뉴스2026년 9월 4일 금요일 05:20
''활성·휴면·탈퇴까지 다 털렸다''…티빙 3954만 계정 유출, 보안투자 4배 확대
구선 기자kooblock@daum.net
소스코드 등 기술자산 361건도 유출…개발자 접속키 탈취가 화근, 고객 보상 패키지 마련
![[사진=연합뉴스]](https://api.blockchainseoul.kr/uploads/1788470409698-859344055.webp)
온라인동영상서비스(OTT) 티빙에서 사실상 전체 이용자 계정이 유출된 것으로 확인됐다.
과학기술정보통신부는 3일 정부서울청사에서 민관합동조사단의 티빙 침해사고 조사 결과를 발표하고 총 3954만개 계정이 유출됐다고 밝혔다.
유출된 계정은 로그인 가능한 활성 계정 2206만개, 휴면·탈퇴 등 비활성 계정 1737만개, 테스트 계정 11만개다.
동일인이 여러 계정을 보유한 사례가 포함돼 실제 피해 인원과 계정 수는 차이가 있지만 조사단은 활성·비활성·테스트 계정을 포함해 티빙의 모든 계정이 유출된 것으로 판단했다.
유출 정보에는 아이디와 비밀번호를 비롯해 이름, 생년월일, 휴대전화번호, 이메일 주소, 연계정보(CI) 등이 포함됐다.
비밀번호는 일방향 암호화돼 복호화가 불가능하지만 휴대전화번호와 이메일 주소는 암호화키가 함께 빠져나가 사실상 평문 유출과 비슷한 수준으로 평가됐다.
기술자산 피해도 컸다.
소스코드가 포함된 개발 프로젝트 361건, 약 30.35GB가 외부로 유출됐다.
이용자 맞춤형 콘텐츠 추천과 검색 알고리즘, 이용자 인증체계, 결제 관리, 유료 서비스 운영 관련 핵심 기술이 포함됐다.
공격자는 지난 5월 29일부터 31일 사이 개발자의 개발환경 접속키를 탈취한 뒤 내부 개발환경에 접근한 것으로 조사됐다.
이후 소스코드 안에 저장돼 있던 운영환경 접속키 43개까지 확보해 아마존웹서비스 기반 운영환경에 침투했다.
특히 운영환경 접속키가 별도 보관되지 않고 소스코드 내부에 그대로 저장돼 있었고, 데이터베이스 접속 아이디와 비밀번호도 암호화되지 않은 상태로 관리된 것으로 드러났다.
2024년 모의해킹 과정에서 이 같은 하드코딩 취약점이 지적됐지만 개선되지 않은 점도 확인됐다.
정보보호 인력 부족도 문제로 지적됐다.
티빙은 전체 임직원 265명과 개발인력 149명 규모지만 외주를 제외한 정보보호 전담인력은 4명 안팎에 불과했다.
정부는 티빙이 침해사고 인지 후 24시간 이내 신고해야 한다는 법정기한도 넘긴 것으로 판단했다.
조사단이 판단한 사고 인지 시점은 5월 31일 오전 10시10분이지만 실제 신고는 6월 1일 오후 3시8분 이뤄졌다. 이에 따라 최대 3000만원의 과태료가 부과될 예정이다.
티빙은 재발 방지책도 내놨다.
2030년까지 정보보호 투자를 직전 5년 대비 약 4배 확대하고 보안 전문인력도 향후 5년간 현재의 3배 수준으로 늘릴 계획이다.
인증과 접근 통제를 강화하는 제로 트러스트 방식도 도입하고 인공지능 기반 이상 징후 탐지와 실시간 대응 시스템도 고도화하기로 했다.
피해 우려 고객을 위한 보상안도 마련했다.
티빙은 해킹과 피싱 등 사이버 금융사기를 1인당 최대 300만원까지 보장하는 안심 보험을 1년간 제공하고 프리미엄급 시청 환경으로 업그레이드할 예정이다.
5000원 상당의 티빙 포인트와 웨이브 광고형 요금제 1개월 이용권 또는 CGV 할인 쿠폰 가운데 하나를 선택할 수 있는 추가 보상도 제공한다.
보상 신청은 오는 7일부터 30일까지 진행되며 다음 달 6일부터 적용된다.
정부는 티빙에 이달까지 재발 방지 이행계획 제출을 요구하고 내년 1월부터 실제 이행 여부를 점검할 예정이다.
Copyrights ⓒ BLOCKCHAINSEOUL. 무단 전재 및 재배포 금지
