2206만개 계정 털린 티빙…보안 투자 4배·인력 3배로 '대수술'(종합)

3954만개 계정·개발 프로젝트 361건 유출…개발자 접속키 탈취해 운영환경 침투

43개 운영환경 접속키 중 41개 소스코드에 하드코딩…2024년 취약점 발견하고도 미조치

이상징후 발생 뒤 정보보호 조직 공유까지 14시간…침해사고 신고도 5시간58분 지연

2030년 정보보호 투자 4배·인력 3배 확대…해킹·피싱 보험 등 고객 보상 패키지 마련

3일 오후 4시 광화문 코리아나 호텔에서 열린 '사이버 침해사고 관련 설명회'에서 경영진들이 고개 숙여 사과하고 있다.ⓒ데일리안 조인영 기자

티빙의 개인정보 유출 사고로 이용자 계정 3954만개와 소스코드가 포함된 개발 프로젝트 361건이 유출된 것으로 확인됐다. 다만 중복 계정을 제외하고 실질적으로 사용되는, 로그인이 가능한 활성 계정은 2206만개다.

티빙은 2030년까지 정보보호 투자를 직전 5년 대비 약 4배로 확대하고 보안 전문 인력을 현재의 3배 수준으로 확충하겠다는 계획을 밝혔다. 제로 트러스트 기반의 보안 체계를 재구축하는 한편 해킹·피싱 안심 보험과 티빙 포인트 등을 포함한 고객 보상 패키지도 제공한다.

개발자 접속키 탈취해 시스템 침투…2년 전 하드코딩 취약점 알고도 미조치

9일 과학기술정보통신부의 '티빙 침해사고에 대한 민관합동조사단 조사 결과' 발표와 티빙의 '사이버 침해사고 관련 설명회'가 2시간의 시차를 두고 이뤄졌다.

이날 오후 2시 정부서울청사에서 열린 '티빙 침해사고 브리핑'에서 과학기술정보통신부 민관합동조사단은 티빙 데이터베이스(DB) 및 관련 로그 분석을 통해, 로그인이 가능한 활성화 계정 2206만개, 비활성화 계정 1737만개(휴면 계정 850만개, 탈퇴 계정 887만개), 테스트 계정 11만개 등 3954만개 계정(중복 포함)이 유출됐음을 확인했다.

임정규 과기정통부 정보보호네트워크정책관은 "비활성 계정, 활성 계정, 테스트 계정 모두 유출됐다"고 밝혔다.

가입 방식을 기준으로, 티빙 자체가입 726만개, CJ ONE 통합회원 863만개, SNS 간편가입(네이버, 카카오, 페이스북, 애플, X(구 트위터) 등) 2247만개 등으로 집계됐다. KT를 통해 티빙 이용권을 사용한 고객 중 정보가 유출된 숫자는 52만7000건이다.

유출된 CI가 다른 정보와 결합될 경우 악용 가능성을 배제할 수 없다고 했다. 임 정책관은 "CI는 이용자가 바로 접속할 수 있는 정보가 아니다. 이를 통한 직접 로그인이나 불법 거래 악용 가능성은 굉장히 낮다"면서도 "다른 개인정보와 결합되면 개인을 특정할 수 있으므로 스미싱·피싱에 악용될 가능성을 배제할 수 없다"고 분석했다.

공격자는 현재까지 특정되지 않았다. 피싱, 악성코드, 공급망 보안, 접속키 오남용, 취약점 분석 등의 시나리오를 적용했지만 확인할 수 없었다는 설명이다. 임 정책관은 "경찰에서 동시 수사 중으로 이 부분이 밝혀질 것으로 기대한다"고 말했다.

공격자는 티빙 개발자의 ‘개발환경 접속키’를 탈취해 시스템 내부(개발환경, 운영환경)에 침투했다.

1차 정보유출 시도에서는 운영환경 접속키와 DB 접속정보를 활용해 정보유출을 시도했으며, DB 서버의 작업량이 과다해져 CPU 이용률이 100%까지 상승하면서 이상징후 알림이 발생했다. 티빙은 이를 확인하고 해당 작업을 차단했다.

2차 정보유출에서는 공격자가 가상서버 생성 권한이 있는 별도의 운영환경 접속키를 이용해 가상서버를 생성하고 이를 정보유출 통로로 활용했다.

임정규 정보보호네트워크정책관은 "1차 공격 시도 시 티빙에서 해킹이라는 사실을 바로 알았다면 그에 대한 조치를 했을 것"이라며 "티빙은 CPU 과다 사용으로 봤고 해킹으로 보지 않았다. 따라서 접속 차단 외에 추가적인 조치를 하지 않았고 2차 사건이 발생하게 됐다"고 설명했다.

임정규 정보보호네트워크정책관이 3일 정부서울청사에서 티빙 침해사고에 대한 민관합동조사단 조사 결과를 발표하고 있다.ⓒ데일리안 조인영 기자

티빙은 공격자의 비정상 행위가 발생했음에도, 해당 공격행위를 탐지·대응하지 못했다. CPU 부하 등 단순 모니터링에만 의존했으며, 네트워크 및 데이터 흐름 등을 실시간으로 탐지·차단할 수 있는 정보보호 체계가 부재했다.

