티빙, 활성계정 2206만개·소스코드 361건 유출…"접속키 관리 부실"

키 관리·접근제어·모니터링 등 정보보호 체계 총체적 부실

티빙 자체가입부터 CJ ONE·SNS 계정까지 유출

1차 공격 차단에도 2차 공격 탐지 못해…신고도 인지 후 24시간 넘겨

티빙 로고. ⓒ티빙

티빙의 이용자 계정 3954만개와 소스코드가 포함된 개발 프로젝트 361건이 유출됐다. 다만 중복 계정을 제외하고 실질적으로 사용되는, 로그인이 가능한 활성 계정은 2206만개다.

공격자는 개발자의 접속키를 탈취해 티빙 내부 시스템에 침투했으며, 티빙은 2024년 모의해킹에서 같은 접속키 하드코딩 취약점을 발견하고도 개선하지 않은 것으로 조사됐다.

활성·비활성·테스트 계정 3954만개 유출…개인정보 20개 항목·70종

과학기술정보통신부는 티빙 침해사고에 대한 민관합동조사단 조사 결과를 9일 발표했다.

조사단은 티빙 데이터베이스(DB) 및 관련 로그 분석을 통해, 로그인이 가능한 활성화 계정 2206만개, 비활성화 계정 1737만개(휴면 계정 850만개, 탈퇴 계정 887만개), 테스트 계정 11만개 등 3954만개 계정(중복 포함)이 유출됐음을 확인했다.

티빙의 3954만개 계정은 동일인이 다수의 계정을 보유할 수 있는 구조로 중복이 포함돼 있으며, 실제 한 명의 이용자가 최대 13개 계정을 보유한 사례를 확인했다.

가입 방식을 기준으로, 티빙 자체가입 726만개, CJ ONE 통합회원 863만개, SNS 간편가입(네이버, 카카오, 페이스북, 애플, X(구 트위터) 등) 2247만개 등으로 확인했다.

조사단은 침해사고로 유출된 정보가 ID, 비밀번호(일방향 암호화), CJ ONE 통합ID, 성명, 휴대전화 번호, 이메일 주소, 생년월일, 연계정보(CI) 등을 포함해 20개 항목(70종)임을 확인했다.

유출 항목 중 휴대전화 번호, 이메일 주소는 일부 암호화된 상태로 유출됐으나, 암호화키가 함께 유출돼 복호화가 가능함에 따라 평문으로 유출된 정보와 동일한 수준으로 판단했다.

ⓒ과학기술정보통신부

비밀번호는 일방향 암호화된 상태로 유출됐으며, 평문으로 복호화가 불가능한 상태임을 확인했다.

연계정보(CI) 보유·미보유 등 계정 특성에 따라 유출정보의 규모에 차이가 존재했다. CI 보유 계정의 경우 더 많은 정보가 유출된 것으로 나타났다.

유출정보를 분석한 결과, 연계정보(CI) 보유 계정 1904만개(중복 제거 시 1324만개 계정)는 평균 11.1개 항목(17.6종) 유출, 연계정보(CI) 미보유 계정 2040만개는 평균 4.6개 항목(5.9종) 유출을 확인했다.

연계정보(CI) 미보유 계정은 본인인증 절차를 거치지 않은 만큼, 성명, 휴대전화 번호, 이메일주소 등 정보가 누락됐거나 유효하지 않은 부정확한 데이터인 경우도 다수 존재했다.

휴대전화 번호와 이메일 주소 등의 유출에 따라 스미싱·보이스피싱 등 2차 피해나 다크웹 등을 통한 불법거래·유통으로 피해가 확산될 가능성이 있다고 조사단은 판단했다. 다만 현재까지 이용자 피해 사례는 확인되지 않았으며, 다크웹 등을 통한 불법거래 및 유통 정황도 탐지되지 않았다.

공격자, 개발 프로젝트 361건 유출

앞서 지난 5월 30일 티빙 데이터베이스(DB) 서버의 작업량 과다로 인해 시스템 과부하 현상이 발생했다.

