티빙 계정 3954만개 유출… 암호화키 털리고 해외전송 정황도

과기부, 5월 사고 조사결과 발표 휴면-탈퇴-시험용 계정 전부 유출 ‘서비스 설계도’ 소스코드도 새 나가… 최소 1300만명 피해, 피싱 등 우려 티빙, 포인트 등 2만원 보상안 내놔 5월 티빙에서 유출된 이용자 계정이 총 3954만 개로 확인됐다. 활성 계정은 물론이고 휴면·탈퇴·시험용 계정까지 티빙이 보관해 온 계정 정보가 사실상 모두 새 나갔다. 서비스의 설계도 격인 소스코드 361건이 통째로 빠져나갔고, 유출 정보가 해외 서버로 전송된 정황도 드러났다. 정확한 피해 인원은 아직 나오지 않았지만 최소 1300만 명이 넘을 것으로 추정하고 있다.● 휴면·탈퇴 계정까지 모두 유출 과학기술정보통신부는 3일 이 같은 내용의 티빙 침해사고 민관합동조사단의 조사 결과를 발표했다. 이번 사고는 티빙이 올 5월 30일 서버 과부하 원인을 살피던 중 비인가자의 내부 서버 접근 사실을 확인하고 6월 1일 한국인터넷진흥원(KISA)에 신고하면서 드러났다. 유출 계정은 서비스 접속이 가능한 활성 2206만 개, 휴면·탈퇴 1737만 개, 시험용 11만 개다. 임정규 과기정통부 정보보호네트워크정책관은 “휴면·탈퇴 계정을 포함해 모든 계정이 유출됐다”고 말했다. 다만 한 사람이 여러 계정을 만들 수 있는 티빙의 구조 때문에 조사단은 이날 정확한 피해 인원을 밝히지 못했다. 온라인에서 개인을 식별하는 연계정보(CI)가 부여된 1904만 개 계정은 중복 580만 개를 걸러 1324만 개로 추렸지만, CI가 없는 2040만 개는 중복 여부를 확인할 수 없었다. CI 기준만으로 집계한 유출 피해 규모만 1300만 명 이상이라는 얘기다. 최종 피해 인원은 개인정보보호위원회가 확정한다. 앞서 티빙은 최초 신고 때 피해 규모를 자체적으로 1953만 명으로 추정했다.● 복호화 키까지 70종 유출 유출 항목은 성명, 생년월일, 휴대전화 번호, 이메일 주소, CI 등 20개(70종)다. 이 중 휴대전화 번호와 이메일은 암호화돼 있었지만 복호화(암호화된 데이터를 원래 형태로 읽을 수 있게 되돌리는 것) 키가 함께 유출돼 사실상 평문 유출과 다름없었다. 조사단은 “CI만으로 로그인이나 불법 거래에 쓰이기는 어렵지만 다른 정보와 결합하면 개인을 특정할 수 있어 스미싱·피싱에 악용될 가능성을 배제할 수 없다”고 밝혔다. 소스코드가 담긴 개발 프로젝트 361건(30.35GB)도 빠져나갔다. 공격자는 개발자 접속키를 훔쳐 침투한 뒤, 이 소스코드에 그대로 적...