티빙 3954만 개인정보 유출…‘KT 해킹’ 보상 가입자도 또 해킹 ‘역대급’ [종합]

[동아닷컴 정희연 기자]온라인동영상서비스(OTT) 플랫폼 티빙이 사이버 침해 사고와 관련한 공식 사과와 보상안을 발표했다. 역대급 개인정보 유출 사고가 발생한 지 3개월여 만이다.3일 과학기술정보통신부(과기정통부)는 티빙의 사이버 침해 사고에 대한 민관합동조사단 조사 결과, 총 3954만개 계정의 개인정보가 유출됐다고 밝혔다. 사실상 티빙 전체 가입자 정보가 유출된 셈이다. 특히 KT가 해킹 사고 이후 보상 쿠폰을 제공하면서 티빙에 가입한 52만7000건의 개인정보도 유출 대상에 포함됐다. 해킹 피해 보상 과정에서 가입한 이용자들이 또다시 해킹 피해에 노출된 셈이다.이번 사고로 유출된 항목은 성명·생년월일·휴대전화번호·이메일 주소·연계정보(CI) 등 20개 항목(70종)이다. 비밀번호는 일방향 암호화돼 복호화가 불가능하지만, 휴대전화번호와 이메일 주소는 암호화키가 함께 유출돼 사실상 평문 유출과 동일한 수준으로 판단됐다.소스코드가 포함된 개발 프로젝트 361건(30.35GB)도 함께 빠져나간 것으로 확인됐다. 여기에는 콘텐츠 추천·검색 알고리즘, 이용자 인증 체계, 결제 관리 등 티빙 서비스 운영에 쓰이는 기술 자산이 담겨 있었다.조사 결과 티빙의 보안 관리에도 허점이 있었던 것으로 드러났다. 개발·운영환경에 접속하는 데 필요한 키를 소스코드에 직접 기재하거나 암호화하지 않은 채 보관했으며, 일부는 사내 메신저를 통해 공유하기도 했다.권한 관리 역시 미흡했다. 개발자들이 담당 업무와 관계없이 전체 개발 프로젝트에 접근할 수 있는 구조여서 접속키 하나가 탈취되면 다른 프로젝트까지 접근할 수 있었다. 접속키의 발급부터 사용·변경·폐기까지 체계적으로 관리하거나 정기적으로 점검하는 절차도 마련돼 있지 않았다.특히 티빙은 2024년 모의해킹 과정에서 개발·운영환경 접속키가 소스코드에 노출되는 문제를 이미 확인했지만, 이후에도 해당 취약점을 개선하지 않은 것으로 조사됐다.한편, 티빙 대표이사와 주요 경영진은 3일 오후 서울 중구 세종대로 코리아나호텔에서 사이버 침해 사고와 관련한 공식 사과 및 설명회를 진행했다. 티빙은 △정보보호 투자·보안 인력 확대 △제로 트러스트 기반 보안 체계 재구축 △조직 거버넌스 및 보안 문화 재정립 △외부 협력을 통한 전문성 강화 등 4대 핵심 전략을 기반으로 보안 체계를 전면 재확립하겠다고 약속했다.정희연 기자 shine2562@donga.comCopyright © 스포츠동아. All rig...