'접속키 노출'에 뚫린 티빙…활성 계정 2206만개 유출·늑장 신고(종합)

CI 보유 계정만 580만개 중복…1차 공격 ‘시스템 이상’ 판단해 추가 조치 못해

임정규 정보보호네트워크정책관이 3일 정부서울청사에서 티빙 침해사고에 대한 민관합동조사단 조사 결과를 발표하고 있다.ⓒ데일리안 조인영 기자

티빙의 이용자 계정 3954만개와 소스코드가 포함된 개발 프로젝트 361건이 유출됐다. 다만 중복 계정을 제외하고 실질적으로 사용되는, 로그인이 가능한 활성 계정은 2206만개다.

공격자는 개발자의 접속키를 탈취해 티빙 내부 시스템에 침투한 것으로 조사됐다.

과학기술정보통신부는 9일 오후 정부서울청사에서 티빙 침해사고에 대한 민관합동조사단 조사 결과를 발표했다.

조사단은 티빙 데이터베이스(DB) 및 관련 로그 분석을 통해, 로그인이 가능한 활성화 계정 2206만개, 비활성화 계정 1737만개(휴면 계정 850만개, 탈퇴 계정 887만개), 테스트 계정 11만개 등 3954만개 계정(중복 포함)이 유출됐음을 확인했다.

임정규 정보보호네트워크정책관은 "비활성 계정, 활성 계정, 테스트 계정 모두 유출됐다"고 밝혔다.

가입 방식을 기준으로, 티빙 자체가입 726만개, CJ ONE 통합회원 863만개, SNS 간편가입(네이버, 카카오, 페이스북, 애플, X(구 트위터) 등) 2247만개 등으로 확인했다. KT를 통해 티빙 이용권을 사용한 고객 중 정보가 유출된 숫자는 52만7000건이다.

임정규 정보보호네트워크정책관은 "3954만 계정에는 중복이 포함돼있다. 중복을 제거하기 위해 연계정보(CI)를 보유한 계정과 CI를 보유하지 않은 계정으로 구분했다. CI를 보유한 1904만개에 대해서는 약 580만 계정의 중복이 발생했다"고 설명했다.

반면 CI를 보유하지 않은 2040만개 계정은 중복 여부를 확인할 방법이 없어 실제 이용자 수를 정확히 산정하기 어려운 것으로 나타났다. 임 정책관은 "CI를 보유한 계정과의 중복이 있을 수가 있고 CI를 미보유한 계정 내에서도 중복이 있을 수가 있다"며 "개보위 조사 과정에서 보다 상세히 확인될 것"이라고 덧붙였다.

ⓒ과학기술정보통신부

휴면·탈퇴 계정이 보관된 이유와 관련해서는 전자상거래법상 계약철회 관련 기록은 5년, 소비자 분쟁 관련 기록은 3년간 보관하도록 규정돼 있기 때문이라고 했다.

유출된 CI가 다른 정보와 결합될 경우 악용 가능성을 배제할 수 없다고 했다. 임 정책관은 "CI는 이용자가 바로 접속할 수 있는 정보가 아니다. 이를 통한 직접 로그인이나 불법 거래 악용 가능성은 굉장히 낮다"면서도 "다른 개인정보와 결합되면 개인을 특정할 수 있으므로 스미싱·피싱에 악용될 가능성을 배제할 수 없다"고 분석했다.

네이버, 카카오, 페이스북, 애플, X(구 트위터)에서도 가입자 정보가 넘어갔는지 질의에 대해 임 정책관은 "SNS에 있는 정보가 자동적으로 넘어가지는 않는다. 티빙의 정보가 유출됐다고 자연적으로 SNS 정보가 동시에 유출될 위험성은 없다"고 답했다.

티빙에서 SNS 간편가입을 할 때 통상 이름과 이메일 주소 등이 넘어가며, 네이버의 경우 출생연도와 성별 등이 추가로 전달된다. 이후 티빙에서 본인확인을 거치면서 휴대전화 번호와 CI, 생년월일 등의 정보를 수집하는 구조라는 설명이다.

공격자가 외부에 있는 서버로 이용자 정보를 유출한 것에 대해 임 정책관은 "이 정보가 국내가 아닌 해외 계정으로 나간 것을 확인했다"면서도 "이것 역시 수사의 영역"이라고 설명했다.

