정부 "티빙 해킹 따른 네카오 등 SNS 정보 추가 유출 없어"

과기정통부 "간편가입 때 제한된 정보만 티빙에 전달, 2차 피해 정황 없어"

티빙 개인정보 유출 사고로 네이버·카카오 등 SNS 간편가입 이용자 정보가 유출됐지만, 해당 SNS가 별도로 보유한 개인정보까지 추가로 유출되지는 않은 것으로 확인됐다.

3일 과학기술정보통신부의 티빙 침해사고 조사결과 브리핑에 따르면 네이버·카카오·페이스북·X·애플 등 SNS 계정을 이용해 티빙에 가입하더라도 해당 서비스가 보유한 개인정보 전체가 티빙으로 전달되지 않는다.

SNS 간편가입 과정에서 티빙으로 전달되는 정보는 대부분 이름과 이메일 주소다. 네이버는 출생연도와 성별이 추가된다. 휴대전화 번호와 연계정보(CI), 중복가입확인정보(DI), 생년월일, 성별 등은 이후 티빙이 자체 본인확인 과정에서 별도로 수집한다.

이에 따라 티빙이 보유한 개인정보가 유출됐더라도 이를 통해 네이버나 카카오 등 외부 연계 서비스가 보유한 개인정보에 추가로 접근할 수 있는 것은 아니라는 게 정부 설명이다.

임정규 과기정통부 정보보호네트워크정책관, 사진_뉴스1

임정규 과기정통부 정보보호네트워크정책관은 “SNS에 있는 정보가 자동적으로 넘어가지는 않는다”며 “티빙의 정보가 유출됐다고 자연적으로 SNS 정보가 동시에 유출되거나 그럴 위험성은 없다”고 설명했다.

유출된 개인정보가 실제 피해로 이어진 사례도 현재까지 확인되지 않았다. 정부와 한국인터넷진흥원(KISA)이 사고 이후 피해 상황을 확인하고 있지만 유출 정보를 이용한 피해가 발견되거나 별도로 접수된 사례는 없는 상태다.

유출 정보가 외부에서 거래되거나 재유통된 정황도 아직 발견되지 않았다. 조사단은 다크웹 등을 대상으로 관련 정보를 살펴봤지만 현재까지 불법 거래나 유통 정황을 탐지하지 못했다. 다만 개인정보가 외부로 유출된 만큼 정부는 추가 피해 가능성을 지속적으로 살펴볼 필요가 있다고 보고 있다.

임정규 국장은 “실제 관련돼 피해가 발견되거나 저희에게 접수된 사항은 아직까지 없다”고 밝혔다.

정확한 개인정보 유출 규모는 개인정보보호위원회가 추가 조사한다. 계정별로 유출된 개인정보의 종류가 다르고 동일인이 여러 계정을 보유한 사례도 있어 개인정보위가 유출 항목 등을 상세 분석해 구체적인 규모를 확정할 예정이다.

침해사고의 최초 침투 경로는 아직 규명되지 않았다. 조사단은 공격자가 개발자의 개발환경 접속키를 탈취해 내부 시스템에 들어온 사실까지는 확인했지만, 해당 접속키가 처음 어떤 방식으로 공격자에게 넘어갔는지는 특정하지 못했다.

조사단은 개발자 단말기 포렌식을 비롯해 피싱과 악성코드, 공급망 공격, 접속키 공유·오남용, 취약점 악용 등 가능한 시나리오를 조사했지만 탈취 경로를 뒷받침할 근거를 찾지 못했다.

민관합동조사단 관계자는 “대표적으로 공격자들이 사용하는 시나리오를 모두 확인했지만 공격자를 확인하지 못했다”며 “현재 경찰에서도 수사가 진행 중인 만큼 수사를 통해 이 부분이 밝혀질 것으로 기대한다”고 말했다.