티빙 개발 프로젝트·이용자 계정 유출 확인…접속키 관리 부실이 사고 단초

개발환경 접속키 탈취 뒤 운영환경까지 침투

개발 프로젝트 361건과 중복 포함 3,954만 개 계정 유출…과기정통부, 신고 지연 과태료 부과 예정

과학기술정보통신부는 티빙 침해사고 민관합동조사단 조사 결과, 공격자가 개발자가 보유한 개발환경 접속키를 탈취한 뒤 내부 개발·운영환경에 침투해 소스코드가 포함된 개발 프로젝트와 이용자 정보를 유출한 것으로 확인됐다고 밝혔다.

조사단은 이번 사고로 티빙 개발 프로젝트 361건과 중복 계정을 포함한 이용자 계정 3,954만 개가 유출된 것으로 파악했다. 티빙의 키 관리 체계와 비정상 행위 탐지·대응 체계, 정보보호 거버넌스 및 로그 관리 등 전사 정보보호 관리체계에도 미흡한 점이 확인됐다.

과기정통부는 티빙에 재발방지 대책 이행계획을 제출받고 이행 여부를 점검할 예정이다. 침해사고 신고가 법정 기한을 넘긴 데 대해서는 정보통신망법에 따른 과태료를 부과할 계획이다.

개발 프로젝트 361건·이용자 계정 유출

조사단은 티빙 개발환경 보안로그 분석을 통해 소스코드가 포함된 개발 프로젝트 361건, 약 30.35GB가 유출된 사실을 확인했다.

유출된 프로젝트에는 이용자 맞춤형 콘텐츠 추천과 검색 알고리즘, 이용자 관리 및 인증체계, 결제 관리, 유료 서비스 운영 등 티빙 서비스 운영·관리에 필요한 기술자산이 포함됐다.

이용자 정보는 활성화 계정 2,206만 개, 휴면 계정 850만 개, 탈퇴 계정 887만 개, 테스트 계정 11만 개 등 중복 포함 3,954만 개 계정에서 유출된 것으로 조사됐다.

티빙 계정은 동일 이용자가 여러 개를 보유할 수 있어 중복이 포함돼 있으며, 한 이용자가 최대 13개 계정을 보유한 사례도 확인됐다. 가입 방식별로는 자체가입 계정 726만 개, CJ ONE 통합회원 계정 863만 개, 네이버·카카오·페이스북·애플·X 등을 통한 SNS 간편가입 계정 2,247만 개로 집계됐다.

유출 정보는 ID, 비밀번호, CJ ONE 통합 ID, 성명, 휴대전화 번호, 이메일 주소, 생년월일, 연계정보(CI) 등을 포함한 20개 항목 70종이다. 비밀번호는 일방향 암호화 상태로 유출돼 평문 복호화는 불가능한 것으로 조사됐다.

휴대전화 번호와 이메일 주소 일부는 암호화된 상태였지만, 암호화키도 함께 유출돼 평문 정보 유출과 같은 수준으로 판단됐다.

연계정보를 보유한 계정 1,904만 개에서는 평균 11.1개 항목, 17.6종의 정보가 유출됐다. 반면 연계정보가 없는 계정 2,040만 개는 평균 4.6개 항목, 5.9종의 정보가 유출된 것으로 나타났다. 개인정보 유출의 세부 규모는 개인정보보호위원회가 추가 분석 후 확정할 예정이다.

개발 접속키 탈취 뒤 운영환경 침투

티빙 데이터베이스 서버에서는 지난 5월 30일 작업량 과다에 따른 시스템 과부하가 발생했다. 티빙은 이상징후를 분석하는 과정에서 비인가자가 내부 서버에 접근해 이용자 정보를 조회한 사실을 인지했고, 6월 1일 한국인터넷진흥원에 침해사고를 신고했다.

과기정통부와 한국인터넷진흥원은 6월 2일 현장조사에 착수했으며, 이후 민관합동조사단을 구성해 사고 원인과 피해 규모 등을 조사했다.

조사단은 공격 경로를 개발환경 침투, 운영환경 접속키 탈취, 운영환경 침투, 1차 정보유출 시도, 2차 유출 및 대규모 정보유출의 흐름으로 구분했다.

공격자는 사전에 탈취한 개발환경 접속키를 이용해 개발환경에 무단 접근했고, 이에 접근 가능한 개발 프로젝트 361건 전체를 유출했다. 첫 공격에서는 14개 프로젝트를 빼냈고, 이후 다시 접근해 전체 프로젝트를 유출한 것으로 조사됐다.

조사단은 해당 접속키를 사용한 개발자를 특정해 노트북 8대와 PC 1대에 대한 포렌식 분석을 실시했다. 피싱, 악성코드, 공급망 공격, 접속키 공유·오남용, 취약점 악용 등 여러 가능성을 분석했지만 접속키가 탈취된 구체적 경위는 확인하지 못했다.

다만 티빙의 VPN 접속기록이 6일, 개발환경 접속기록이 90일만 보관돼 있어 조사에 한계가 있었던 것으로 나타났다.

