티빙 3954만 계정 중복 규모 미확정…"SNS 추가 유출 위험 없어" 작성일 09-03 58 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">CI 없는 2040만 계정 중복 확인 못해<br>SNS 연계서비스 추가 유출 가능성엔 선 그어<br>접속키 관리 부실에도 ISMS 인증…인증 취소제도 보완</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="1zCFVBWIEa"> <p contents-hash="b038106b0c6acd97b3f10dc3dee8724874100f5766ffeb3b9b89fca3d434e212" dmcf-pid="tqh3fbYCmg" dmcf-ptype="general">[뉴스토마토 이지은 기자] 온라인동영상서비스(OTT) 티빙 침해사고로 3954만개 계정 정보가 유출됐지만, 실제 개인정보가 유출된 이용자 수는 아직 특정되지 않은 것으로 확인됐습니다. 연계정보(CI)가 있는 계정에서는 580만개의 중복을 확인했지만, CI가 없는 2040만개 계정은 동일인 여부를 판별하지 못했기 때문입니다. CJ ONE과 소셜네트워크서비스(SNS) 간편가입을 통해 생성된 계정도 대거 유출됐지만, 정부는 네이버·카카오 등 외부 연계 서비스로 개인정보 유출이 확대될 위험은 없는 것으로 판단했습니다. </p> <p contents-hash="57995f8dac6e24a1a34f107560171a9ef6f860342427dc5d7357a4a87c1af242" dmcf-pid="FBl04KGhEo" dmcf-ptype="general">3일 과학기술정보통신부 민관합동조사단이 발표한 티빙 침해사고로 유출된 계정은 총 3954만개입니다. 활성계정 2206만개와 휴면계정 850만개, 탈퇴계정 887만개, 테스트계정 11만개가 모두 유출됐습니다. 한 이용자가 가입 방식에 따라 여러 계정을 만든 경우도 포함됐습니다. </p> <p contents-hash="c6337027780420fdcd903d831b1aca5c337c6f949a003d0918734fbfa9459442" dmcf-pid="3bSp89HlsL" dmcf-ptype="general">결과적으로 실제 이용자 규모는 3954만명보다 적을 것으로 보이지만 정확한 수치는 확인되지 않았습니다. 조사단은 CI를 보유한 1904만개 계정을 분석해 약 580만개의 중복을 확인했습니다. 중복을 제거하면 1324만개입니다. 문제는 CI를 보유하지 않은 나머지 2040만개 계정입니다. CI가 없는 계정과 CI 보유 계정 간 중복은 물론 CI 미보유 계정끼리의 중복도 있을 수 있지만 이를 확인할 방법을 찾지 못했습니다. </p> <p contents-hash="2d6e82414f03bd58ab4bf888196d53cc30000a812e3025c586ffac7c63623737" dmcf-pid="0iUQjLKpOn" dmcf-ptype="general">임정규 과기정통부 정보보호네트워크정책관은 이날 진행된 브리핑에서 "CI를 보유하지 않은 2040만개 계정에 대해서는 중복 여부를 확인할 수 있는 방법을 찾지 못했다"며 "구체적인 부분은 개인정보위 조사 과정에서 보다 상세히 확인될 것"이라고 설명했습니다. </p> <figure class="figure_frm origin_fig" contents-hash="6ad0dbae325d694ed7ba661800e849e09f6057c7184973039a3f420fd3074f24" dmcf-pid="pnuxAo9UOi" dmcf-ptype="figure"> <p class="link_figure"><img alt="임정규 과학기술정보통신부 네트워크정책관이 3일 티빙 침해사고 조사결과를 발표하고 있다. (사진=뉴스토마토)" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202609/03/552844-rQASa10/20260903155652317larp.jpg" data-org-width="4000" dmcf-mid="ZSJmHTNdDj" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202609/03/552844-rQASa10/20260903155652317larp.