박용규 KISA 디지털위협대응본부장은 "인적체계, 보고체계 모두 문제가 있었다. 후속조치 사항으로 전체적인 관리체계에 대해 강화할 것을 주문했다"고 말했다.

사고 인지 시점과 관련해서는 5월 30일 오후 6시께 최초 이상 알람이 발생했지만, 이를 시스템 이상으로 판단하고 내부 분석을 거친 뒤 실제 무단 데이터 유출이 의심된 사실이 정보보안팀에 공유되기까지 상당한 시간이 소요된 것으로 조사됐다. 조사단은 5월 31일 오전 10시10분을 티빙의 침해사고 인지 시점으로 판단했다.

이후 열린 브리핑에서 최주희 티빙 대표는 "보안 부서가 인지한 시점이 민관합동조사단에 적시된 오전 10시였고, 내부적으로 사고 발생을 경영진에 보고해 TF를 발동한 시점이 오후 3시였다. 이 과정에서 약 5시간의 인식 차이가 발생했다"고 해명했다.

정부는 티빙이 로그 저장관리 정책을 수립하고, 모의해킹 등 주기적 취약점 점검을 실시하고 발견된 취약점에 대한 조치체계를 강화하도록 했다. 또한 정보통신망법에 따른 신고 지연 관련 과태료를 부과하기로 했다.

3일 오후 4시 광화문 코리아나 호텔에서 열린 '사이버 침해사고 관련 설명회'에서 최주희 티빙 대표이사가 고개 숙여 사과하고 있다.ⓒ데일리안 조인영 기자

조사 과정에서 티빙은 2024년 모의해킹 당시 ‘개발·운영환경 접속키’를 소스코드 내부에 숨김없이 그대로 노출(하드코딩)하는 취약점을 발견했음에도, 개선 조치를 하지 않은 사실이 드러났다.

조성대 티빙 네트워크기술본부장은 "서비스가 성장하고 변화하는 과정에서 내·외부로부터 인계받는 다양한 자산에 일관된 보안 규칙을 적용하는 데 일부 미흡한 점이 있었다. 현재는 해당 부분을 전수 조사해 보안 조치를 완료했으며, 향후 재발하지 않도록 보안 강화에 최선을 다하겠다"고 설명했다.

보안 투자 120억 확대…해킹·피싱 보험 등 1인당 2만원 상당 보상

정부 발표 이후 티빙은 2시간 뒤인 오후 4시 설명회를 열고 피해 이용자에 대한 보상안 시행 계획을 밝혔다. 또 이번 사고를 계기로 정보보호 체계 전반을 쇄신하겠다는 계획도 밝혔다.

티빙은 4대 핵심 전략을 기반으로 보안 체계를 전면 재확립한다. ▲정보 보호 투자·보안 인력 확대 ▲제로 트러스트 기반 보안 체계 재구축 ▲조직 거버넌스 및 보안 문화 재정립 ▲외부 협력을 통한 전문성 강화가 골자다.

티빙 정보보호 강화 계획 ⓒ티빙

먼저 정보 보호 투자와 전문 인력을 대폭 확대한다. 2030년까지 정보 보호 투자를 직전 5년 대비 약 4배로 확대해 자체 보안 역량을 강화할 방침이다.

KISA 공시 기준 티빙의 지난해 정보보안 투자액은 약 25억원이며, 올해는 약 30억원 수준이다. 이를 기반으로 5년 후에는 연간 100억~120억원 규모로 투자를 늘린다는 계획이다.

보안 조직은 프로덕트 보안·클라우드 보안·전사 IT 보안·컴플라이언스 보안 체계로 세분화하고, 전문 인력도 향후 5년간 현재의 3배로 확충한다.

최주희 티빙 대표는 "민관합동조사단 권고에 따라 내부 역량을 한층 강화하고자 연말까지 내부 인력을 10명으로 채우고, 외주 인력을 포함해 총 15~16명 규모로 충원할 예정"이라며 "지난 3개월간 민관합동조사단과 마련한 재발 방지 대책을 완수하기 위해 정보보안팀을 4개 세부 조직으로 전문화·세분화했으며, 이에 필요한 인력을 역산해 채용을 진행하고 있다"고 말했다.

이에 따라 향후 5년간 정보보안 인력은 작년 내부 4.8명, 외부 4.6명 등 총 9.4명에서 2030년 내·외부 인력을 합산해 25~30명 규모로 확대된다.

보안의 기본 원칙 역시 제로 트러스트(Zero-Trust)로 전면 고도화한다. 인증·접근 통제 방식을 단계별로 매번 검증하는 전사 보안 표준 시스템으로 일원화하고, 최소 권한 원칙을 중심으로 직무와 목적에 따라 필요한 범위 내에서만 권한이 부여되도록 체계를 표준화한다.

