(사진제공=과학기술정보통신부)

[아시아뉴스통신=장하영 기자] 과학기술정보통신부(부총리 겸 과학기술정보통신부 장관 배경훈, 이하 “과기정통부”)는 티빙 침해사고에 대한 민관합동조사단(이하 “조사단”)의 조사 결과를 9월 3일에 발표하였다.

티빙 침해사고 개요

지난 5.30일 티빙 데이터베이스(DB) 서버의 작업량 과다로 인해 시스템 과부하 현상이 발생하였다.

티빙은 이상징후를 분석하는 과정에서, 비인가자가 내부 서버에 무단 접근하여 이용자 정보를 조회한 사실을 인지하고, 6.1일 한국인터넷진흥원(원장 이상중, 이하 “KISA”)에 침해사고를 신고하였다.

과기정통부는 6.2일 KISA와 함께 현장조사를 착수하여 사고현황을 파악하였다. 이어, 6.3일 침해사고 조사 심의위원회 심의를 거쳐 민관합동조사단을 구성하고, 피해규모와 사고원인 등에 대한 조사를 진행하였다.


조사 범위

조사단은 티빙 이용자 정보 데이터베이스(DB)에 대한 비정상 접근으로 정보가 유출된 사실을 확인하고, 티빙 내부 시스템 접근에 필요한 접속키 탈취 경위부터 공격자가 침투한 경로, 정보유출 규모 및 정보보호 관리체계 등으로 조사범위를 설정하였다.

먼저, 티빙 시스템 침투에 악용된 접속키 탈취경위를 파악하기 위해 개발자 단말기(총 9대, 노트북 8대, PC 1대)에 대해 포렌식 분석을 실시하고, 다양한 공격 시나리오를 정밀 분석하였다.

또한, 보안장비, 데이터베이스(DB) 및 티빙 시스템의 로그(접속기록)를 연계 분석하여 공격자가 침투한 경로를 조사하였다. 이를 통해 유출된 정보의 종류와 피해 규모를 확인하고, 그에 따른 피해 영향도를 분석하였다.

아울러, 정보통신망법에 따른 정보보호조치에 관한 지침, 정보보호 관리체계 인증(ISMS) 기준, 티빙 자체규정에 대한 준수여부 및 정보보호 노력 및 역량 등 전사 차원의 정보보호 관리체계를 점검하였다.

피해 규모

조사단은 공격자가 티빙 시스템 내부에 무단 침투하여, 소스코드가 포함된 개발 프로젝트와 이용자 정보를 유출한 것을 확인하였다.

< 기술자산 유출 >

조사단은 티빙 개발환경 보안로그를 분석한 결과, 개발자가 구축 또는 개발 중인 소스코드가 포함된 개발 프로젝트 361건(30.35GB 규모)이 유출되었음을 확인하였다.

개발 프로젝트에는 이용자 맞춤형 콘텐츠 추천 및 검색 알고리즘, 이용자 관리 및 인증체계, 결제 관리, 유료 서비스 운영 등 OTT 서비스 ‘티빙(TVING)’을 운영·관리하기 위한 기술 자산이 포함되어 있었다.

< 이용자 정보 유출 >

조사단은 티빙 데이터베이스(DB) 및 관련 로그 분석을 통해, 로그인이 가능한 활성화 계정 2,206만 개, 비활성화 계정 1,737만 개(휴면 계정 850만 개, 탈퇴 계정 887만 개), 테스트 계정 11만 개 등 3,954만 개 계정(중복 포함)이 유출되었음을 확인하였다.

< 계정 상태에 따른 구분 >

티빙의 3,954만 개 계정은 동일인이 다수의 계정을 보유할 수 있는 구조로 중복이 포함되어 있으며, 실제 한 명의 이용자가 최대 13개 계정을 보유한 사례를 확인하였다.

또한, 가입 방식을 기준으로, 티빙 자체가입 726만 개, CJ ONE 통합회원 863만 개, SNS 간편가입(네이버, 카카오, 페이스북, 애플, X(구 트위터) 등) 2,247만 개 등으로 확인되었다.

< 가입 방식에 따른 구분 >

조사단은 침해사고로 유출된 정보가 △ID, △비밀번호(일방향 암호화), △CJ ONE 통합ID, △성명, △휴대전화 번호, △이메일 주소, △생년월일, △연계정보(CI) 등을 포함하여 20개 항목(70종)임을 확인하였다.

