과기정통부, 티빙 침해사고 조사결과 발표…3954만 계정·소스코드 361건 유출

과학기술정보통신부가 민관합동조사단을 통해 티빙(TVING) 침해사고 조사 결과를 3일 발표했다. 조사 결과 이용자 계정 3954만 개와 소스코드가 포함된 개발 프로젝트 361건이 유출된 것으로 파악됐다.

유출된 계정은 활성화 계정 2206만 개, 휴면·탈퇴 등 비활성화 계정 1737만 개, 테스트 계정 11만 개 등이다. 이 가운데 연계정보(CI) 중복 등으로 한 사람이 여러 계정을 보유한 경우가 포함돼 실제 피해자 수는 더 적을 수 있다. 계정 특성에 따라 유출 정보는 차이가 있으며, 성명·생년월일·휴대전화번호·이메일·연계정보 등 20개 항목 70종이 유출됐다. CI를 보유한 계정은 평균 11개 항목, 미보유 계정은 평균 5개 항목이 노출됐다. 비밀번호와 환불 계좌번호는 암호화된 상태로 유출됐다.

공격자는 개발자의 접속키를 탈취해 개발환경에 침투한 뒤, 소스코드에 하드코딩·평문 저장된 운영환경 접속키를 확보해 운영환경으로 넘어갔다. 이 과정에서 데이터베이스 접속 정보도 탈취해 이용자 정보를 빼냈다. 티빙은 개발자 149명 전원에게 모든 개발 프로젝트 접근 권한을 부여하고, 키 발급·사용·변경·폐기 등 관리 절차도 없었다.

조사단은 티빙이 2024년 모의해킹에서 하드코딩 취약점을 발견하고도 개선하지 않았고, 이상징후 발생 14시간 뒤에야 정보보호 최고책임자에게 상황을 공유했다고 지적했다. 또 정보보호 전담인력이 4명에 불과해 상시 보안관제와 취약점 점검에 한계가 있었다고 밝혔다. 티빙은 침해사고 인지 시점(5월 31일 10시 10분)으로부터 24시간이 넘어 신고(6월 1일 15시 8분)해 정보통신망법상 과태료 처분을 받게 됐다.

과기정통부는 기존에 발표한 정보보호 종합대책을 차질없이 이행하고, 국민 밀접 분야 보안점검과 ISMS 인증제도 개선, 보안 취약점 신고 조치 공개 제도 시범사업 등 후속 조치를 추진하겠다고 밝혔다. 또 중대·반복 위반에 대한 제재 강화와 개인정보보호법·정보통신망법 개정 법안의 시행과 현장 이행 상황을 지속 점검할 계획이라고 덧붙였다.