과학기술정보통신부는 3일 티빙 침해사고에 대한 민관합동조사단의 조사 결과를 발표했다. 앞서 지난 5월 30일 티빙 데이터베이스(DB) 서버에 과부하 현상이 발생했고, 티빙이 이상징후를 분석하는 과정에서 비인가자가 내부 서버에 무단 접근해 이용자 정보를 조회한 사실을 확인했다. 티빙은 6월 1일 한국인터넷진흥원(KISA)에 침해사고를 신고했고, 과기정통부는다음날인 6월 2일 현장조사에 착수한 뒤 6월 3일 민관합동조사단을 꾸려 조사를 진행해 왔다.

유출된 정보는 아이디, 비밀번호(일방향 암호화), 성명, 생년월일, 휴대전화 번호, 이메일 주소, 연계정보(CI) 등 20개 항목(70종)에 이른다. CI는 주민등록번호를 대체해 개인을 식별하는 고유값으로, 본인인증 과정에서 만들어진다.

계정 특성에 따라 유출 정보의 양은 차이가 났다. 본인인증을 거친 CI 보유 계정(1904만개)은 평균 11.1개 항목이, 그렇지 않은 CI 미보유 계정(2040만개)은 평균 4.6개 항목이 유출됐다.

특히 휴대전화 번호와 이메일 주소는 일부 암호화된 상태로 새어나갔지만, 암호를 푸는 열쇠인 암호화키까지 함께 유출돼 복호화가 가능한 것으로 조사됐다. 조사단은 이를 사실상 평문(암호화하지 않은 원문)으로 유출된 것과 같은 수준으로 판단했다.

반면 비밀번호는 되돌려 원문을 복원할 수 없는 일방향 암호화 상태로 유출돼 복호화가 불가능한 것으로 확인됐다. 소스코드가 포함된 개발 프로젝트 361건(30.35GB)도 함께 빠져나갔다. 여기에는 콘텐츠 추천·검색 알고리즘, 이용자 인증체계, 결제 관리 등 티빙 서비스 운영에 쓰이는 기술 자산이 담겨 있었다.

이와 관련해 조사단은 향후 구체적인 개인정보 유출 규모를 개인정보보호위원회가 항목별 상세 분석을 마친 뒤 확정해 발표할 예정이라고 밝혔다.

침투는 크게 다섯 단계로 나뉜다. 공격자는 먼저 개발환경에 무단 접속해 개발 프로젝트 361건 전체를 유출했다. 이 소스코드 안에는 운영환경에 접근할 수 있는 ‘운영환경 접속키’ 43개가 그대로 저장돼 있었고, 공격자는 이 가운데 2개를 악용해 운영환경으로 넘어갔다. 문제가 된 접속키들은 안전한 별도 공간에 보관되지 않은 채 소스코드에 그대로 적혀 있거나(하드코딩), 암호화 없이 평문으로 방치돼 있었다. 하드코딩은 접속키 같은 민감 정보를 별도 저장소에 분리하지 않고 소스코드 안에 그대로 적어두는 것을 말한다.

공격자는 운영환경에서 이용자 정보가 담긴 데이터베이스(DB)의 접속정보(아이디·비밀번호)까지 확보했다. 이 접속정보 역시 암호화되지 않은 평문으로 저장돼 있었다. 이어 5월 30일 1차 유출을 시도했으나, DB 서버 CPU 이용률이 100%까지 치솟으면서 이상징후 알림이 울렸고 티빙이 해당 작업을 차단했다. 그러나 공격자는 다음날인 5월 31일 2차 시도에서 CPU 점유율을 10% 안팎으로 제한해 알림을 피한 뒤, 가상서버를 만들어 이용자 정보 24GB를 대규모로 빼돌리고 흔적을 지우기 위해 가상서버를 삭제했다.

다만 최초 발단인 ‘개발환경 접속키’가 어떻게 탈취됐는지는 끝내 규명되지 않았다. 조사단은 개발자 단말기 9대를 포렌식 분석하고 피싱, 악성코드, 공급망 공격, 접속키 공유·오남용, 취약점 악용 등 여러 시나리오를 정밀 분석했으나 정확한 경로는 확인하지 못했다고 밝혔다.

비정상 행위를 잡아내는 탐지·모니터링 체계도 부재했다. CPU 부하 정도만 확인하는 기초적인 모니터링에 의존했을 뿐, 네트워크와 데이터 흐름을 실시간으로 탐지·차단하는 체계가 없었다는 것이 조사단의 판단이다. 조사단은 “탐지·차단 체계가 제대로 구축돼 있었다면 대규모 유출까지 이르지 않았을 것”이라고 봤다.

인력 부족도 지적됐다. 티빙은 전체 임직원 265명, 개발인력 149명 규모임에도 정보보호 전담인력은 외주를 제외하고 4명 내외에 그쳤다. 이상징후가 발생한 시점(5월 30일 오후 6시)으로부터 약 14시간이 지난 뒤에야 정보보호최고책임자(CISO)에게 상황이 공유될 만큼 초동 대응 체계도 미흡했다. 앞서 2024년 모의해킹에서 접속키 하드코딩 취약점이 발견됐는데도 조치하지 않았고, 신규 보안장비(VPN)의 접속기록은 6일치만 보관되고 있었던 점도 확인됐다.

한편 조사단은 현재까지 추가 공격 정황이나 이용자 피해 사례는 확인되지 않았으며, 다크웹 등을 통한 불법 거래·유통 정황도 탐지되지 않았다고 밝혔다. 티빙은 지난 6월 3일부터 피해 전담 상담 콜센터를 운영하고 있다.

아울러 과기정통부는 이번 조사 결과를 토대로 티빙에 이달 중 재발방지 이행계획을 제출받고, 10~12월 이행 여부를 내년 1월부터 점검할 계획이다. 미흡한 부분에 대해서는 정보통신망법에 따라 시정조치를 명령할 수 있다. 한편 개인정보 유출 시 매출액의 최대 10%까지 징벌적 과징금을 물릴 수 있는 개정 개인정보보호법이 오는 11일, 침해사고 예방·대응 제도를 강화한 개정 정보통신망법이 다음 달 1일부터 시행된다. 다만 티빙 해킹 사고의 경우 이보다 먼저 발생해 종전 기준이 적용될 예정이다.