유출 항목 중 휴대전화 번호, 이메일 주소는 일부 암호화된 상태로 유출되었으나, 암호화키가 함께 유출되어 복호화가 가능함에 따라 평문으로 유출된 정보와 동일한 수준으로 판단하였다.

한편, 비밀번호는 일방향 암호화된 상태로 유출되었으며, 평문으로 복호화가 불가능한 상태임을 확인하였다.

다만, 연계정보(CI) 보유·미보유 등 계정 특성에 따라 유출정보의 규모에 차이가 존재하였다. 연계정보(CI) 보유 계정의 경우 더 많은 정보가 유출된 것으로 나타났다.

유출정보를 분석한 결과, 연계정보(CI) 보유 계정 1,904만 개(중복 제거 시 1,324만 개 계정)는 평균 11.1개 항목(17.6종) 유출, 연계정보(CI) 미보유 계정 2,040만 개는 평균 4.6개 항목(5.9종) 유출을 확인하였다.

특히, 연계정보(CI) 미보유 계정은 본인인증 절차를 거치지 않은 만큼, 성명, 휴대전화 번호, 이메일주소 등 정보가 누락되었거나 유효하지 않은 부정확한 데이터인 경우도 다수 존재함을 확인하였다.

구체적인 개인정보 유출 규모는 개인정보보호위원회에서 유출 항목에 대한 상세 분석을 진행한 이후에 발표할 예정이다.

사고원인 분석

조사단은 공격자가 티빙 개발자의 ‘개발환경 접속키’를 탈취하여, 시스템 내부(개발환경, 운영환경)에 침투한 것을 확인하였다.

조사단은 유출 경로를 ①개발환경 침투, ②운영환경 접근 및 관리권한이 부여된 ‘운영환경 접속키’ 탈취, ③운영환경 침투, ④1차 유출 시도, ⑤2차 유출 시도 및 대규모 정보유출 등 5단계로 구분하였다.

① 개발환경 침투 및 프로젝트 유출

공격자는 개발자가 보유하고 있는 ‘개발환경 접속키’를 사전 탈취하여, 티빙 개발환경에 무단 접속하였다.

그 이후, ‘개발환경 접속키’를 악용하여 개발환경에서 접근 가능한 개발 프로젝트 361건 전체를 유출하였다. 공격자는 1차 공격 당시 14개 개발 프로젝트를 유출하고, 2차 공격에서 361개 개발 프로젝트 전체를 유출한 것을 확인하였다.

한편, 조사단은 ‘개발환경 접속키’ 탈취경로 확인을 위해 악용된 ‘개발환경 접속키’를 사용하고 있는 개발자를 특정하여 단말기 포렌식 분석을 실시하였고, △피싱, △악성코드, △공급망 공격, △‘개발환경 접속키’ 공유·오남용, △취약점 악용 등 다양한 공격 시나리오를 정밀 분석하였으나, 확인이 불가능했다. 다만, 그 과정에서 키 관리체계 부실, 로그 보관기관의 한계 등 티빙 정보보호 관리체계 상 문제점을 확인하였다.

② 운영환경 접근 및 관리권한이 부여된 ‘운영환경 접속키’ 탈취

공격자는 유출한 개발 프로젝트 내 소스코드에 저장된 티빙 운영환경에 침투할 수 있는 ‘운영환경 접속키’를 확보하였다.

조사단은 당시 티빙이 보유한 개발 프로젝트 361건에 총 43개의 ‘운영환경 접속키’가 포함되어 있음을 확인하였다.

③ 운영환경 침투 및 데이터베이스 접속정보 확보

공격자는 확보한 ‘운영환경 접속키’로 운영환경 내부에 접근하였다. 그 이후, 관리자 권한 보유 여부 등 키 권한 및 정보유출에 활용할 수 있는 내부 시스템 등을 탐색하였다.

④ 1차 정보유출 시도 : 5.30(토) 09:22 ~ 5.30(토) 18:58

공격자는 확보한 ‘운영환경 접속키’와 데이터베이스(DB) 접속정보(ID, PW)를 활용하여 클라우드 저장소에 정보유출형 공격 도구(스크립트)를 삽입하고, 해당 저장소와 연동된 데이터베이스(DB)에 접속하여 이용자 정보 조회 및 정보유출을 시도하였다.

다만, 유출 과정에서 데이터베이스(DB) 서버의 작업량 과다로 인해 서버 CPU 이용률이 100%로 급상승(‘26.5.30 18:00)함에 따라 이상징후 알림이 발생하였다.

티빙은 이상징후 알림을 확인하고, 해당 작업을 차단 조치하였다.

