티빙, 직원 265명인데 보안전담 단 4명…해킹 신고도 늦었다 작성일 09-03 40 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">이상징후 포착 후 CISO 보고까지 14시간…초동 대응 미흡<br>법정 신고기한 24시간도 넘겨…과기정통부, 과태료 부과 예정</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="940zgJqF5U"> <figure class="figure_frm origin_fig" contents-hash="9a409e63e56331ab284ed15c2b139825674cee69f4bf6ece301e78449bc1cacc" dmcf-pid="28pqaiB3Zp" dmcf-ptype="figure"> <p class="link_figure"><img alt="(챗GPT 생성 이미지)" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202609/03/NEWS1/20260903141529587mdrk.jpg" data-org-width="1400" dmcf-mid="bRubjLKpH7" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202609/03/NEWS1/20260903141529587mdrk.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> (챗GPT 생성 이미지) </figcaption> </figure> <p contents-hash="5b48d05b2e4929beb6aed1e246f8113d3367536f602fcd07f66ea9328213c0d2" dmcf-pid="V6UBNnb0X0" dmcf-ptype="general">(서울=뉴스1) 나연준 기자 = 온라인동영상서비스(OTT) 티빙의 대규모 개인정보 유출 사고 당시 정보보호 전담인력은 4명 내외였던 것으로 조사됐다. 전체 임직원 265명, 개발인력 149명 규모에 비해 정보보호 전담인력이 부족해 상시 보안관제와 취약점 점검 등에 한계가 있었다는 게 조사단의 판단이다.</p> <p contents-hash="02ada6cde756ec9402d5913e44659f424845418a322f5afe9b4c9c264257ea1e" dmcf-pid="fPubjLKpX3" dmcf-ptype="general">해킹 이상징후가 발생한 뒤 침해사고 대응을 총괄하는 정보보호 최고책임자(CISO)에게 상황이 전달되기까지 약 14시간이 걸렸다. 한국인터넷진흥원(KISA)에 침해사고를 신고한 시점도 법정 기한인 사고 인지 후 24시간을 넘긴 것으로 나타났다.</p> <p contents-hash="22d86514695077e26c99f7947282b65e45555b64d40bb8e3ec7dd410bc1226f6" dmcf-pid="4Q7KAo9U1F" dmcf-ptype="general">과학기술정보통신부는 3일 티빙 침해사고에 대한 민관합동조사단 조사 결과를 발표했다.</p> <p contents-hash="0a3233d96a5ebe46f38594408334fabb107476e3985a19b8201fe2c704f98514" dmcf-pid="87Y5x41ytt" dmcf-ptype="general">조사 결과 공격자는 티빙 내부 시스템에 무단 침투해 총 3954만 개 계정의 정보와 소스코드가 포함된 개발 프로젝트 361건(30.35GB)을 유출했다.</p> <p contents-hash="201b9f8b182f13ccf39d500614746bd5697a42312331241ef7c1a96798d34d08" dmcf-pid="6zG1M8tWZ1" dmcf-ptype="general">조사단에 따르면 티빙의 전체 임직원은 265명, 개발인력은 149명 규모였지만 정보보호 전담인력은 외주인력을 제외하고 4명 내외였다.</p> <p contents-hash="94a113fd5685eb4244cf66dd80b2998ca92d0f81315be4a029c3cf7370893579" dmcf-pid="PqHtR6FYt5" dmcf-ptype="general">조사단은 이 같은 인력 규모로 상시 보안관제와 취약점 점검, 비정상 행위 모니터링 등 다양한 정보보호 활동을 수행하는 데 한계가 있었을 것으로 판단했다.</p> <p contents-hash="b220c7770096a70f56d0052850dfe5d237b2b3c17fe15548c208dd9398240227" dmcf-pid="QBXFeP3GZZ" dmcf-ptype="general">침해사고 발생 이후 내부 상황 전파와 대응 과정에서도 문제점이 확인됐다.</p> <p contents-hash="31e63c2bb622a62bcde24bca042d8c1340bdc9be19b5b6a8edde4a42b7b896be" dmcf-pid="xbZ3dQ0H5X" dmcf-ptype="general">티빙 데이터베이스(DB) 서버에서는 5월 30일 오후 6시쯤 작업량 과다로 CPU 이용률이 100%까지 올라가는 이상징후가 발생했다. 하지만 침해사고 대응을 총괄하는 정보보호 전담조직과 CISO에게 상황이 공유된 것은 약 14시간 뒤였다.</p> <p contents-hash="de54d97b54bbf3dcc92751725acf1532dff2e850a76fdca33f23c4c0887caf47" dmcf-pid="yriaHTNd5H" dmcf-ptype="general">티빙 자체 규정상 CISO는 보안사고 조사와 대응을 총괄한다. 조사단은 침해사고 발생 시 초동조치를 위한 부서 간 신속한 상황 전파와 협업체계가 미흡했다고 판단했다.</p> <p contents-hash="4b91099d61cfd09f0fa4e28982500cd37a1b560ae0b3616a08da63190f440639" dmcf-pid="WmnNXyjJtG" dmcf-ptype="general">정부 신고도 법정 기한을 넘겼다. 현행 정보통신망법에 따르면 침해사고를 인지한 기업은 24시간 이내에 과기정통부 또는 KISA에 신고해야 한다.