아울러 내부 침해를 전제로 시스템과 네트워크 영역을 분리 차단하고, 개인정보 등 중요 데이터에 대한 보호 수준을 한층 강화하는 등 보안 구조 자체를 정밀화한다.

또 AI 기반 지능형 탐지와 실시간 자동 대응 체계를 강화해, 위험이 감지되는 즉시 차단과 격리가 이뤄지도록 보안 수준을 강화할 방침이다.

정보보안 혁신자문위원회 구성도 추진 중이다. 현재 3명의 위원 위촉을 완료한 상태로 총 4명으로 구성할 예정이다. 고민석 티빙 인사담당 부사장은 "위원회가 완전히 갖춰지면 전체적인 보안 프로세스 개선과 방향성에 대해 지속적인 자문을 받을 예정"이라고 말했다.

티빙 정보보호 강화 계획 ⓒ티빙

보안 거버넌스 체계도 쇄신하고 전사 보안 문화를 재정립하는 방안도 추진된다.

티빙은 ▲해킹·피싱 안심 보험 ▲프리미엄급 시청 환경 업그레이드 ▲티빙 포인트 ▲엔터테인먼트 쿠폰으로 구성된 보상 패키지를 제공한다.

안심 보험은 1년간 제공되며, 해킹·피싱에서 비롯된 사이버 금융사기는 물론 인터넷 쇼핑몰 사기와 개인 간 직거래 사기까지 1인당 최대 300만원을 보상한다. 또한 별도 신청 없이 자동으로 프리미엄급 시청 환경으로 업그레이드된다.

이어 최신 영화 등을 개별 구매할 때 사용할 수 있는 5000원 상당의 티빙 포인트를 지급한다. 여기에 웨이브 AVOD 1개월(5500원)· CGV 콤보 3종 5000원 할인 쿠폰 중 하나를 선택할 수 있는 엔터테인먼트 쿠폰을 제공한다.

장현경 티빙 사업관리본부장은 "보상안 지급 시 유출 항목에 따른 차등은 없으며, 정보가 유출된 모든 고객에게 고객 단위로 동일한 혜택이 제공된다"면서 "프리미엄 시청 환경 업그레이드는 이용권을 구독 중인 회원에 한해 제공되는 혜택이며 티빙 포인트의 경우 유료 구독 여부와 관계없이 정보 유출이 확인된 모든 고객이 대상"이라고 했다.

최주희 대표는 "탈퇴 또는 휴면 상태인 회원은 약 800만~1700만명 규모로 추산된다. 이들 역시 보상 대상에 포함되나, 본인 확인 및 보유 정보 매칭 절차가 필요해 최소한의 회원가입(로그인) 절차는 불가피하다"고 설명했다.

전체 보상 패키지의 규모는 인당 환산 금액과 고객의 신청 및 옵션 선택 결과에 따라 달라지므로 정확한 총액을 특정하기는 어렵다는 설명이다. 다만 1인당 환산 기준 약 2만원 상당의 혜택으로 추산한다고 했다. 정보유출 계정에서 2만원을 단순 곱셈할 수 없다는 설명이다.

보상 패키지는 9월 7일부터 30일까지 신청을 받아 10월 6일부터 적용된다. 자세한 내용과 신청 방법은 티빙 공식 앱과 홈페이지 공지사항에서 확인할 수 있다.

최주희 티빙 대표는 "이번 유출 사고와 관련해 무엇보다 고객 신뢰 회복이 최우선 과제라고 생각한다. 단순 트래픽을 올리는 임시방편보다는 안전한 서비스 제공과 우수한 콘텐츠를 통해 신뢰를 회복하는 데 집중하겠다"고 말했다.

3일 오후 4시 광화문 코리아나 호텔에서 열린 '사이버 침해사고 관련 설명회'에서 최주희 티빙 대표이사가 이용자에 대한 보상안 계획을 설명하고 있다.ⓒ데일리안 조인영 기자

티빙은 이번 보상 패키지로 단기 재무 부담이 불가피할 전망이다. 장현경 티빙 사업관리본부장은 "보상 패키지가 연내 운영되는 만큼 올해 말까지 재무적 임팩트와 일정 수준의 부담이 있을 것으로 예상한다"면서도 "구체적인 액수를 명확히 밝히기는 어렵다"고 말했다.

최주희 대표는 "법적 배상이나 과징금 등 법적 책임 역시 겸허히 받아들이고 정해진 바에 따라 책임을 다하겠다"고 언급했다.

대규모 개인정보 유출이라는 악재를 맞닥뜨린 티빙이 이번 보안 체계 재정비와 경영 쇄신을 계기로 토종 OTT로서의 경쟁력을 회복할 수 있을지 주목된다.

최 대표는 "재무적 부담이 발생하는 것은 사실이나, 고객 신뢰 회복의 핵심은 결국 우수한 콘텐츠"라며 "오리지널 콘텐츠 및 스포츠 중계 등 투자 규모를 줄일 계획은 전혀 없으며, 오히려 투자를 강화해 글로벌 확장과 한국 콘텐츠 산업으로의 재투자로 이어지는 선순환 구조를 만들겠다"고 강조했다.