공격자는 유출한 개발 프로젝트 소스코드에서 운영환경에 접근할 수 있는 접속키를 확보했다. 조사단은 당시 티빙이 보유한 361개 개발 프로젝트에 총 43개의 운영환경 접속키가 포함돼 있었던 것으로 확인했다.

이후 공격자는 운영환경 내부에 침투해 권한과 내부 시스템을 탐색했고, 이용자 정보 데이터베이스 접속정보가 평문으로 저장된 사실을 확인한 뒤 이를 탈취했다.

두 차례 유출 시도…가상서버 활용

공격자는 확보한 운영환경 접속키와 데이터베이스 접속정보를 이용해 클라우드 저장소에 정보유출용 스크립트를 삽입하고 데이터베이스에 접속했다.

첫 번째 유출 시도에서는 데이터베이스 서버의 CPU 이용률이 급상승하며 이상징후 알림이 발생했다. 티빙은 이를 확인한 뒤 해당 작업을 차단했다.

그러나 공격자는 이후 가상서버 생성 권한이 있는 별도의 운영환경 접속키를 사용해 운영환경 내부에 가상서버를 만들었다. 이 가상서버를 유출 통로로 활용해 데이터베이스 내 이용자 정보를 일괄 저장한 뒤 외부 서버로 전송한 것으로 조사됐다.

대규모 유출 과정에서 저장된 데이터는 약 24GB 규모였다. 공격자는 유출 이후 흔적을 없애기 위해 생성한 가상서버를 삭제했다. 이 과정에서는 첫 번째 시도와 달리 데이터베이스 서버의 작업량 과다에 따른 이상징후 알림이 발생하지 않았다.

키 관리·보안 대응 체계 미흡

조사단은 티빙이 개발·운영환경 접속키를 소스코드에 그대로 노출하거나 평문으로 저장했으며, 사내 메신저 등을 통해 다른 사람과 무분별하게 공유한 사실을 확인했다.

접근권한도 업무상 필요한 범위로 제한되지 않았다. 티빙은 모든 개발자에게 전체 개발 프로젝트 접근권한을 부여했으며, 이 때문에 개발환경 접속키 하나가 탈취될 경우 전체 프로젝트에 접근할 수 있는 구조였던 것으로 조사됐다.

키의 발급, 사용, 변경, 폐기와 정기점검을 위한 절차도 마련되지 않았다. 조사단은 키 관리·통제와 접근권한 체계를 구축하고, 키 발급 및 사용 이력 관리와 상시 점검을 실시해야 한다고 제시했다.

비정상 행위 탐지와 대응 체계도 부족했다. 티빙은 CPU 부하 등 단순 모니터링에 의존했고, 네트워크와 데이터 흐름을 실시간으로 탐지·차단할 수 있는 체계는 갖추지 못한 것으로 나타났다.

인가되지 않은 접속을 막기 위한 네트워크 및 시스템 접근제어 정책도 부족했다. 조사단은 대량 데이터 조회에 대한 모니터링을 강화하고, 인가된 사용자와 단말기만 내부 시스템에 접근하도록 접근제어 정책을 보완해야 한다고 밝혔다.

정보보호 전담 인력은 외주 인력을 제외하면 4명 내외였다. 전체 임직원 265명, 개발인력 149명 규모와 비교할 때 상시 보안관제, 취약점 점검, 비정상 행위 모니터링을 수행하기에 한계가 있었을 것으로 조사단은 판단했다.

이상징후가 발생한 뒤 정보보호 전담조직과 정보보호 최고책임자에게 상황이 공유되기까지 약 14시간이 걸린 점도 문제로 지적됐다.

티빙은 2024년 모의해킹에서 개발·운영환경 접속키가 소스코드에 노출되는 취약점을 발견하고도 개선 조치를 하지 않은 것으로 조사됐다. 업무용 PC의 백신 소프트웨어 설치 및 최신 버전 관리 등 정기 보안점검도 미흡했던 것으로 확인됐다.

신고 지연 과태료 예정

티빙은 침해사고를 인지한 시점인 5월 31일 오전 10시 10분부터 24시간이 지난 6월 1일 오후 3시 8분에 한국인터넷진흥원에 신고했다.

정보통신망법은 침해사고를 인지한 뒤 24시간 이내에 과기정통부 또는 한국인터넷진흥원에 신고하도록 규정하고 있다. 과기정통부는 티빙에 대해 정보통신망법상 과태료를 부과할 예정이다.

과기정통부는 티빙에 9월 중 재발방지 대책 이행계획을 제출하도록 하고, 10월부터 12월까지 이행 여부를 확인한 뒤 2027년 1월부터 점검을 진행할 계획이다. 점검 결과 보완이 필요한 사항에는 시정조치를 명령할 방침이다.

정부는 국민 생활과 밀접한 분야의 보안점검, 정보보호 및 개인정보보호 관리체계 인증제도 개선, 보안 취약점 신고·조치·공개 제도 시범사업 등을 추진한다. 아울러 반복적이거나 고의·중과실에 따른 대규모 개인정보 유출에 대한 제재 강화, 정보보호 투자 확대, 정부의 선제적 사고조사 및 이행강제금 제도 등의 현장 이행 상황도 지속 점검할 계획이다.