[티브이데일리 김진석 기자] 온라인동영상서비스(OTT) 티빙에서 약 4천만개의 이용자 계정 정보와 소스코드를 포함한 기술 자산이 유출된 사실이 알려졌다.

3일 과학기술정보통신부는 정부서울청사에서 민관합동조사단의 티빙 침해사고 조사 결과를 발표했다.

조사 결과, 외부로 유출된 이용자 계정은 총 3954만개로 파악됐다. 이 가운데 로그인이 가능한 활성 계정이 2206만개, 비활성 계정이 1737만개였다. 비활성 계정에는 휴면 계정 850만개와 탈퇴 계정 887만개가 포함됐으며, 테스트 계정 11만개도 유출된 것으로 조사됐다.

유출된 정보에는 ID와 비밀번호, CJ ONE 통합ID, 성명, 휴대전화 번호, 이메일 주소, 생년월일, 연계정보(CI) 등 20개 항목 70종의 개인정보가 포함됐다. 비밀번호에는 일방향 암호화 방식이 적용돼 원래 정보로 되돌리는 것이 불가능한 상태인 것으로 전해졌다.

휴대전화 번호와 이메일 주소의 경우 일부가 암호화돼 있었지만 암호화키까지 함께 유출됐다. 이에 조사단은 사실상 암호화되지 않은 정보가 노출된 것과 같은 수준으로 판단했다. 개인정보별 구체적인 유출 규모는 개인정보보호위원회가 추후 확정할 예정이다. 이용자 정보뿐 아니라 티빙 내부 기술 자산도 외부로 빠져나갔다. 소스코드를 포함한 개발 프로젝트 361건이 유출됐으며, 전체 용량은 30.35GB 규모로 파악됐다.

공격 경로도 확인됐다. 공격자는 개발자가 사용하던 '개발환경 접속키'를 탈취한 뒤 이를 이용해 티빙 내부 시스템에 무단으로 접근한 것으로 조사됐다.

정보보호 관리체계에서도 문제점이 다수 발견됐다. 접속키를 관리하는 체계가 미흡했고, 이상 징후를 탐지하기 위한 모니터링과 정보보호 전담인력도 부족했던 것으로 나타났다. 2024년 실시한 모의해킹에서 발견된 취약점에 대해서도 필요한 조치가 이뤄지지 않은 것으로 조사됐다.

사고 신고 과정에서도 문제가 있었다. 티빙은 지난 5월 31일 오전 10시 10분 침해사고를 인지했지만, 한국인터넷진흥원(KISA)에는 6월 1일 오후 3시 8분 신고했다. 법정 신고 기한인 24시간을 넘겼기에 과기정통부는 이에 따라 정보통신망법 위반에 따른 최대 3000만원의 과태료를 부과할 예정이다.

과기정통부는 티빙에 이달까지 재발 방지를 위한 이행계획을 제출하도록 요구했다. 내년 1월부터는 제출된 계획에 따라 개선 조치가 제대로 이뤄지고 있는지 점검할 계획이다.

[티브이데일리 김진석 기자 news@tvdaily.co.kr/사진=티빙]