티빙 3954만개 계정 유출…이름·비번·휴대전화 번호 등 20개 항목 털렸다 작성일 09-03 61 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="KqNkJ41ysX"> <figure class="figure_frm origin_fig" contents-hash="413477d6ab0ec875d9f8a5a94c11e867755d9305c246f605e9937fd8baa3abca" dmcf-pid="9BjEi8tWEH" dmcf-ptype="figure"> <p class="link_figure"><img alt="티빙 경영진이 3일 서울 중구 코리아나호텔에서 ‘사이버 침해사고 관련 설명회’를 열어 유출 사고에 대해 공식 사과했다. 티빙 제공" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202609/03/hani/20260903185154732xzqj.jpg" data-org-width="800" dmcf-mid="qaRi47vmI1" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202609/03/hani/20260903185154732xzqj.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 티빙 경영진이 3일 서울 중구 코리아나호텔에서 ‘사이버 침해사고 관련 설명회’를 열어 유출 사고에 대해 공식 사과했다. 티빙 제공 </figcaption> </figure> <p contents-hash="3058fd1a213b0edc2117ff0bd39c91c3b25fbbbf2ba355a5c665471d3dc62c6d" dmcf-pid="2bADn6FYEG" dmcf-ptype="general"> 국내 온라인동영상서비스(OTT) 티빙이 시스템 접속 키를 허술하게 관리한 탓에 3954만개 계정에 담긴 개인정보와 추천·검색 알고리즘 등 핵심 기술자산이 유출된 것으로 드러났다. 티빙은 침해사고에 재차 사과하고 보안체계를 강화하겠다고 밝혔다.</p> <p contents-hash="e77249c7548a1a11184a4a4d570be2c9f2908015e224cbd14cb8ae1941c0400c" dmcf-pid="VKcwLP3GEY" dmcf-ptype="general">과학기술정보통신부 민관합동조사단이 3일 서울 종로구 정부서울청사에서 발표한 티빙 침해사고 조사 결과를 보면, 유출된 계정 수는 로그인이 가능한 활성 계정 2206만개, 휴면·탈퇴 계정 1737만개, 테스트 계정 11만개 등 모두 3954만개로 집계됐다. 이는 동일인이 다수의 계정을 보유한 경우를 포함한 수치다. 실제 개인정보 유출 인원과 세부 규모는 개인정보보호위원회가 추후 확정할 예정이다. 유출 정보는 이름, 휴대전화 번호, 아이디, 비밀번호, 생년월일, 연계정보(CI), 결제 이력 등 20개 항목(70종)이다. 조사단은 티빙의 침해 신고가 이뤄진 직후인 6월3일 꾸려져 피해 규모와 사고 원인을 파악해왔다.</p> <p contents-hash="11daa459e670a52a97e9c924df4193dd27b36b993ed5b1f9a3d55035ce175699" dmcf-pid="f9kroQ0HwW" dmcf-ptype="general">이번 유출 사고로 회원 계정뿐만 아니라 티빙 내부의 기술 자산 또한 함께 빠져나갔다. 조사단은 티빙 개발자가 구축·개발 중인 소스코드가 포함된 개발 프로젝트 361건(30.35 기가바이트(GB) 규모)이 함께 유출된 것으로 파악했다.</p> <figure class="figure_frm origin_fig" contents-hash="95bc243392ae656da391c81a7896968d414cd50a959c3f1033de54baa4fc148f" dmcf-pid="42EmgxpXIy" dmcf-ptype="figure"> <p class="link_figure"><img alt="최주희 티빙 대표가 3일 서울 중구 코리아나호텔에서 사이버 침해 사고와 관련해 공식 사과하는 모습. 티빙 제 공" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202609/03/hani/20260903185155970hscm.jpg" data-org-width="800" dmcf-mid="BccwLP3GE5" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202609/03/hani/20260903185155970hscm.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 최주희 티빙 대표가 3일 서울 중구 코리아나호텔에서 사이버 침해 사고와 관련해 공식 사과하는 모습. 티빙 제 공 </figcaption> </figure> <p contents-hash="757c8408f53431d6d92eb09ddd7d3ac7e3cd0a590547619da7f77300ec86275d" dmcf-pid="8fwONRu5mT" dmcf-ptype="general"> 조사단은 티빙 내부의 개발·운영환경 접속키 관리 부실이 대규모 정보 유출로 이어졌다고 판단했다. 