⑤ 2차 정보유출 시도 및 대규모 정보유출 : 5.31(일) 19:00 ~ 5.31(일) 22:20

공격자는 가상서버 생성권한이 있는 ‘운영환경 접속키’를 이용하여, 운영환경 내부에 가상서버를 생성한 후, 이를 정보유출을 위한 통로로 악용하여 대규모 정보유출을 하였다.

데이터베이스(DB)에 있는 이용자 정보를 공격자가 생성한 가상서버로 일괄 저장(24GB 규모)하고, 외부에 있는 서버로 유출하였다. 그 이후에 관련 흔적을 없애기 위해 가상서버를 삭제하였다.

이 과정에서는 1차 시도와 달리, 데이터베이스(DB) 서버 작업량 과다로 인한 이상징후 알림이 발생하지 않았다.

Ⅴ. 문제점 및 재발방지 대책

조사단은 조사를 통해 티빙의 정보보호 체계에 문제점을 발견하고 재발방지 대책을 마련하였다.

< 키 관리체계 미비 >

티빙은 키 관리가 부실하여, 오남용 및 유출로 인해 공격에 악용될 수 있는 단초를 제공하였다. 티빙 개발자는 개발·운영환경에 접근할 수 있는 접속키를 소스코드 내부에 숨김없이 그대로 노출(하드코딩)하거나, 암호화 처리를 통한 숨김없이 평문으로 저장하였다. 또한, 사내 메신저 등을 통해 타인과 무분별하게 공유한 사실을 확인하였다.

특히, 접근권한은 업무 목적에 따라 필요 최소한으로 부여하여야 함에도, 티빙은 모든 개발자에게 전체 개발 프로젝트에 접근할 수 있는 권한을 부여하였다. 이로 인해, 공격자가 단 한 개의 ‘개발환경 접속키’를 탈취한 경우에도 모든 개발 프로젝트에 접근할 수 있었다.

또한, 키 발급·사용·변경·폐기 및 정기점검 등을 위한 관리절차를 수립하여야 함에도, 관련 체계가 부재하였다.

(재발방지 대책) 티빙은 키 관리·통제·접근권한 체계를 구축하고, 운영관리 기준을 명확화해야 한다. 또한, 키 발급·사용 이력 관리를 위한 체계 구축 및 상시 점검을 실시하여야 한다.

< 비정상 행위 탐지·대응 및 모니터링 체계 부재 >

티빙은 공격자의 비정상 행위가 발생했음에도, 해당 공격행위를 탐지·대응하지 못했다. CPU 부하 등 단순 모니터링에만 의존하였으며, 네트워크 및 데이터 흐름 등을 실시간으로 탐지·차단할 수 있는 정보보호 체계가 부재하였다.

또한, 권한 없는 자의 비정상 접속을 통제하기 위한 네트워크 및 시스템 접근제어 정책이 부재하였다.

(재발방지 대책) 티빙은 비정상 행위 탐지 및 대량 데이터 조회 모니터링 체계를 강화하여야 한다. 그리고, 인가된 사용자 및 단말기(PC, 노트북 등)에 한해 시스템 내부에 접근할 수 있도록 접근제어 정책을 강화하여야 한다.

< 정보보호 거버넌스 미흡 >

티빙은 전체 임직원은 265명, 개발인력은 149명 규모임에 반해, 정보보호 전담인력은 4명 내외(외주인력 제외)로 구성되어 있었다. 조사단은 현 인력 수준으로는 상시 보안관제, 취약점 점검 및 비정상 행위 모니터링 등 다양한 정보보호 활동을 수행하는 데 한계가 있을 것이라 판단하였다.

이와 함께, 침해사고 발생 시 초동조치를 위한 부서 간 신속한 상황전파 및 협업체계가 미흡한 사실을 확인하였다. 실제 이상징후 발생 시점(5.30 18:00)으로부터 약 14시간이 지난 후에야 침해사고 대응을 총괄하는 정보보호 전담조직과 정보보호 최고책임자(CISO)에게 상황 공유가 되었다.

(재발방지 대책) 티빙은 충분한 정보보호 전담인력·예산을 확보하고, 정보보호 전담부서 역할 및 부서 간 협업·대응체계를 재정립하여야 한다.

< 정보보호 활동 미흡 >

티빙은 ’24년 모의해킹 결과, ‘개발·운영환경 접속키’를 소스코드 내부에 숨김없이 그대로 노출(하드코딩)하는 취약점을 발견하였음에도, 개선 조치하지 않았다.