박용규 KISA 디지털위협대응본부장은 "서버 위치는 해외로 나간 흔적까지만 확인이 됐고 이 데이터가 해외 그 서버에 실제 남았는지 여부는 수사 영역을 통해서 해결해야 될 부분"이라고 말했다.

공격자는 현재까지 특정하지 않았다. 피싱, 악성코드, 공급망 보안, 접속키 오남용, 취약점 분석 등의 시나리오를 적용했지만 확인할 수 없었다는 설명이다. 임 정책관은 "경찰에서 동시 수사 중으로 이 부분이 밝혀질 것으로 기대한다"고 말했다.

공격자는 티빙 개발자의 ‘개발환경 접속키’를 탈취해 시스템 내부(개발환경, 운영환경)에 침투했다.

1차 정보유출 시도에서는 운영환경 접속키와 DB 접속정보를 활용해 정보유출을 시도했으며, DB 서버의 작업량이 과다해져 CPU 이용률이 100%까지 상승하면서 이상징후 알림이 발생했다. 티빙은 이를 확인하고 해당 작업을 차단했다.

ⓒ과학기술정보통신부

2차 정보유출에서는 공격자가 가상서버 생성 권한이 있는 별도의 운영환경 접속키를 이용해 가상서버를 생성하고 이를 정보유출 통로로 활용했다.

임정규 정보보호네트워크정책관은 "1차 공격 시도 시 티빙에서 해킹이라는 사실을 바로 알았다면 그에 대한 조치를 했을 것"이라며 "티빙은 CPU 과다 사용으로 봤고 해킹으로 보지 않았다. 따라서 접속 차단 외에 추가적인 조치를 하지 않았고 2차 사건이 발생하게 됐다"고 설명했다.

박용규 KISA 디지털위협대응본부장은 "1차 공격 시도 당시 보안 알람이라기 보다는 시스템 이상 알람이었기 때문에 티빙은 이런 조치가 어떤 사항인지를 계속 조사하고 있었다. 그러던 중 2차 공격이 발생된 사건"이라고 말했다.

실제로 1차 공격 당시에는 DB에서 정보를 읽어오는 행위가 확인돼 해당 작업 자체를 차단했지만, 이후 공격자의 침투 사실을 확인하고 접속키를 폐기·변경하는 등 추가적인 조치로 이어지지는 않았다.

티빙은 공격자의 비정상 행위가 발생했음에도, 해당 공격행위를 탐지·대응하지 못했다. CPU 부하 등 단순 모니터링에만 의존했으며, 네트워크 및 데이터 흐름 등을 실시간으로 탐지·차단할 수 있는 정보보호 체계가 부재했다.

박용규 KISA 디지털위협대응본부장은 "인적체계, 보고체계 모두 문제가 있었다. 후속조치 사항으로 전체적인 관리체계에 대해 강화할 것을 주문했다"고 말했다.

사고 인지 시점과 관련해서는 최초 이상 알람이 발생한 이후 내부 분석을 거쳐 실제 무단 데이터 유출이 의심된 사실을 정보보안팀에 공유하기까지 시간이 소요된 것으로 조사됐다. 조사단은 티빙의 침해사고 인지 시점을 5월 31일 오전 10시10분으로 판단했다.

ⓒ과학기술정보통신부

티빙 개인정보유출 사고는 개인정보보호법과 개정된 정보통신망법의 적용 대상이 아니라고 했다. 임 정책관은 "개정된 정보통신망법의 시행일은 10월 1일이며 개인정보보호법은 9월 11일"이라며 "5월 30일에 발생한 사안이기 때문에 두 법의 대상이 아니다"라고 말했다.

정부는 정보통신망법에 따른 신고 지연 관련 과태료를 부과할 예정이다.

개인정보 유출 규모에 따른 과징금은 개인정보보호위원회가 별도로 산정할 예정이다. 임 정책관은 개인정보보호위원회가 구체적인 개인정보 유출 규모를 산정한 뒤 과징금 규모를 결정하게 된다고 설명했다.

한편 정부는 향후 기업이 침해사고를 신고하기 전이라도 해킹 사고 정황이 확인되면 즉시 조사에 착수할 수 있도록 제도를 강화하고, 재발방지 대책을 불성실하게 이행하는 기업에 대한 이행강제금과 과징금·과태료를 강화할 방침이다.