</p> <p contents-hash="66fd968151ff9a714f256d574671a298006dbf4a03e7965aaa7bf9fb47174445" dmcf-pid="YsLjZWAiYY" dmcf-ptype="general">티빙 정보보안팀에 사고 상황이 전달된 시점은 5월 31일 오전 10시 10분이었다. 티빙이 KISA에 침해사고를 신고한 것은 다음 날인 6월 1일 오후 3시 8분으로 24시간을 초과했다.</p> <p contents-hash="ead21aac321984b2bbadac61f2be59c3ef99f6e3e057bfadddf70308b771e74b" dmcf-pid="GOoA5YcnYW" dmcf-ptype="general">과기정통부는 신고 지연이 정보통신망법 위반에 해당한다고 보고 티빙에 과태료를 부과할 예정이다. 현행법상 3000만 원 이하의 과태료 부과 대상이다.</p> <figure class="figure_frm origin_fig" contents-hash="e433f442457657e42b441fc9c1f1c652f1732f7e53357d7c3fd55c45d9a0e906" dmcf-pid="H3SY4KGhXy" dmcf-ptype="figure"> <p class="link_figure"><img alt="(과기정통부 제공)" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202609/03/NEWS1/20260903141530918wnyl.jpg" data-org-width="621" dmcf-mid="KGcrp1mj5u" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202609/03/NEWS1/20260903141530918wnyl.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> (과기정통부 제공) </figcaption> </figure> <p contents-hash="b6141144b77cebced539aa69e36fabcbf5c60f3ace74508e206d1a89e68b85c4" dmcf-pid="X0vG89Hl5T" dmcf-ptype="general">공격자의 비정상적인 움직임을 탐지하고 차단하기 위한 보안 체계도 미흡했던 것으로 조사됐다.</p> <p contents-hash="f6b2e30c7cbdb2f08680ffa8fc7ab747ecb6f3c468d91710786f1d5299bf8fae" dmcf-pid="ZpTH62XSHv" dmcf-ptype="general">티빙은 CPU 부하 등 시스템 상태 모니터링에 의존했고 네트워크와 데이터 흐름에서 발생하는 비정상 행위를 실시간으로 탐지·차단할 수 있는 정보보호 체계를 갖추지 못한 것으로 나타났다.</p> <p contents-hash="cddbe88a774e392f1e4e476abc53951ee532b3dba9651c3a1357e244f5818cea" dmcf-pid="5UyXPVZvtS" dmcf-ptype="general">네트워크·시스템 접근제어 정책도 미흡했다. 인가된 IP만 접근하도록 제한하거나 다중인증(MFA)을 적용하는 등의 보안 체계가 제대로 마련되지 않았다는 게 조사단의 판단이다.</p> <p contents-hash="4e5827b133cb7594568f883c6b98c270ff568e9d8e83b6ba2b832179e4e8d6c4" dmcf-pid="1uWZQf5Ttl" dmcf-ptype="general">접속기록 관리에서도 문제점이 확인됐다. 티빙은 시스템 로그를 선별적으로 저장·관리했고 신규 가상사설망(VPN) 장비에는 기존 로그관리 정책을 제대로 적용하지 않았다. 이에 따라 해당 VPN 접속기록은 약 6일 치만 보관돼 있었다.</p> <p contents-hash="56d9d775340c83c5160977a1679ff62b551c20fcf8bf181a2fa9ad51b10fcb06" dmcf-pid="t7Y5x41y1h" dmcf-ptype="general">업무용 PC의 백신 소프트웨어 설치와 최신 버전 관리 등 정기적인 보안점검도 미흡했던 것으로 조사됐다.</p> <p contents-hash="d07bda1bbe120b91f42a4781846ce50355fedc1041283ce46acbcfaa4eed10a9" dmcf-pid="FzG1M8tWYC" dmcf-ptype="general">과기정통부는 티빙에 충분한 정보보호 전담인력과 예산을 확보하고 정보보호 전담부서의 역할과 부서 간 협업·대응 체계를 재정립하도록 요구했다.</p> <p contents-hash="d0e4a5ad2870ea1c53b118aa23af6a3cdc78aa31693661bd6c69e2794d68a208" dmcf-pid="3qHtR6FY5I" dmcf-ptype="general">비정상 행위 탐지와 대량 데이터 조회 모니터링을 강화하고 인가된 이용자와 단말기만 내부 시스템에 접근할 수 있도록 접근제어 정책도 강화하도록 했다.</p> <p contents-hash="ff70c66094345f214d1a59e004a74878fc09e7e385d2171cafd28f2364bf2681" dmcf-pid="0BXFeP3GGO" dmcf-ptype="general">과기정통부는 티빙에 재발방지 대책에 따른 이행계획을 이달 중 제출하도록 하고 2027년 1월 이행 여부를 점검할 계획이다. 점검 결과 보완이 필요한 사항에는 정보통신망법에 따라 시정조치를 명령할 방침이다.</p> <p contents-hash="7423835ea666692685501c7ba55594c369f04e9f3ef911e2f9e716918bd1dad5" dmcf-pid="ppTH62XSZs" dmcf-ptype="general">yjra@news1.kr </p> </section> </div> <p class="" data-translation="true">Copyright © 뉴스1. All rights reserved. 무단 전재 및 재배포, AI학습 이용 금지.</p> 관련자료 이전 구글, 광고기술 사업 분할 피했다…미 법원, 애드엑스 매각 기각 09-03 다음 마키나락스 “제조 현장 반영된 AI로 완전자율공장 구축” 09-03 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