티빙은 이상징후를 분석하는 과정에서, 비인가자가 내부 서버에 무단 접근해 이용자 정보를 조회한 사실을 인지하고, 6월 1일 한국인터넷진흥원(KISA)에 침해사고를 신고했다.

과기정통부는 다음날인 2일 KISA와 현장조사에 착수해 사고현황을 파악했다. 3일에는 침해사고 조사 심의위원회 심의를 거쳐 민관합동조사단을 구성하고, 피해규모와 사고원인 등에 대한 조사를 진행했다.

조사단은 공격자가 티빙 시스템 내부에 무단 침투해 소스코드가 포함된 개발 프로젝트와 이용자 정보를 유출한 것을 확인했다.

조사단은 티빙 개발환경 보안로그를 분석한 결과, 개발자가 구축 또는 개발 중인 소스코드가 포함된 개발 프로젝트 361건(30.35GB 규모)이 유출된 것을 확인했다.

개발 프로젝트에는 이용자 맞춤형 콘텐츠 추천 및 검색 알고리즘, 이용자 관리 및 인증체계, 결제 관리, 유료 서비스 운영 등 OTT 서비스 ‘티빙(TVING)’을 운영·관리하기 위한 기술 자산이 포함돼 있었다.

조사단은 공격자가 유출된 개발 프로젝트를 분석해 취약점을 파악하고, 이를 2차 피해 등 추가 공격에 악용할 가능성이 있다고 판단했다. 티빙은 민간 보안업체를 통해 개발 프로젝트 내 취약점 진단을 진행하고 있다. 현재까지 추가 공격 정황은 확인되지 않았다.

ⓒ과학기술정보통신부

개발환경 접속키 탈취해 프로젝트 361건 유출

공격자는 티빙 개발자의 ‘개발환경 접속키’를 탈취해 시스템 내부(개발환경, 운영환경)에 침투했다.

이후, ‘개발환경 접속키’를 악용해 개발환경에서 접근 가능한 개발 프로젝트 361건 전체를 유출했다. 공격자는 1차 공격 당시 14개 개발 프로젝트를 유출하고, 2차 공격에서 361개 개발 프로젝트 전체를 유출했다.

조사단은 ‘개발환경 접속키’ 탈취경로 확인을 위해 악용된 ‘개발환경 접속키’를 사용하고 있는 개발자를 특정해 단말기 포렌식 분석을 실시했다.

피싱, 악성코드, 공급망 공격, ‘개발환경 접속키’ 공유·오남용, 취약점 악용 등 다양한 공격 시나리오를 정밀 분석했으나 확인이 불가능했다. 그 과정에서 키 관리체계 부실, 로그 보관기관의 한계 등 티빙 정보보호 관리체계 상 문제점을 확인했다.

공격자는 유출한 개발 프로젝트 내 소스코드에 저장된 티빙 운영환경에 침투할 수 있는 ‘운영환경 접속키’를 확보했다.

조사단은 당시 티빙이 보유한 개발 프로젝트 361건에 총 43개의 ‘운영환경 접속키’가 포함돼 있음을 확인했다. 이 가운데 실제 공격에 악용된 운영환경 접속키는 2개였다.

공격자는 확보한 ‘운영환경 접속키’로 운영환경 내부에 접근했다. 이후, 관리자 권한 보유 여부 등 키 권한 및 정보유출에 활용할 수 있는 내부 시스템 등을 탐색했다.

ⓒ과학기술정보통신부

1차 공격 차단됐지만 2차 공격서 24GB 대규모 유출

공격은 두 차례에 걸쳐 이뤄졌다. 1차 정보유출 시도에서는 공격자가 운영환경 접속키와 DB 접속정보를 활용해 정보유출을 시도했으며, DB 서버의 작업량이 과다해져 CPU 이용률이 100%까지 상승하면서 이상징후 알림이 발생했다. 티빙은 이를 확인하고 해당 작업을 차단했다.

반면 2차 정보유출에서는 공격자가 가상서버 생성 권한이 있는 별도의 운영환경 접속키를 이용해 가상서버를 생성하고 이를 정보유출 통로로 활용했다.

