티빙, '접속키 방치'로 대규모 해킹... 3954만 계정 털렸다

▲ 온라인동영상서비스(OTT) 플랫폼 '티빙'에서 소스 코드가 포함된 기술 자산 361건과 이용자 계정 약 3천954만 개가 유출된 것으로 확인됐다. 과학기술정보통신부는 3일 정부서울청사에서 민관합동조사단의 티빙 침해사고 조사 결과를 이같이 발표했다. 3일 정부서울청사에서 임정규 과기정통부 정보보호네트워크정책관이 조사 결과를 발표하고 있다. 연합뉴스

온라인동영상서비스(OTT) 플랫폼 티빙(TVING)에서 발생한 대규모 해킹 사고로 이용자 계정 3954만 개와 개발 프로젝트 361건이 유출된 것으로 조사됐다. 내부 시스템 접근에 필요한 접속키를 암호화 없이 방치하고 사내에서 무분별하게 공유하는 등 허술한 정보보호 관리체계가 원인으로 지적됐다.

과학기술정보통신부와 한국인터넷진흥원(KISA) 등으로 구성된 티빙 민관합동조사단은 3일 오후 서울 종로구 정부서울청사에서 이 같은 내용의 조사 결과를 발표했다.

조사단에 따르면 지난 5월 30일 티빙은 데이터베이스 서버의 작업량 과다로 시스템 과부하 현상을 발견했다. 이상 징후를 분석하는 과정에서 비인가자가 내부 서버에 무단 접근해 이용자 정보를 조회한 사실을 확인했고, 6월 1일 한국인터넷진흥원(KISA)에 침해사고를 신고했다. 조사단은 개발자 단말기 9대를 포렌식하고 보안장비와 데이터베이스, 시스템 로그 등을 연계 분석해 공격 경로와 피해 규모를 조사했다.

3954만 계정 정보·소스코드 유출... 암호화 키까지 넘어가

가장 눈에 띄는 피해는 이용자 정보다. 조사단은 로그인이 가능한 활성화 계정 2206만 개, 비활성화 계정 1737만 개, 테스트 계정 11만 개 등 모두 3954만 개 계정이 유출된 것으로 확인했다.

1명이 최대 13개의 계정을 보유하는 등 중복이 포함된 수치다. 이처럼 동일인이 여러 계정을 보유할 수 있어 실제 피해자 수는 이보다 적다. 조사단은 연계정보(CI)를 보유한 1904만 개 계정 가운데 약 580만 개가 중복 계정인 것으로 확인했다. CI가 없는 2040만 개 계정은 다른 계정과의 중복 여부를 확인하기 어려워 정확한 피해자 규모는 개인정보보호위원회 조사에서 추가로 확인될 예정이다. 가입 방식별로는 SNS 간편가입 2247만 개, CJ ONE 통합회원 863만 개, 티빙 자체 가입 726만 개 순이다.

유출된 개인정보 항목은 아이디(ID), 일방향 암호화된 비밀번호, 성명, 휴대전화 번호, 이메일 주소, 생년월일, 연계정보(CI) 등 20개 항목 70여 종에 이른다. 특히 휴대전화 번호와 이메일 주소는 암호화된 상태로 유출됐으나, 암호화 키까지 함께 유출돼 복호화가 가능한 상태였던 것으로 드러났다. 조사단은 이를 "평문으로 유출된 정보와 동일한 수준"으로 판단했다.

개인정보뿐만 아니라 기술자산도 대거 유출됐다. 맞춤형 콘텐츠 추천 및 검색 알고리즘, 이용자 관리 및 인증체계, 결제 관리 등 OTT 서비스 운영의 핵심이 담긴 개발 프로젝트 361건 전체가 유출된 것으로 확인됐다. 여기에는 콘텐츠 추천·검색 알고리즘, 이용자 관리와 인증체계, 결제 관리, 유료서비스 운영 등에 필요한 기술자산이 포함됐다.

임정규 과기정통부 정보보호네트워크정책관은 "기술자산 유출 관련해서 티빙은 자체 보안 조치를 강화하고 있으며, 소스코드 유출에 따른 취약점을 악용한 추가 공격 정황은 현재까지 확인된 바 없다"며 "현재까지 이용자 피해 사례를 확인한 바는 없고, 다크웹을 통한 불법거래나 유통 정황도 아직까지 탐지되지 않았다"고 밝혔다.

