티빙 해킹 피해 윤곽..."실 이용자 규모는 추가 확인 예정"

티빙 개인정보 유출 침해사고의 피해 윤곽이 드러났다. 이용자 정보가 담긴 계정과 서비스 운영에 사용되는 소스코드가 외부로 유출된 것으로 확인됐다.

다만 유출된 계정에는 동일인이 여러 개를 보유한 경우가 포함돼 실제 피해 이용자 규모는 추가 확인이 이뤄질 예정이다.

과학기술정보통신부는 민관합동조사단의 티빙 침해사고 조사 결과, 이용자 정보가 유출된 계정은 중복을 포함해 총 3954만 697개로 파악됐다고 3일 밝혔다. 조사단은 지난 6월부터 개발자 접속키가 탈취된 경위와 공격자의 침투 경로, 정보 유출 범위, 티빙의 정보보호 관리체계 등을 조사했다.

조사 결과 이용자 정보가 유출된 계정은 중복을 포함해 총 3954만 697개로 파악됐다. 현재 로그인이 가능한 활성화 계정 2206만 3021개, 휴면 계정 850만 2679개, 탈퇴 계정 886만 8174개, 테스트 계정 10만 6823개 등이다.

다만 이 숫자를 실제 피해 이용자수로 볼 수는 없다. 티빙은 동일인이 여러 계정을 보유할 수 있는 구조로, 조사 과정에서는 한 사람이 최대 13개 계정을 갖고 있는 사례도 확인됐기 때문이다.

일부 계정에서는 중복을 제외한 규모도 확인됐다. 본인인증 과정에서 생성되는 연계정보(CI)를 보유한 계정은 중복을 포함해 1903만 6223개였지만, 중복 제거 시 1323만 5452개로 줄었다. 전체 유출 계정 가운데 실제 이용자가 몇 명인지는 이번 조사 결과에 포함되지 않았다.

티빙 침해사고 조사 결과를 발표하는 임정규 과기정통부 정보보호네트워크정책관.

구체적인 개인정보 유출 규모는 개인정보보호위원회가 추가 분석해 발표할 예정이다. 가입 방식과 계정 상태가 제각각이고 일부 계정에는 정확하지 않은 정보가 입력돼 있어 계정 수만으로 실제 피해 인원을 산정하기 어렵다는 이유에서다.

유출된 정보의 종류도 계정에 따라 차이가 있었다. 조사단이 전체적으로 확인한 정보는 ID와 비밀번호, 성명, 휴대전화 번호, 이메일 주소, 생년월일, CI, 중복가입 확인정보(DI), 결제이력 등 20개 항목 70종이다.

CI를 보유한 계정에서는 평균 11.1개 항목, 17.6종의 정보가 유출됐다. CI가 없는 계정에서는 평균 4.6개 항목, 5.9종이었다. CI 미보유 계정 중에는 성명이나 휴대전화 번호, 이메일 주소 등이 없거나 실제 정보와 맞지 않는 경우도 다수 확인됐다.

비밀번호는 일방향 암호화된 상태로 유출돼 평문으로 되돌릴 수 없는 것으로 조사됐다. 휴대전화 번호와 이메일 주소 일부도 암호화돼 있었지만 암호화키가 함께 유출돼 복호화할 수 있는 것으로 파악됐다.

이용자 정보 외에 티빙의 기술자산도 유출됐다. 소스코드가 포함된 개발 프로젝트 361건, 약 30.35GB 규모다. 여기에는 이용자 맞춤형 콘텐츠 추천 검색 알고리즘과 이용자 관리·인증체계, 결제 관리, 유료 서비스 운영 등에 사용되는 기술이 포함됐다.

개발환경서 시작해 운영환경까지 침투

공격은 개발자가 사용하는 개발환경 접속키가 탈취되면서 시작됐다. 공격자는 지난 5월29일 탈취한 접속키를 이용해 티빙 개발환경에 들어간 뒤 접근할 수 있는 개발 프로젝트를 외부로 가져갔다.

조사단은 피싱과 악성코드, 공급망 공격, 접속키 공유·오남용, 취약점 악용 등 여러 가능성을 조사했지만 최초 개발환경 접속키가 어떤 경로로 탈취됐는지는 확인하지 못했다.

공격자는 유출한 개발 프로젝트에서 티빙 운영환경에 접근할 수 있는 접속키도 확보했다. 당시 개발 프로젝트에는 운영환경 접속키 43개가 포함돼 있었으며 일부는 소스코드에 직접 입력되거나 설정값에 평문으로 저장돼 있었다.

이를 통해 운영환경에 들어간 공격자는 이용자 정보가 저장된 데이터베이스(DB)의 접속정보를 확보했다.

첫 번째 정보 유출 시도는 5월30일 이뤄졌다. 공격자가 DB에서 대량의 정보를 조회하는 과정에서 서버 CPU 이용률이 100%까지 올라갔고, 티빙은 이상징후 알림을 확인해 해당 작업을 차단했다.

공격자는 이튿날 다시 정보 유출을 시도했다. 이번에는 운영환경 내부에 가상서버를 생성한 뒤 DB 이용자 정보를 이곳에 일괄 저장하고 외부 서버로 반출했다. 가상서버에 저장된 데이터는 약 24GB 규모였다.

두 번째 시도에서는 CPU 이용률이 10% 이내로 유지되면서 앞선 공격 때와 같은 이상징후 알림이 발생하지 않았다. 공격자는 정보 반출 이후 사용한 가상서버를 삭제한 것으로 조사됐다.

정부, 보안체계 개선 요구...내년부터 이행점검

조사단은 사고 경위와 함께 티빙의 정보보호 관리체계도 점검했다. 접속키 발급 사용 변경 폐기 등을 관리하는 체계와 개발자 접근권한 관리, 비정상 행위 탐지 대응체계 등에 개선이 필요한 것으로 판단했다.

정보보호 조직과 사고 대응체계도 점검 대상이 됐다. 티빙은 전체 임직원 265명, 개발인력 149명 가운데 정보보호 전담인력이 외주인력을 제외하고 4명이다. 최초 이상징후가 발생한 뒤 정보보호 전담조직과 정보보호 최고책임자(CISO)에게 상황이 공유되기까지 약 14시간이 걸린 사실도 확인됐다.

과기정통부는 티빙에 접속키 관리 통제 및 접근권한 체계를 구축하고 비정상 행위와 대량 데이터 조회에 대한 모니터링을 강화하도록 요구했다. 정보보호 인력과 예산을 확보하고 부서 간 침해사고 대응체계를 재정립하는 방안도 재발방지 대책에 포함됐다.

침해사고 신고가 법정 기한을 넘긴 데 대해서는 과태료가 부과될 예정이다. 조사단은 정보보안팀에 상황이 전달된 5월31일 오전 10시10분을 사고 인지 시점으로 판단했다. 티빙은 다음날 오후 3시8분 KISA에 신고해 24시간 신고 기한을 넘겼다. 정보통신망법상 최대 3000만원의 과태료 부과 대상이다.