‘개발자 접속키’ 하나가 부른 대형 사고

티빙의 개인정보 침해사고가 개발자의 접속키 탈취를 시작으로 개발환경과 운영환경을 거쳐 이용자 정보가 저장된 데이터베이스(DB)까지 침투한 것으로 최종 확인됐다.

온라인동영상서비스(OTT) 티빙의 개인정보 침해사고가 개발자의 접속키 탈취를 시작으로 개발환경과 운영환경을 거쳐 이용자 정보가 저장된 데이터베이스(DB)까지 침투한 것으로 최종 확인됐다.

과학기술정보통신부 민관합동조사단은 3일 티빙 침해사고 조사 결과를 발표하고 공격 경로와 피해 규모를 공개했다.

조사 결과 외부로 유출된 계정은 중복을 포함해 총 3954만697개로 집계됐다.

이 가운데 활성 계정이 2206만3021개, 휴면 계정 850만2679개, 탈퇴 계정 886만8174개, 테스트 계정 10만6823개다.

다만 과기정통부는 한 이용자가 여러 계정을 보유할 수 있기 때문에 유출 계정 수를 실제 피해자 수로 볼 수는 없다고 설명했다.

본인인증 과정에서 생성되는 연계정보(CI)를 기준으로 중복을 제외하면 계정은 1323만5452개로 줄어든다.

유출 정보는 계정에 따라 차이가 있지만 아이디와 비밀번호, 이름, 생년월일, 성별, 휴대전화번호, 이메일 주소, CI, DI, 결제이력 등 20개 항목, 70종에 달했다.

앞서 공격자는 지난 5월29일 사전에 탈취한 개발자 접속키를 이용해 티빙 개발환경에 침입했다. 이후 소스코드 등이 포함된 개발 프로젝트 361건, 약 30.35GB 규모의 기술자산을 외부로 가져갔다.

문제는 개발 프로젝트 내부에 운영환경으로 접근할 수 있는 접속키가 포함돼 있었다는 점이다.

361개 프로젝트에 운영환경 접속키 43개가 포함돼 있었으며 일부는 소스코드에 직접 입력되거나 암호화되지 않은 상태로 관리됐다.

공격자는 이를 이용해 운영환경으로 이동한 뒤 이용자 정보가 저장된 DB의 접속정보까지 확보했다. DB 접속 아이디와 비밀번호 역시 평문으로 관리돼 있었던 것으로 조사됐다.

첫 번째 대량 정보 유출 시도는 서버 CPU 사용량 증가로 차단됐지만 공격자는 별도의 가상서버를 생성해 우회했고, 최종적으로 약 24GB 규모의 이용자 정보를 외부로 빼낸 것으로 확인됐다.

또 이번 사고에서는 개인정보뿐 아니라 이용자 맞춤형 콘텐츠 추천·검색 알고리즘, 이용자 관리·인증체계, 결제 및 유료서비스 운영 등에 활용되는 소스코드도 유출됐다.

조사단은 접속키 관리체계 미비와 비정상 행위 모니터링 부족 등 전반적인 정보보호 관리체계의 문제를 주요 원인으로 지적했다.

이번 사고는 개발환경에 저장된 단 하나의 접속키가 운영망과 핵심 DB까지 연결되는 통로가 될 수 있다는 점을 보여줬다.

클라우드와 개발환경을 활용하는 기업이 늘어나는 만큼 개발·운영환경의 접근권한 분리와 접속정보 암호화 등 기본적인 보안관리 강화가 시급하다는 지적이다.

한편, 티빙은 침해사고 인지 시점(지난 5월31일 오전 10시10분)으로부터 24시간이 지난 뒤 한국인터넷진흥원(KISA)에 신고(6월1일 오후 3시8분)한 사실이 확인돼 정보통신망법 위반에 따른 과태료(최대 3000만원)가 부과될 예정이다.

이밖에도 과기정통부는 티빙에 이달까지 재발 방지 이행계획 제출을 요구하고 내년 1월부터 이행점검에 나설 계획이다.