'하드코딩'으로 노출된 접속키... 5단계에 걸친 시스템 침투

▲ 티빙(TVING) 민관합동조사단은 유출 경로를 ①개발환경 침투, ②운영환경 접근 및 관리권한이 부여된 ‘운영환경 접속키’ 탈취, ③운영환경 침투, ④1차 유출 시도, ⑤2차 유출 시도 및 대규모 정보유출 등 5단계로 구분하였다. 과학기술정보통신부

조사단은 공격자의 침투 경로를 ▲개발환경 침투 ▲운영환경 접근 및 접속키 탈취 ▲운영환경 침투 ▲유출 시도 ▲2차 유출 시도 및 대규모 유출 등 5단계로 분석했다.

공격자는 먼저 탈취한 개발환경 접속키로 티빙 개발환경에 무단 접속해 소스코드 등 개발 프로젝트 361건을 유출했다. 이어 소스코드 내부에 숨김없이 그대로 노출되어 있던 '운영환경 접속키' 43개를 확보한 뒤, 운영환경 내부로 침투해 데이터베이스(DB) 접속 정보까지 평문으로 탈취했다.

이후 공격자는 공격 도구를 삽입해 1차 정보유출을 시도했다. 이 과정에서 DB 서버 CPU 이용률이 100%로 급상승하며 이상징후 알람이 발생하자 티빙 쪽은 해당 작업을 차단했다. 하지만 공격자는 별도의 운영환경 접속키를 이용해 가상서버를 생성한 뒤 CPU 점유율을 10% 이내로 유지하는 수법으로 알람을 피하며 대규모 2차 유출을 감행했다.

임 정책관은 "티빙 개발자는 개발·운영환경에 접근할 수 있는 접속키를 소스코드 내부에 숨김없이 그대로 노출하는 하드코딩을 하거나 평문으로 저장했으며, 사내 메신저 등을 통해 타인과 무분별하게 공유했다"며 "모든 개발자에게 전체 프로젝트 접근 권한을 부여해 단 1개의 접속키 탈취만으로 모든 프로젝트에 접근할 수 있었다"고 짚었다.

박용규 KISA 디지털위협대응본부장은 이날 발표 후 질의응답에서 '1차 시도 당시 후속 조치가 미흡했다'는 지적에 대해 "1차 시도 때는 보안 알람이라기보다 시스템 이상 알람이었기 때문에 티빙이 조사하는 와중에 2차 시도가 발생한 것"이라고 설명했다. 최초 접속키 탈취 경위에 대해 임 정책관은 "단말기 포렌식 분석과 다양한 시나리오를 정밀 분석했으나 확인하는 것은 불가능했다"며 "경찰 수사를 통해 밝혀질 것으로 기대한다"고 전했다.

과기정통부, 지연 신고에 과태료 부과... 재발방지대책 이행 점검

조사단은 티빙의 정보보호 관리체계 전반에서 심각한 문제점을 확인했다. 티빙은 2024년 모의해킹 결과 접속키 노출 취약점을 지적받았음에도 개선하지 않았으며, 전체 임직원 265명 중 개발인력이 149명에 달함에도 정보보호 전담인력은 4명 내외에 불과했던 것으로 나타났다.

이상징후 발생 이후 총괄 조직에 상황이 공유되기까지 14시간이 소요되는 등 초동 대응도 부실했다. 특히 침해사고 인지 후 24시간 이내에 신고해야 하는 정보통신망법 규정을 위반한 사실이 확인됐다.

임 정책관은 "티빙 정보보안팀에 상황을 전파한 시점인 2026년 5월 31일 10시 10분으로부터 24시간이 초과한 2026년 6월 1일 15시 08분에 KISA에 신고했다"며 "이에 따라 과기정통부는 정보통신망법에 따른 3000만 원 이하의 과태료를 부과할 예정"이라고 밝혔다.

다만 이번 사고에는 10월 1일 시행되는 개정 정보통신망법과 9월 11일 시행되는 개정 개인정보보호법이 적용되지 않는다.

정부는 티빙 쪽에 키 관리 및 통제 체계 구축, 비정상 행위 탐지 모니터링 강화, 정보보호 전담인력 및 예산 확보, 로그 저장 관리 정책 수립 등의 재발방지 대책을 요구했다. 과기정통부는 향후 제출받을 이행계획을 점검하고, 보완이 필요한 경우 시정조치를 명령할 방침이다.

한편 공격자의 신원과 최초 개발환경 접속키 탈취 경로는 이번 조사에서도 밝혀지지 않았다. 조사단은 피싱·악성코드·공급망 공격·접속키 오남용·취약점 악용 등 가능성을 모두 조사했지만 특정하지 못했다. 임 정책관은 "사실은 저희는 공격자를 확인하지 못했다"며 "경찰의 수사를 통해서 이 부분은 밝혀질 것이라고 기대하고 있다"고 말했다.

오탈자 신고