조사단이 재구성한 공격 과정을 보면, 해커는 사전에 탈취한 ‘개발환경 접속키’를 이용해 티빙 개발환경에 무단으로 접속했고, 두 차례 공격으로 거쳐 개발 프로젝트 361건 전체를 유출했다. 해커가 탈취한 프로젝트 자료에는 운영환경에 접근할 수 있는 접속키 43개가 소스코드 안에 그대로 적혀 있거나(하드코딩) 별도의 암호화 없이 설정값으로 저장돼 있었다.</p> <p contents-hash="7ecf6f3623a2fb0e32ccc29d1edfc4ebb47d59073744a1eb2c3dd149d2511b75" dmcf-pid="64rIje71mv" dmcf-ptype="general">해커는 이들 중 일부를 활용해 이용자 정보가 담긴 데이터베이스(DB)에 두 차례 접근한 것으로 조사됐다. 티빙은 지난 5월30일 첫 공격 당시 서버 중앙처리장치(CPU) 이용률이 100%까지 치솟으면서 이상징후 알림을 확인한 뒤 해당 작업을 차단했으나, 이튿날 해커가 별도의 가상 서버를 만들어 접근한 공격은 즉각 인지하지 못했다.</p> <p contents-hash="2ac4a577b9cf45cbc50c3136e29d643a5ed6f1c25f8f75ae2e0c05983bf86dda" dmcf-pid="P8mCAdztOS" dmcf-ptype="general">조사단은 티빙에 정보보호 체계 전반에 문제점이 있다고 보고 재발방지 대책을 마련할 것을 요구했다. 조사단은 티빙이 프로젝트 접근 권한을 업무 목적에 따라 최소한으로 부여해야 함에도 모든 개발자에게 전체 개발 프로젝트 접근 권한을 부여했고, 접속키를 암호화하지 않고 저장하는 등 관리체계가 미흡했다고 지적했다. 이뿐만이 아니라 네트워크와 데이터 흐름 등을 실시간으로 탐지하는 보호 체계가 갖춰지지 않았고, 정보보호 전담인력도 외주인력을 빼면 4명 안팎에 그쳐 관련 활동에 한계가 있었다고 판단했다. 아울러 과기정통부는 티빙이 침해사고를 인지한 뒤 24시간이 지나 관련 사안을 신고해 정보통신망법을 위반했다고 보고 과태료를 부과할 예정이다.</p> <figure class="figure_frm origin_fig" contents-hash="f7f3161f849239b983b345955f41fe77db86cdc794ba06f5ed31e2ce9807cba8" dmcf-pid="Q6shcJqFrl" dmcf-ptype="figure"> <p class="link_figure"><img alt="해커가 티빙 개발·운영환경에 침투한 과정. 과학기술정보통신부 제공" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202609/03/hani/20260903185157218slgl.jpg" data-org-width="621" dmcf-mid="bPnaxKGhsZ" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202609/03/hani/20260903185157218slgl.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 해커가 티빙 개발·운영환경에 침투한 과정. 과학기술정보통신부 제공 </figcaption> </figure> <p contents-hash="45b9f4b6d50857759044b3d808e47cdc405f0fac5a65d87c6a31ed62a45d05f3" dmcf-pid="xPOlkiB3mh" dmcf-ptype="general"> 티빙은 침해 사고에 대해 이날 재차 사과했다. 최주희 티빙 대표이사는 이날 오후 서울 중구 코리아나 호텔에서 설명회를 열어 “조사단의 조사결과를 겸허히 수용하며, 침해 사고로 고객 여러분께 심려와 불안을 끼쳐드린 점 진심으로 사과드린다”고 밝혔다. 티빙은 2030년까지 정보보호 투자를 직전 5개년 대비 4배 늘리고, 전문 인력도 5년간 현재의 3배로 확충할 계획이다. 또한 침해사고 피해 고객 전원에게 5천원 상당의 티빙포인트를 지급하고, 해킹·피싱 등으로 사이버 금융사기를 당할 경우 1인당 최대 300만원을 보상할 계획이다.</p> <p contents-hash="26836e7e6be4e8d93bb1394d966c4a1adb7617cf7398a843ff9d1782e2fd4edc" dmcf-pid="yv287ZwasC" dmcf-ptype="general">강재구 기자 j9@hani.co.kr</p> </section> </div> <p class="" data-translation="true">Copyright © 한겨레신문사 All Rights Reserved. 무단 전재, 재배포, AI 학습 및 활용 금지</p> 관련자료 이전 티빙, 1인당 체감 2만원 보상…탈퇴·휴면 이용자도 포함(종합) 09-03 다음 도전·연구로 쌓은 50년… 미래 화학산업 선도한다 [사이언스픽] 09-03 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
