티빙, 3954만 계정 정보 유출… 최초 침투경로는 끝내 미궁 작성일 09-03 84 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="XJL41vaeCi"> <p contents-hash="d866c34f2cbb3c510bf6db6e55b39a6a1b40c3e5d3494f041bb415e0f35e68cf" dmcf-pid="Zio8tTNdlJ" dmcf-ptype="general">지난 5월 발생한 온라인동영상서비스(OTT) 티빙 개인정보 유출 사고로 3954만개 계정의 정보가 유출된 걸로 확인됐다. 3일 과학기술정보통신부(과기정통부)는 이같은 내용을 담은 민관합동조사단 조사 결과를 발표했다. </p> <figure class="figure_frm origin_fig" contents-hash="9873eaf9ed5d956338479183aef6af0cefd675bdd93b8f4ac4288e4db854999d" dmcf-pid="5aAMUHEoyd" dmcf-ptype="figure"> <p class="link_figure"><img alt="임정규 과학기술정보통신부 정보보호네트워크정책관이 3일 서울 종로구 정부서울청사에서 티빙(TVING) 침해사고 조사결과를 발표하고 있다. 뉴스1" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202609/03/joongang/20260903192714383zvmu.jpg" data-org-width="1280" dmcf-mid="KzjZdf5TSd" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202609/03/joongang/20260903192714383zvmu.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 임정규 과학기술정보통신부 정보보호네트워크정책관이 3일 서울 종로구 정부서울청사에서 티빙(TVING) 침해사고 조사결과를 발표하고 있다. 뉴스1 </figcaption> </figure> <p contents-hash="4bd8ff113e91b90d25fe33d2ffe198bd4b461f15ad07e18da7c1266765a01d96" dmcf-pid="1NcRuXDgle" dmcf-ptype="general"><br> 조사단에 따르면 유출 계정은 로그인이 가능한 활성화 계정 2206만개, 비활성화 계정 1737만개(휴면·탈퇴), 테스트 계정 11만개로 구성돼 있다. 가입 경로별로는 네이버·카카오·페이스북·애플·X 등 소셜미디어(SNS) 간편가입이 2247만개, CJ ONE 통합회원 863만개, 티빙 자체가입 726만개로 집계됐다. 유출 항목은 ID·비밀번호·성명·휴대전화번호·이메일·생년월일·중복가입확인정보(DI)·결제이력 등 20개 항목 70종이다. 소스코드(프로그램의 설계도에 해당하는 원본 코드)가 담긴 개발 프로젝트 361건도 함께 유출됐다. 다만 한 개인이 13개 계정을 보유한 사례도 있어, 구체적인 개인정보 유출 규모는 향후 개인정보보호위원회(개보위)가 확정한다. </p> <p contents-hash="06a18d2f5eaaf2350b417e0f7106a083ceadea1a43fc3586e135a6b995719f54" dmcf-pid="tjke7ZwayR" dmcf-ptype="general">정보 탈취 경로도 확인됐다. 공격자는 우선 개발자가 쓰는 ‘개발환경 접속키’를 먼저 탈취했다. 이후 공격은 다섯 단계로 이뤄졌다. 먼저 5월 29일 오후 개발 프로젝트가 들어있는 개발환경에 접속했다. 여기서 개발 프로젝트 361건이 유출됐고, 공격자는 이 프로젝트 내 소스코드 안에 암호화 없이 저장돼 있던 ‘운영환경 접속키’를 확보했다. 공격자는 이 키를 이용해 운영환경에 침투한 뒤, 30일 1차 유출을 시도했다. 당시에는 티빙 측이 이상징후를 파악해 이를 차단했다. 그러나 31일 2차 시도에선 탐지를 피했고, 정보를 외부로 빼돌린 것으로 파악됐다. </p> <p contents-hash="9665ad13167315bdfd7c147f56ba3fa98915d2e64edef00cb52632496bc8b948" dmcf-pid="FAEdz5rNWM" dmcf-ptype="general">공격자가 최초로 접속키를 탈취한 경로, 공격자의 신원은 밝히지 못했다. 티빙이 시스템 접속기록을 6일치만 보관하는 터라 이전 자료가 남아있지 않았기 때문이다. 조사단 측은 유출된 정보가 해외 계정으로 전송된 사실을 확인했다. 