티빙의 지난 5월 개인정보 유출 사고가 당초 알려진 것보다 훨씬 큰 규모였던 것으로 드러났다. 해커는 개발환경에서 탈취한 접속키를 발판으로 운영환경에 침투했고, 소스코드에 별도 암호화 없이 저장돼 있던 운영서버 접속키와 데이터베이스(DB) 정보를 이용해 약 3954만개 계정의 정보를 빼낸 것으로 조사됐다.

 

과학기술정보통신부는 3일 티빙 침해사고에 대한 민관합동조사단의 조사 결과를 발표했다. 조사 결과 유출된 계정은 활성 계정 2206만개, 휴면·탈퇴 등 비활성 계정 1737만개, 테스트 계정 11만개 등 총 3954만개로 집계됐다. 다만 한 사람이 최대 13개 계정을 보유한 사례가 확인되는 등 중복 계정이 상당수 포함된 것으로 파악됐다.

 

가입 경로별로는 네이버·카카오·페이스북·애플·X 등 사회관계망서비스(SNS) 간편가입 계정이 2247만개로 가장 많았다. CJ ONE 통합회원은 863만개, 티빙 자체가입 계정은 726만개였다.

 

유출 정보에는 아이디(CJ ONE 통합 아이디 포함)와 비밀번호를 비롯해 성명, 생년월일, 휴대전화번호, 이메일 주소, 연계정보(CI) 등 20개 항목, 70종이 포함됐다. 비밀번호는 일방향 암호화가 적용돼 복호화가 불가능한 상태였지만, 휴대전화번호와 이메일 주소는 암호화키가 함께 유출된 것으로 확인됐다. 

 

CI 보유 여부에 따라서도 유출 정보의 범위에는 차이가 있었다. CI를 보유한 계정 1904만개에서는 평균 11.1개 항목, 17.6종의 정보가 유출됐으며, CI가 없는 2040만개 계정에서는 평균 4.6개 항목, 5.9종이 유출된 것으로 조사됐다. 구체적인 개인정보 유출 규모는 개인정보보호위원회가 별도로 확정할 예정이다.

 

◆개발환경서 시작된 침투…운영키 43개까지 노출

 

이번 사고는 개발환경에 대한 침투에서 시작됐다. 조사단은 공격자가 5월 29일부터 31일 사이 개발자의 ‘개발환경 접속키’를 사전에 탈취한 뒤 이를 이용해 개발환경에 무단으로 접속한 것으로 파악했다.

 

이후 공격자는 소스코드에 저장돼 있던 ‘운영환경 접속키’ 43개를 추가로 확보하면서 아마존웹서비스(AWS) 운영환경까지 접근했다. 결과적으로 개발환경과 운영환경 사이의 보안 경계가 무너진 셈이다.

 

공격 과정은 개발환경 침투, 운영환경 접속키 탈취, 운영환경 침투, 1차 유출 시도 및 차단, 2차 우회 유출 등 5단계로 진행됐다.

 

5월 30일에는 이용자 정보 탈취를 시도했지만 DB 서버에 과부하가 발생하면서 이상징후 알림이 작동했고, 티빙이 차단 조치를 취했다. 그러나 공격자는 다음 날인 31일 가상서버를 새로 생성해 이용자 정보 24GB를 한꺼번에 저장한 뒤 외부 서버로 빼냈다. 이후 흔적을 없애기 위해 해당 가상서버까지 삭제한 것으로 조사됐다.

 

기술자산 피해도 상당했다. 공격자는 소스코드가 포함된 개발 프로젝트 361건, 약 30.35GB 규모의 자료를 탈취했다. 여기에는 이용자 맞춤형 콘텐츠 추천 및 검색 알고리즘, 이용자 관리·인증체계, 결제 관리, 유료 서비스 운영 등 티빙의 주요 기술 자산이 포함됐다.

 

조사단은 개발자 단말기에 대한 포렌식 분석 등을 통해 여러 가능성을 검토했지만 정확한 탈취 경로를 특정할 수 없었다고 설명했다.

 

◆소스코드에 접속키·DB 비밀번호 그대로…신고도 지연

 

조사 과정에서는 티빙의 정보보호 관리체계에도 여러 문제점이 확인됐다. 운영환경 접속키를 별도의 보안 저장공간에 분리하지 않고 개발 편의를 위해 소스코드 내부에 그대로 저장하는 이른바 ‘하드코딩’ 방식으로 관리한 것으로 드러났다.

 

개발환경에서 프로그램을 구동하기 위한 설정값인 환경변수 역시 별도의 암호화 처리 없이 평문으로 보관됐다. 이용자 정보가 담긴 DB에 접근할 수 있는 아이디와 비밀번호도 암호화하지 않은 채 저장하고 있었다.

 

정보보호 인력 역시 전체 임직원 265명, 개발인력 149명 규모에 비해 부족했다. 외주인력을 제외하면 정보보호 전담인력은 4명 내외에 그친 것으로 조사됐다. 로그 보관기간에도 한계가 있어 공격 경로를 추적하는 데 어려움이 있었던 것으로 나타났다.

 

침해사고 신고가 늦어진 점도 문제로 지적됐다. 티빙은 정보통신망법상 침해사고를 인지한 뒤 24시간 이내에 신고해야 하지만, 조사단이 판단한 사고 인지 시점인 5월 31일 오전 10시 10분 이후 24시간을 넘긴 6월 1일 오후 3시 8분에야 한국인터넷진흥원(KISA)에 신고했다.

 

이에 과기정통부는 정보통신망법 제76조에 따라 최대 3000만원의 과태료를 부과할 예정이다. 또한 티빙에 이달까지 재발 방지 이행계획을 제출하도록 요구하고, 내년 1월부터 실제 이행 여부를 점검할 방침이다.

 

제도적 제재도 한층 강화된다. 오는 11일부터 시행되는 개정 개인정보보호법에 따라 반복적이거나 중대한 과실로 대규모 개인정보 유출이 발생할 경우 전체 매출액의 최대 10%에 해당하는 징벌적 과징금을 부과할 수 있다.

 

10월 1일부터 시행되는 개정 정보통신망법에는 정보보호 인력과 예산 확보 의무화, 정부의 선제적 조사 착수 근거, 이행강제금 신설 등의 내용도 담긴다.

[ⓒ 세계비즈앤스포츠월드 & sportsworldi.com, 무단전재 및 재배포 금지]