접속키 43개 노출 ‘관리 부실’…첫 해킹 시도 차단 후 탐지 못해
과태료 등 제재 예정…사측, 공식 사과 “안심보험 1년 제공 보상”
사진 크게보기
온라인동영상서비스(OTT) 티빙에서 활성 계정 2206만개, 비활성 계정 1737만개 등 총 3954만개 계정 정보와 소스코드가 유출된 것으로 정부 조사 결과 확인됐다. 유출된 정보도 이름·휴대전화번호·결제이력 등 70종에 달했다.
티빙은 공식 사과하고 고객에 해킹·피싱 안심보험을 1년간 제공하고, 5000원 상당의 티빙포인트를 지급하기로 했다.
과학기술정보통신부 민관합동조사단은 3일 정부서울청사에서 티빙 침해사고 조사 결과를 발표했다. 유출된 계정은 활성 계정 2206만개, 휴면·탈퇴 등 비활성 계정 1737만개, 테스트 계정 11만개 등 총 3954만개로 집계됐다. 최초 공격자는 아직 특정되지 않았다.
유출 계정은 자체 가입(726만), CJ ONE 통합회원(863만), SNS 간편가입(2247만) 등 다양한 경로로 가입됐다. 다만 3954만개에는 동일인이 여러 계정을 가진 경우가 중복 집계돼 실제 피해자 수와는 차이가 있다. 실제로 최대 13개 계정을 가진 이용자도 확인됐다.
유출 정보는 성명과 휴대전화번호, e메일 주소, 생년월일, 결제이력 등 20개 항목 70종에 달했다. 휴대전화번호와 e메일 주소 일부는 암호화돼 있었지만 암호화키까지 함께 유출됐다. 현재까지 2차 피해는 확인되지 않았다.
공격자는 사전에 탈취한 개발자의 접속키를 이용해 5월29일 티빙 개발시스템에 침투했다. 이곳에서 소스코드가 담긴 개발 프로젝트 361건을 빼낸 뒤 추가 접속키를 확보해 운영시스템에 들어갔다. 30일 이용자 정보 유출을 처음 시도했고, 이튿날에 이용자 정보 24GB를 외부로 빼냈다.
티빙의 허술한 보안 관리가 피해를 키웠다. 운영시스템 접속키 43개가 소스코드 등에 그대로 들어 있었고, 모든 개발자가 전체 프로젝트에 접근할 수 있었다. 접속키 하나만 뚫려도 전체로 피해가 번질 수 있는 구조였다.
티빙은 처음 서버 과부화 해킹 시도를 차단했지만, 이후 공격자가 CPU 부하를 낮추자 해킹 시도를 제대로 탐지하지 못했다.
과기정통부는 티빙에 과태료를 부과하고 재발방지 대책 이행 여부도 점검할 예정이다. 개인정보보호위원회도 별도 조사를 진행 중이며, 법 위반 사항이 확인되면 과징금 등 제재에 나설 예정이다.
최주희 티빙 대표이사는 “이번 침해사고로 고객 여러분께 큰 심려와 불안을 끼쳐드린 점 진심으로 사과드린다”며 “오늘 발표된 사이버 침해사고 민관합동조사단의 최종 조사 결과를 겸허히 받아들이며, 지적된 사항에 대한 필요한 모든 시정 조치와 재발방지 대책을 책임감을 가지고 끝까지 이행하겠다”고 했다.
이에 신뢰 회복을 위한 보상 패키지를 내놓았다. 우선 해킹·피싱 안심보험을 1년간 제공한다. 사이버 금융사기와 인터넷 쇼핑몰 사기 및 개인 간 직거래 사기까지 1인당 최대 300만원을 보상한다. 현재 이용자에 한해 프리미엄급 시청환경(4K·4대 동시시청 등)으로 업그레이드도 제공한다.
최신 영화 등을 개별 구매할 때 사용할 수 있는 5000원 상당의 티빙포인트도 지급한다. 또 웨이브 AVOD 1개월(5500원), CGV 콤보 3종 5000원 할인쿠폰 중 하나를 선택할 수 있는 엔터테인먼트 쿠폰을 제공한다.
티빙은 또 2030년까지 정보보호 투자를 직전 5년 대비 4배로 확대한다. 올해 30억원 수준인 보안 지출 규모를 120억원 수준으로 끌어올릴 계획이다.
댓글
0