또한, 시스템 로그를 관리하고 있으나, 선별적 저장·관리로 인해 신규 장비(VPN)에는 로그관리 정책이 제대로 적용되지 않아 약 6일 간의 접속기록만 보관되고 있었다.

조사 과정에서, 업무용 PC 대상 백신 소프트웨어(SW) 설치 및 최신버전 관리 등 정기적 보안점검이 미흡한 사실도 확인하였다.

(재발방지 대책) 티빙은 로그 저장관리 정책을 수립하고, 모의해킹 등 주기적 취약점 점검을 실시하고 발견된 취약점에 대한 조치체계를 강화하여야 한다. 아울러, 자체 보안규정 준수 여부를 정기적으로 점검하고, 미준수 사항을 즉각 개선할 수 있는 관리체계를 구축하여야 한다.

< 법 위반사항 : 침해사고 신고 지연>

티빙은 정보통신망법 제48조의3에 따라 침해사고를 인지한 후 24시간 이내에 과기정통부 또는 KISA에 신고하여야 한다. 그러나, 정보보안팀에 상황을 전파한 시점(‘26.5.31 10:10)으로부터 24시간이 지난 후 KISA에 신고(’26.6.1 15:08)하였다.

(조치 사항) 정보통신망법에 따른 과태료를 부과할 예정이다.

향후 계획

< 티빙 침해사고 이행점검 >

과기정통부는 이번 조사단 조사결과를 토대로, 티빙에 재발방지 대책에 따른 이행계획을 제출(9월)토록 하고, 티빙의 이행(10~12월) 여부를 점검(‘27.1월~)할 계획이다. 이행점검 결과, 보완이 필요한 사항에 대해서는 정보통신망법 제48조의4에 따라 시정조치를 명령할 계획이다.

< 국가 전반의 정보보호 역량 강화를 위한 「정보보호 종합대책」 후속조치 >

한편 안보실 중심으로 과기정통부와 관계부처가 합동으로 수립한 ｢제1차 및 제2차 범부처 종합대책｣(’25.10월, ’26.1월)을 통해 전 국가적인 정보보호 역량 강화를 추진해 왔다.

과기정통부와 개인정보보호위원회(이하 ‘개인정보위’)는 각각 국민 생활과 밀접한 기업들과 통신 3사, 상조·금융 분야 및 고객센터·에듀테크·의료 분야 등에  대한 점검을 추진하였으며, 양 부처가 ｢정보보호 및 개인정보보호 관리체계 (ISMS·ISMS-P) 인증제 실효성 강화방안｣을 수립(’26.4월)하고 내년까지 순차적으로 인증 제도 전반을 개선해 나갈 예정이다. 이에 더해 과기정통부는 관계기관(국가정보원, 한국인터넷진흥원)과 함께 국내 최초로「보안 취약점 신고·조치·공개(CVD/VDP) 제도」 시범 사업(’26.5월)을 추진하는 등 침해 사고에 대한 예방･대응 역량을 제고하는 정책을 추진하고 있다.

정부는 관련 법적 제도를 완비하는 데에도 박차를 가하고 있으며, 올해 9월과 10월부터 주요 개정 법안이 시행될 예정이다.

먼저 이번 달 11일부터 개정된 개인정보보호법이 시행되어 개인정보 유출에 대해 엄정하게 제재하고 사전예방을 위한 투자를 촉진하게 된다. 반복적이거나 고의·중과실 등에 의한 대규모 개인정보 유출 발생 시 전체 매출액의 최대 10%까지 징벌적 과징금을 부과할 수 있도록 하고, 사전 예방적 개인정보 보호 투자와 연계한 과징금 감경제를 도입하며 개인정보처리자가 ‘유출 등의 가능성이 있음을 알게 되었을 때’에도 지체없이 정보 주체에게 통지하도록 하였다.

이어 10월 1월부터 개정된 정보통신망법이 시행됨에 따라 사이버 침해사고의 예방부터 대응에 이르는 제도 전반이 실효성 있게 운영된다. 주요 기업은 정보보호 인력, 예산을 확충해야 하며,  정부가 기업의 해킹사고 정황을 확보했을 경우 기업의 신고 전에도 조사에 착수할 수 있는 근거가 마련된다. 또한 재발방지 대책을 불성실하게 이행한 기업에 대한 이행강제금이 신설되는 등 기업의 책임성이 강화된다.

과기정통부와 개인정보위는 관련 법이 차질없이 시행될 수 있도록 만전을 기하고, 법 시행 이후에도 현장에서 잘 적용될 수 있도록 이행상황을 지속 점검할 계획이다.