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 임정규 과학기술정보통신부 네트워크정책관이 3일 티빙 침해사고 조사결과를 발표하고 있다. (사진=뉴스토마토) </figcaption> </figure> <p contents-hash="31ed4d1d19520a2f7e7853428f8df66f891612942198ebf82c77f49a5702ff81" dmcf-pid="UL7Mcg2uEJ" dmcf-ptype="general">CJ ONE과 SNS 간편가입 계정의 유출이 다른 서비스의 추가 피해로 이어질 가능성에 관심이 쏠렸지만, 조사단은 추가 유출 가능성에는 선을 그었습니다. 유출 계정 가운데 CJ ONE 통합회원은 863만개, SNS 간편가입 계정은 2247만개에 달합니다. </p> <p contents-hash="2cc0ffde2151d34daf70d8ba0847b7b7dc4297281464cd27b1e9aea5c56ab8df" dmcf-pid="uozRkaV7Od" dmcf-ptype="general">임정규 정책관은 "SNS를 통해 티빙에 가입할 경우 일반적으로 이름과 이메일주소가 티빙에 전달되며, 네이버의 경우 출생연도와 성별까지 전달된다"면서 "이후 본인확인 과정에서 휴대전화번호와 CI, 생년월일, 성별 등을 티빙이 별도로 수집하는 구조이기에 티빙 정보 유출로 SNS 정보가 동시에 유출될 위험은 없다"고 말했습니다. </p> <p contents-hash="97c931b7d814ef1c08da7d7feaeadf8b1a46555712250e911bc855a2251b2451" dmcf-pid="7gqeENfzDe" dmcf-ptype="general">이번 티빙 침해사고는 ISMS 인증을 받은 기업에서 기본적인 접속키 관리조차 제대로 이뤄지지 않았다는 점에서 인증제도의 실효성 문제도 드러냈습니다. 티빙은 개발·운영환경에 접근할 수 있는 접속키를 소스코드에 그대로 노출하거나 암호화하지 않은 평문 형태로 저장했습니다. 개발 프로젝트 361건에는 운영환경 접속키 43개가 포함돼 있었고, 공격자는 이 가운데 2개를 이용해 운영환경에 침투했습니다. 데이터베이스(DB) 접속에 필요한 아이디와 비밀번호 역시 암호화되지 않은 상태로 저장돼 공격자에게 탈취됐습니다. </p> <p contents-hash="bd2d30ba787afcf9579c46ff9476b52e45017283130309e5fc02b35aadf9b69d" dmcf-pid="zaBdDj4qmR" dmcf-ptype="general">접속키 관리 기준은 이미 ISMS 인증기준에 포함된 사항입니다. 임 정책관은 "이번에 확인된 키 관리체계 문제는 명확히 ISMS에 규정돼 있는 부분"이라며 "인증받은 기업에서 이러한 문제가 발생한 것에 대해 죄송하다"고 말했습니다. </p> <p contents-hash="1c99a0111d59f45a293c32442c16936d54011f82f6e699b29d1e1ea5ff64740c" dmcf-pid="qNbJwA8BwM" dmcf-ptype="general">정부는 잇따른 침해사고를 계기로 ISMS 인증제도의 실효성을 높이는 작업을 진행하고 있습니다. 쿠팡 사고 이후 마련한 제도 개편안에 따라 인증기준을 강화하고 실제 현장을 찾아 보안조치 이행 여부를 확인하는 방식으로 심사체계를 개선한다는 방침입니다. 다만 인증 이후 중대한 보안 문제가 확인되더라도 인증을 취소할 수 있는 제도는 현재 없습니다. 임 정책관은 "현재 인증 취소와 관련된 제도가 없어 이 부분을 보완하고 있는 중"이라고 답했습니다. </p> <p contents-hash="4682158db4369b03a4b7337058e84e4179ff9ab496d1812c0683485f00d10d01" dmcf-pid="BjKirc6bmx" dmcf-ptype="general">이지은 기자 jieunee@etomato.com</p> </section> </div> 관련자료 이전 ‘메모리 빅3’ 영향력 줄이기 혹은 HBM 생태계 최적화…엔비디아 ‘NVHBM’ 발표 [고든 정의 TECH+] 09-03 다음 정부 "티빙 해킹범, 탈취경로 못찾아"[일문일답] 09-03 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
