대규모 유출에 고개 숙인 티빙, 개인정보위 조사 발표 남았다 작성일 09-06 38 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">[Weekly Threat]</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="HprtLwMVvw"> <div contents-hash="f3c2a0749d70a90e51eb0fd4bbde47ab7120624a200a9147fd91c40ec16ac711" dmcf-pid="XUmForRfyD" dmcf-ptype="general"> <strong>보안사고는 '일상'입니다. 이번 주 국내외에서 발생한 주요 사이버 위협과 사건·사고를 소개합니다. 최신 소식이 궁금하다면, '위클리 쓰렛(Weekly Threat)'을 확인해 보세요. <편집자주></strong> </div> <figure class="figure_frm origin_fig" contents-hash="88e57839aa5f66f6fd236c207f93f94a27e6bb7f5ce4c4439671a48273278904" dmcf-pid="Zus3gme4TE" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202609/06/552796-pzfp7fF/20260906070026424idud.jpg" data-org-width="640" dmcf-mid="W19E78tWWs" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202609/06/552796-pzfp7fF/20260906070026424idud.jpg" width="658"></p> </figure> <p contents-hash="f7a63fa3f9d86733d857476b4285a8061e06684d967bf27ad5e147088f397ada" dmcf-pid="57O0asd8Sk" dmcf-ptype="general">[디지털데일리 김보민기자] 정부가 티빙에서 발생한 대규모 개인정보 유출 사고와 관련해 첫 조사 결과를 발표했다. 피해를 입은 계정은 3954만개로, 구체적인 수치와 범위는 개인정보보호위원회를 통해 밝혀질 예정이다.</p> <p contents-hash="32ddf3586b0928c5f2c814619229493e13438c7fa73e80bc874ccdab68a1cd07" dmcf-pid="1zIpNOJ6vc" dmcf-ptype="general">이러한 분위기 속 유출 사고는 멈추지 않았다. 온라인 패션 플랫폼 29CM는 고객 개인정보 유출 사고가 발생해 보안 시스템과 관리 체계를 재점검하겠다고 공지했다. 유출 항목에 배송 정보가 포함돼 있어 추가 피해에 대한 주의가 필요할 것으로 보인다.</p> <p contents-hash="ed86c689cb1691ca41677bbd1c17024d3ffa9cc520faf6afde78b358830b3bff" dmcf-pid="teFQvtsATA" dmcf-ptype="general">해외에서도 보안 사고가 이어졌다. 정보 서비스 전문기업 톰슨로이터는 자회사가 운영하는 법원 사건 관리 플랫폼에서 미국과 캐나다 데이터가 유출되는 사고를 겪었다. 여기에는 해당 법원이 관리하는 이름, 사회보장번호, 의료 및 건강 정보가 포함된 것으로 전해진다.</p> <p contents-hash="356192fbe35402ab2a5fe819251c139e316a3d4b808e42bd6ec41140aadc070d" dmcf-pid="Fd3xTFOcTj" dmcf-ptype="general"><strong>◆ 보안 구멍에 늑장 신고까지…보안 탐지도 무용지물</strong></p> <p contents-hash="ccbcdb9eb711c98d2b1d74d81105b42ae386ac64c54efb5393cd35fc1d76bb75" dmcf-pid="3J0My3IkvN" dmcf-ptype="general">과학기술정보통신부는 티빙 침해사고에 대한 민관합동조사단 조사 결과를 3일 발표했다. 조사 결과 소스코드가 포함된 개발 프로젝트 전체와 3954만개(중복 포함) 이용자 계정 정보가 유출된 것으로 확인됐다.</p> <p contents-hash="89e1fd5864517eb58e875f9cfa3814cb63f46f66212a04c4bc43f152ffa422fd" dmcf-pid="0ipRW0CEva" dmcf-ptype="general">공격자는 티빙 개발자 단말기에서 사전 탈취한 개발환경 접속키를 악용해 내부 시스템에 무단 침투했다. 