개발키 노출하고 취약점 방치…티빙 '총체적 보안 부실'(종합)
모든 개발자에 전체 프로젝트 접근…키 관리·통제 절차 미비
모의해킹서 문제 알고도 미조치…이상징후 공유도 14시간
(서울=연합뉴스) 유현민 기자 = 온라인동영상서비스(OTT) 티빙에서 활성·휴면·탈퇴 계정 등을 포함해 3천954만개 계정이 유출된 배경에는 개발환경 접속키 관리부터 접근권한 통제, 이상징후 탐지·보고, 취약점 개선까지 정보보호 관리체계 전반의 부실이 있었던 것으로 조사됐다.
개발·운영환경 접속키를 소스코드에 평문으로 노출하고 모든 개발자에게 전체 프로젝트 접근 권한을 부여한 데다, 모의해킹에서 확인된 취약점도 개선하지 않았으며 이상징후 발생 후 보안팀 공유와 침해사고 신고까지 지연된 것으로 나타났다.
◇ 3천954만 계정 유출…개발키 평문 노출·모든 개발자에 전체 권한
과학기술정보통신부 민관합동조사단은 3일 티빙 침해사고 조사 결과를 발표하면서 "비활성 계정, 활성 계정, 테스트 계정 모두 유출된 것이 맞다"고 밝혔다.
조사 결과 외부로 유출된 계정은 중복을 포함해 총 3천954만개로 집계됐다. 로그인 가능한 활성 계정 2천206만개, 휴면 계정 850만개, 탈퇴 계정 887만개, 테스트 계정 11만개다.
실제 이용자 수가 아닌 계정 수여서 한 사람이 여러 계정을 보유한 경우 중복 집계되며, 한 사람이 최대 13개 계정을 가진 사례도 확인됐다.
그러나 이번 사고에서 단순히 계정 수가 많았던 것만이 문제가 아니었다. 조사단은 티빙의 보안관리 체계 곳곳에서 기본적인 통제 장치가 제대로 작동하지 않았다고 판단했다.
조사단에 따르면 티빙 개발자들은 개발·운영환경 접속키를 소스코드에 암호화하지 않은 채 그대로 노출하거나 사내 메신저 등을 통해 공유했다.
접근권한도 업무에 필요한 최소 범위로 제한하지 않고 모든 개발자에게 전체 개발 프로젝트 접근 권한을 부여했다.
이 때문에 단 하나의 접속키가 탈취되더라도 모든 개발 프로젝트에 접근할 수 있는 구조였다.
키의 발급·사용·변경·폐기 및 정기점검 절차도 제대로 마련돼 있지 않았다.
조사단은 키 관리·통제와 접근권한 체계를 구축하고 키 사용 이력을 관리하면서 상시 점검하는 체계를 마련하도록 티빙에 요구했다.
◇ 이상징후 공유에 14시간…보안인력 4명·실시간 탐지체계도 없어
비정상 행위를 탐지하고 차단하는 체계도 미흡했다.
티빙은 CPU 부하 등 단순한 시스템 모니터링에 의존했을 뿐 네트워크와 데이터 흐름을 실시간으로 탐지·차단하는 정보보호 체계가 없었던 것으로 조사됐다.
권한 없는 사용자의 비정상 접속을 통제하기 위한 네트워크·시스템 접근제어 정책도 부재했다.
또한 이상징후가 발생한 뒤에도 사고 대응을 총괄하는 정보보호 전담조직과 최고책임자에게 상황이 공유되기까지 약 14시간이 걸렸다.
박용규 한국인터넷진흥원(KISA) 디지털위협대응본부장은 사고 인지와 보고 과정에 대해 "인적체계, 보고체계 모두 문제가 있었다"고 설명했다.
티빙의 임직원 265명 가운데 개발인력은 149명이지만 정보보호 전담인력은 4명 내외에 불과했다. 조사단은 이 같은 인력 수준으로는 상시 보안관제와 취약점 점검, 이상행위 모니터링 등에 한계가 있다고 판단했다.
보안 취약점을 미리 발견하고도 개선하지 않은 사실도 확인됐다.
티빙은 2024년 모의해킹을 통해 개발·운영환경 접속키가 소스코드에 그대로 노출되는 취약점을 발견했지만 이를 개선하지 않았다.
시스템 접속기록 역시 선별적으로 관리해 신규 장비에는 로그관리 정책이 제대로 적용되지 않았고, 일부 기록은 약 6일간만 보관됐다. 업무용 PC의 백신 관리 등 정기적인 보안점검도 미흡했다.
◇ 사고 신고도 법정시한 넘겨…과기정통부 과태료·재발방지 점검
침해사고 신고도 법정 시한을 넘겼다. 티빙 정보보안팀에 상황이 전파된 5월 31일 오전 10시 10분부터 24시간이 지난 6월 1일 오후 3시 8분에야 KISA에 신고했다.
이에 대해 최주희 티빙 대표는 내부적으로 경영진에 보고되고 사고 대응 태스크포스(TF)가 발동한 시점을 사고 인지 시점으로 판단하면서 신고가 늦어졌다고 설명했다. 다만 이번 일을 계기로 사고 발생 시 상황을 신속히 전파하는 내부 대응 체계가 미흡했다는 점을 인정했다.
과기정통부는 정보통신망법에 따라 3천만원 이하의 과태료를 부과할 예정이다.
이번 사고로 유출된 개인정보는 계정별로 차이가 있지만 아이디·이름·휴대전화번호·이메일·생년월일·CI 등 20개 항목, 70개 유형에 달했다.
과기정통부는 티빙에 재발방지 대책 이행계획을 제출하도록 하고 이행 여부를 점검할 예정이다. 점검 결과 보완이 필요한 사항에 대해서는 시정조치를 명령할 계획이다.
이번 조사 결과는 대규모 개인정보 유출의 원인이 특정 개발자나 단일 취약점에 국한된 것이 아니라 접근키·권한 관리부터 모니터링·보고·취약점 개선까지 정보보호 관리체계 전반이 제대로 작동하지 않은 데 있음을 보여준다.
hyunmin623@yna.co.kr
(끝)
<저작권자(c) 연합뉴스, 무단 전재-재배포, AI 학습 및 활용 금지>