmcf-ptype="general"><span>유출된 정보는 ID와 비밀번호, CJ ONE 통합ID, 성명, 휴대전화 번호, 이메일 주소, 생년월일, 연계정보(CI) 등을 포함해 20개 항목(70종)에 달했다. 비밀번호는 일방향 암호화돼 평문으로 복호화할 수 없는 상태였고 환불 계좌번호도 암호화된 상태로 유출됐다. 다만 일부 휴대전화 번호와 이메일 주소는 암호화돼 있었지만 암호화키가 함께 유출돼 복호화가 가능한 것으로 조사됐다. 구체적인 개인정보 유출 규모는 개인정보보호위원회의 추가 분석을 거쳐 확정될 예정이다.</span></p> <p contents-hash="ad53a5b7419ceb376d77098dbe0d69a439e9f32bb8f9d30826a89374f36c9460" dmcf-pid="xiWIZWAilz" dmcf-ptype="general">해커는 티빙 개발자가 보유한 접속키를 탈취해 내부 시스템에 침투한 뒤 소스코드가 포함된 개발 프로젝트와 대규모 이용자 정보를 빼냈다. 유출된 티빙의 개발 프로젝트 361건의 데이터 규모는 30.35GB에 달한다. 여기엔 이용자 맞춤형 콘텐츠 추천과 검색 알고리즘, 이용자 관리 및 인증체계, 결제 관리, 유료 서비스 운영 등 티빙 서비스 운영을 위한 주요 기술 자산이 포함됐다.</p> <p contents-hash="2b584b99479d9c80bbb7e45606c84c58ba0f900698a09b88eb1b65503f645520" dmcf-pid="yZMViMUZC7" dmcf-ptype="general">공격은 개발자의 접속키 탈취에서 시작됐다. 공격자는 개발환경 접속키를 이용해 티빙의 개발 프로젝트 361건을 확보한 뒤 프로젝트 내부에서 운영환경 접속키를 찾아냈다. 당시 개발 프로젝트에는 총 43개의 운영환경 접속키가 포함돼 있었다.</p> <p contents-hash="aec18d05391a278fa6260847f001ae47381de4ed19325ed2aada363ecf0e3a1c" dmcf-pid="W5RfnRu5Su" dmcf-ptype="general">해커가 <span>티빙 운영환경에 침투할 수 있었던 데엔 티빙의 허술한 보안 관리 체계가 자리하고 있었던 것으로 분석된다. 조사단에 따르면 티빙은 </span><span>운영환경 접속키를 별도 저장공간에 분리 보관하지 않고 개발 편의상 소스코드 내부에 숨김없이 그대로 노출한 채 사용했다. 심지어 </span><span>2024년 모의해킹 당시 이러한 문제를 발견하고도 개선하지 않았다. </span><span>티빙의 </span><span>개발인력 149명에 비해 정보보호 전담인력은 4명 내외(외주인력 제외)에 그쳤다. </span></p> <p contents-hash="f9e01af5697f76081eecc2f0e35150fb9b46b61e5afdd386290eed34afe8a984" dmcf-pid="Y1e4Le71SU" dmcf-ptype="general">과기정통부는 현재까지 이용자 피해 사례는 확인되지 않았으며 다크웹 등을 통한 불법 거래나 유통 정황도 탐지되지 않았다고 밝혔다. 다만 휴대전화 번호와 이메일 주소 등이 유출된 만큼 스미싱과 보이스피싱 등 2차 피해 가능성은 여전히 존재한다고 봤다.</p> <p contents-hash="c197adc91357f3811f945fcb6d2b033e7ee55b80c4a5b26aca90b4ec19fa51af" dmcf-pid="Gtd8odztSp" dmcf-ptype="general">과기정통부는 재발방지 대책으로 접속키의 발급과 사용, 변경, 폐기 이력 및 접근권한을 관리하는 체계를 구축하고 비정상 행위와 대량 데이터 조회에 대한 탐지·모니터링을 강화하도록 했다. 충분한 정보보호 인력과 예산을 확보하고 로그 저장관리 정책을 정비하는 한편 모의해킹 등을 통해 발견된 취약점에 대한 조치도 강화할 것을 지시했다.</p> <p contents-hash="32fa7d52270d26838c1ffca9ff4a3cc217cb665a65ac82a18781be05b7d55dfa" dmcf-pid="H0nQNnb0S0" dmcf-ptype="general">김기혁 기자 coldmetal@sedaily.com</p> </section> </div> <p class="" data-translation="true">Copyright © 서울경제. 무단전재 및 재배포 금지.</p> 관련자료 이전 "이해도·신뢰성 높인 AI 에이전트"…KT, 데이터 활용 체계 구축 09-03 다음 과기부 “티빙 3954만 계정·30GB 규모 내부 프로젝트 유출” 조사결과 발표 09-03 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