이후 361건에 달하는 개발 프로젝트 전체를 빼냈다. 이 과정에서 소스코드에 하드코딩되거나 평문으로 방치된 운영환경 접속키와 데이터베이스(DB) 접속 정보를 추가로 확보했다.</p> <p contents-hash="225d62f82dabe897053f1a75d585b6a6142f7850f5ec4d9bdb9ece5ff66d8a5d" dmcf-pid="pnUeYphDTg" dmcf-ptype="general">이어 가상서버 생성 권한을 악용해 운영환경 내부에 임시 서버를 구축하고 이를 통해 DB에 저장된 활성화, 휴면, 탈퇴 등 이용자 계정 정보를 외부로 반출했다. 연계정보(CI) 포함 계정은 이름, 휴대전화번호, 이메일 등 평균 11개 항목이 빠져나갔다. 휴대전화번호와 이메일은 일부 암호화됐으나 복호화 키가 함께 유출돼 평문과 다를 바 없는 상태였다.</p> <p contents-hash="4c97f39efd64cd3e8847697f70047d634b77624920bc35c61d0389c2e9bcdf37" dmcf-pid="ULudGUlwlo" dmcf-ptype="general">조사단은 이번 사고 핵심 원인으로 접속키 관리 부실과 비정상 행위 탐지 체계 부재를 꼽았다. 티빙은 모든 개발자에게 전체 프로젝트 접근 권한을 부여해 단 한 개 접속키 유출만으로 대규모 피해를 불렀다. 또한 침해사고 인지 후 24시간을 넘겨 한국인터넷진흥원(KISA)에 지연 신고해 관련 법을 위반했다.</p> <div contents-hash="3ce2157c51006ee43d28dba41f6a472c3901a94a2138603a71a20426d0a8eab5" dmcf-pid="uo7JHuSrCL" dmcf-ptype="general"> 과기정통부는 티빙으로부터 재발방지 대책 이행계획을 제출받고 연말까지 이행 여부를 점검할 계획이다. 지연 신고 건은 과태료 처분을 내릴 방침이다. 구체적인 피해 규모와 범위는 개인정보보호위원회 조사를 통해 밝혀질 예정이다. 업계에서는 SK텔레콤과 쿠팡 등 최근 발생한 대규모 보안 사고와 마찬가지로, 개인정보위 발표가 나오기까지 수개월이 소요될 것으로 보고 있다. </div> <figure class="figure_frm origin_fig" contents-hash="d8d7176e574c68b5f604c655b7997cb0d4f2d1f3f6127514d15dda6513ab9434" dmcf-pid="7gziX7vmvn" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202609/06/552796-pzfp7fF/20260906070027702sggh.jpg" data-org-width="640" dmcf-mid="YIOqESgRWm" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202609/06/552796-pzfp7fF/20260906070027702sggh.jpg" width="658"></p> </figure> <p contents-hash="a2389c86662b0777507e9327769303154193ea2a3ce05fc853cac0ca6a1651e8" dmcf-pid="zaqnZzTsCi" dmcf-ptype="general"><strong>◆ 계정은 무사하다지만…29CM, 배송지 유출에 2차 피해 우려</strong></p> <p contents-hash="83a874c44c7f61cbd26a3d905295e3d22cb266b865faf442366e329324d081b1" dmcf-pid="qNBL5qyOWJ" dmcf-ptype="general">29CM는 8월31일 '개인정보 유출 안내드립니다'라는 제목의 공지문을 게시했다. 29CM는 "8월27일 주문 정보를 조회하는 연동 기능(API)에 외부의 비정상적인 접근이 발생해 일부 고객 개인정보가 유출된 사실을 확인했다"며 "문제를 확인한 즉시 해당 접근 경로를 차단하고 한국인터넷진흥원(KISA)에 개인정보 유출 사실을 자진 신고했다"고 밝혔다.</p> <p contents-hash="099b02ef01d24e22b02d20f55f561a988fa6754c0a2037d52f74870a0e62cf87" dmcf-pid="BVybwTNdWd" dmcf-ptype="general">유출 규모와 항목은 고객 이름 13만8841건과 이메일, 주소, 휴대전화번호, 배송 정보 2만1011건이다. 29CM는 "결제 정보와 아이디, 비밀번호 등 고객 계정 정보는 유출 항목에 포함되지 않았으며 안전하게 보호되고 있다"고 말했다. 