조사단 관계자는 “추후 경찰 수사를 통해 공격자를 밝혀낼 것”이라고 말했다.</p> <p contents-hash="3b5e6b7b4c0aa3c9be788ae1753f597e40f22850112712f1188a816a6be391d1" dmcf-pid="3cDJq1mjSx" dmcf-ptype="general">조사단은 이번 정보 유출 사건 원인으로 티빙 측의 관리 부실을 지적했다. 티빙은 2024년 모의해킹에서 접속키를 소스코드에 그대로 노출하는 취약점을 지적받고도 조치하지 않았다. 또 정보보호 전담인력은 4명 안팎으로 타 기업 대비 적었다. 또 침해 사고를 인지한 후 24시간 내 KISA(한국인터넷진흥원)에 신고할 의무도 지키지 않았다. 과기정통부는 신고 의무 위반에 대한 과태료를 부과할 예정이다. 개보위의 과징금 부과 절차는 별도로 진행된다.</p> <p contents-hash="0c7e04bb71e7efc30496e59cff375d5d67ce6144853928308f19e5e40c129d75" dmcf-pid="0kwiBtsAWQ" dmcf-ptype="general">티빙은 이날 오후 피해 보상안을 발표했다. 피해 고객에게 1년간 해킹·피싱 안심 보험과 5000원 상당 티빙 포인트를 제공하기로 했다. 또 웨이브 1개월 구독권 또는 CGV 콤보 할인 쿠폰(택 1) 등도 제공한다. 재발방지 대책으로는 2030년까지 정보보호 투자를 직전 5년 대비 약 4배로 확대하고, 5년간 정보보호 전문 인력을 현재의 3배 수준으로 늘리기로 했다. 최주희 티빙 대표는 “고객 여러분께 심려와 불안을 끼쳐드린 점 진심으로 사과드린다”며 “조사 결과를 겸허히 받아들이고 필요한 시정 조치와 재발 방지 대책을 끝까지 이행하겠다”고 말했다. </p> <figure class="figure_frm origin_fig" contents-hash="7bc3abac5883b0f8f96c1eb3234be115dca1bb44ffbfeac730cccc3ada824367" dmcf-pid="pErnbFOcCP" dmcf-ptype="figure"> <p class="link_figure"><img alt="최주희 티빙 대표이사가 3일 서울 중구의 한 호텔에서 개인정보 유출 사고에 대해 사과하고 있다. 연합뉴스" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202609/03/joongang/20260903192715663stci.jpg" data-org-width="1279" dmcf-mid="9udS47vmSe" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202609/03/joongang/20260903192715663stci.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 최주희 티빙 대표이사가 3일 서울 중구의 한 호텔에서 개인정보 유출 사고에 대해 사과하고 있다. 연합뉴스 </figcaption> </figure> <p contents-hash="7baa41bc8cc8230d7f14a2c29c981021947e2143b0f1574b7bf8bbfadcf76dcb" dmcf-pid="UDmLK3IkT6" dmcf-ptype="general"><br> 보안업계에선 잇따른 개인정보 유출 사건에 대한 근본적 대책이 필요하다는 지적이 나온다. 지난해 11월엔 쿠팡에서 성명·이메일 등 개인정보 3322만 건이 유출됐으며, 앞서 SK텔레콤, KT등 통신사에서도 유출 사고가 있었다. 임종인 고려대학교 정보보호대학원 명예교수는 “잘못에는 채찍을, 잘 대비한 것에 대해선 당근을 동시에 주면서 기업들이 자발적으로 해킹 관련 정보를 공유하고 대비할 수 있게 정책을 세워야 한다”고 했다. </p> <p contents-hash="eb9ac4c4d07baff6f79df621ea636f4acd61cf006f5e9fae9607f886864bfffd" dmcf-pid="uwso90CEh8" dmcf-ptype="general">김민정 기자</p> </section> </div> <p class="" data-translation="true">Copyright © 중앙일보. 무단전재 및 재배포 금지.</p> 관련자료 이전 누가 누구한테 늙었다 그래? AI 골든벨 잘만 울리는데 [두런두런 AI ㉑] 09-03 다음 티빙, 내부 접속키 털리고 정보는 해외로…1인당 2만원 상당 보상(종합3보) 09-03 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
