▲ 임정규 과학기술정보통신부 정보보호네트워크정책관이 3일 정부서울청사에서 민관합동조사단의 티빙 침해사고 조사 결과를 발표하고 있다. <연합뉴스>
과기정통부는 3일 정부서울청사에서 한국인터넷진흥원(KISA) 등으로 구성된 민관합동조사단의 티빙 침해사고 조사 결과를 발표했다.
앞서 티빙은 2026년 5월29~31일 외부 공격자가 내부 시스템에 침입하는 침해사고를 겪었으며 6월1일 오후 KISA에 이를 신고했다.
조사 결과 공격자는 티빙 개발자가 보유한 개발환경 접속키를 탈취해 내부 개발환경에 침투한 뒤 소스코드가 포함된 개발 프로젝트 361건을 빼냈다.
유출된 프로젝트에는 이용자 맞춤형 콘텐츠 추천·검색 알고리즘과 이용자 관리·인증체계, 결제 관리, 유료서비스 운영 등에 관련된 기술자산이 포함됐다.
이용자 정보는 로그인이 가능한 활성화 계정 2206만 개와 휴면·탈퇴 계정 등 비활성화 계정 1737만 개, 테스트 계정 11만 개 등 모두 3954만 개 계정에서 유출됐다. 다만 동일인이 여러 계정을 보유할 수 있어 중복 계정이 포함됐으며 실제 한 명의 이용자가 최대 13개 계정을 보유한 사례도 확인됐다.
유출된 정보에는 아이디(ID), 성명, 휴대전화번호, 이메일주소, 생년월일, 연계정보(CI), 결제이력 등 모두 20개 항목 70종이 포함됐다. 비밀번호는 일방향 암호화된 상태로 유출돼 평문으로 복호화할 수 없는 것으로 조사됐다. 구체적 개인정보 유출 규모는 개인정보보호위원회가 유출 항목을 상세 분석한 뒤 발표한다.
조사단은 사고 원인으로 티빙의 부실한 접속키 관리체계를 지목했다.
티빙은 운영환경 접속키를 소스코드에 그대로 넣는 하드코딩 방식으로 관리하거나 암호화하지 않은 평문 상태로 저장했다. 모든 개발자에게 전체 개발 프로젝트 접근권한도 부여한 것으로 나타났다.
당시 티빙이 보유한 개발 프로젝트 361건에는 운영환경 접속키 43개가 포함돼 있었으며, 공격자는 이 가운데 2개를 실제 공격에 악용한 것으로 조사됐다.
공격자는 유출한 개발 프로젝트에서 운영환경 접속키를 확보한 뒤 이용자 정보가 저장된 데이터베이스까지 침투했다. 이후 5월31일 운영환경 내부에 가상서버를 만들어 이용자 정보 약 24GB를 저장한 뒤 외부 서버로 빼내고 흔적을 없애기 위해 가상서버를 삭제했다.
정보보호 관리체계도 미흡했던 것으로 조사됐다.
티빙은 임직원 265명과 개발인력 149명을 두고 있지만, 정보보호 전담인력은 외주인력을 제외하고 4명 안팎이었다. 2024년 모의해킹에서 접속키 하드코딩 취약점을 발견하고도 개선하지 않았고, 일부 시스템의 접속기록도 약 6일 동안만 보관했다.
과기정통부는 티빙이 침해사고를 인지한 뒤 법정 신고기한인 24시간을 넘겨 KISA에 신고한 사실도 확인했다. 이에 따라 정보통신망법에 따라 3천만 원 이하의 과태료를 부과할 예정이다.
과기정통부는 티빙에 9월까지 재발방지 대책 이행계획을 제출하도록 하고 티빙이 올해 10월부터 12월까지 대책을 이행한 뒤 2027년 1월부터 이행 여부를 점검하기로 했다. 보완이 필요한 사항에는 시정조치를 명령한다는 방침을 세웠다. 조승리 기자