그러면서 "다만 일부 개인정보가 유출된 만큼 이를 악용한 2차 피해가 발생할 가능성에 대비해야 한다"며 "주문 내역을 언급하며 결제, 환불, 배송 오류를 안내하는 연락을 주의해달라"고 강조했다.</p> <div contents-hash="d982c7b78e61460b057d5013816cf77d3eb0875c49c397687afe95c72372a854" dmcf-pid="bfWKryjJSe" dmcf-ptype="general"> 한편 29CM는 "이번 사안을 무겁게 받아들이고 있다"며 "고객의 소중한 개인정보를 안전하게 보호할 수 있도록 보안 시스템과 관리 체계를 재점검하고 재발 방지에 최선을 다하겠다"고 약속했다. </div> <figure class="figure_frm origin_fig" contents-hash="7ca44fcd513d66efb3b3199815aa6fc6e3e06e44ed41539af876725221a96c4b" dmcf-pid="K4Y9mWAiTR" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202609/06/552796-pzfp7fF/20260906070027947rznq.jpg" data-org-width="640" dmcf-mid="GRpRW0CECr" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202609/06/552796-pzfp7fF/20260906070027947rznq.jpg" width="658"></p> </figure> <p contents-hash="344b87caf60824cb62947bc762a58412b91c0db670d1ad5a42855be4d686bb30" dmcf-pid="98G2sYcnyM" dmcf-ptype="general"><strong>◆ 톰슨로이터 플랫폼 해킹…미국·캐나다 법원 데이터 대거 유출</strong></p> <p contents-hash="ceebb40112b34555fe51baae5738bd51a7de4b157622297ca28580299f4db83d" dmcf-pid="26HVOGkLvx" dmcf-ptype="general">3일(현지시간) 보안 전문매체 더레코드에 따르면 톰슨로이터가 운영하는 법원 사건 관리 플랫폼 'C-트랙(C-Track)'에서 보안 침해 사고가 발생했다. 미국과 캐나다 법원 데이터가 유출됐다. 공식 발표에 따르면 이번 해킹으로 비공개 법원 정보와 민감한 개인 데이터가 노출됐다. 미국 내 최소 12개 주를 비롯해 미국령 버진 아일랜드, 캐나다 온타리오주 법원이 피해를 입은 것으로 알려졌다. 톰슨로이터는 이번 사고가 자체 환경 내부에서 발생했고 개별 법원 시스템 보안과는 무관하다고 설명했다.</p> <p contents-hash="896d2634e33299de794d24e00aa272cfc591544f71c7ce779dee39e79f9deb2c" dmcf-pid="VPXfIHEovQ" dmcf-ptype="general">조사 결과 해커는 지난 3월 특정 C-트랙 파일을 처음 탈취했다. 톰슨로이터는 6월30일 무단 접근 활동을 인지하고 사법 기관과 함께 조사를 시작했다. 유출된 정보에는 이름, 사회보장번호, 운전면허 번호, 생년월일, 의료 및 건강 보험 정보가 포함됐을 가능성이 크다. 기밀문서 역시 노출됐을 수 있으나 아직 정보 오용 사례는 발견되지 않은 것으로 전해진다.</p> <p contents-hash="387c04bc53bee8d6b856ce2564b8ff6a2c9a169ba451a3369a8d40da5fe6d407" dmcf-pid="fQZ4CXDglP" dmcf-ptype="general">일부 법원은 침해 사실을 발견한 지 수 주가 지나서야 뒤늦게 통보를 받아 논란이 일었다. 톰슨로이터는 현재 플랫폼 운영에는 차질이 없으며 모든 시스템이 정상적으로 작동한다고 해명했다. 또한 외부 전문가 검토를 거쳐 새로운 보안 조치를 시스템에 추가했다고 밝혔다.</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.</p> 관련자료 이전 가족 누아르부터 이창동 신작까지…9월 극장가 뭐 볼까 09-06 다음 '리니지' 엔씨가 모바일 캐주얼게임에 4000억 쏟아부은 이유 09-06 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