이 과정에서는 CPU 이용률이 10% 이내로 유지돼 이상징후 알림이 발생하지 않았으며, 조사단은 공격자가 1차 시도와 같은 탐지를 피하기 위해 CPU 이용률을 제한해 공격한 것으로 판단했다.

티빙은 키 관리가 부실해, 오남용 및 유출로 인해 공격에 악용될 수 있는 단초를 제공했다.

티빙 개발자는 개발·운영환경에 접근할 수 있는 접속키를 소스코드 내부에 숨김없이 그대로 노출(하드코딩)하거나, 암호화 처리를 통한 숨김없이 평문으로 저장했다. 또한, 사내 메신저 등을 통해 타인과 무분별하게 공유했다.

접근권한은 업무 목적에 따라 필요 최소한으로 부여해야 함에도, 티빙은 모든 개발자에게 전체 개발 프로젝트에 접근할 수 있는 권한을 부여했다. 이로 인해, 공격자가 단 한 개의 ‘개발환경 접속키’를 탈취한 경우에도 모든 개발 프로젝트에 접근할 수 있었다.

키 발급·사용·변경·폐기 및 정기점검 등을 위한 관리절차를 수립해야 함에도, 관련 체계가 부재했다.

ⓒ과학기술정보통신부

정보보호 인력 4명, 신고도 24시간 넘겨

티빙은 공격자의 비정상 행위가 발생했음에도, 해당 공격행위를 탐지·대응하지 못했다. CPU 부하 등 단순 모니터링에만 의존했으며, 네트워크 및 데이터 흐름 등을 실시간으로 탐지·차단할 수 있는 정보보호 체계가 부재했다.

권한 없는 자의 비정상 접속을 통제하기 위한 네트워크 및 시스템 접근제어 정책이 부재했다.

티빙은 전체 임직원은 265명, 개발인력은 149명 규모임에 반해, 정보보호 전담인력은 4명 내외(외주인력 제외)로 구성됐다.

특히 이상징후가 발생한 5월 30일 오후 6시부터 정보보호 전담조직과 정보보호 최고책임자(CISO)에게 상황이 공유되기까지 약 14시간이 걸린 것으로 조사됐다.

이에 정부는 티빙이 로그 저장관리 정책을 수립하고, 모의해킹 등 주기적 취약점 점검을 실시하고 발견된 취약점에 대한 조치체계를 강화하도록 했다.

자체 보안규정 준수 여부를 정기적으로 점검하고, 미준수 사항을 즉각 개선할 수 있는 관리체계를 구축하도록 했다.

특히 티빙은 2024년 모의해킹에서 ‘개발·운영환경 접속키’를 소스코드 내부에 그대로 노출하는 하드코딩 취약점을 발견했음에도 개선 조치를 하지 않은 것으로 조사됐다.

또한 VPN 등 일부 신규 장비에 로그관리 정책이 제대로 적용되지 않아 접속기록이 약 6일간만 보관됐으며, 업무용 PC의 백신 소프트웨어 설치 및 최신버전 관리 등 정기적 보안점검도 미흡했던 것으로 나타났다.

티빙은 정보통신망법 제48조의3에 따라 침해사고를 인지한 후 24시간 이내에 과기정통부 또는 KISA에 신고해야 하지만, 정보보안팀에 상황을 전파한 시점으로부터 24시간이 지난 후 KISA에 신고했다.

조사단은 티빙의 침해사고 인지 시점을 5월 31일 오전 10시10분으로 판단했으며, 티빙은 이로부터 24시간이 지난 6월 1일 오후 3시8분 KISA에 신고했다.

이에 정부는 정보통신망법에 따른 과태료를 부과할 예정이다.

과기정통부는 티빙에 9월 재발방지 대책 이행계획을 제출하도록 하고, 10~12월 이행 여부를 점검할 계획이다. 이행점검 결과 보완이 필요한 사항에 대해서는 정보통신망법에 따라 시정조치를 명령할 예정이다.

한편 모바일인덱스에 따르면 티빙의 MAU(월간 활성 이용자수)는 7월 850만2005명에서 8월 815만4906명으로 전월 대비 4.08% 감소했다.

ⓒ과학기술정보통신부