[티빙 탈퇴했는데, 내 정보는 남아 있었다] "활성화·비활성화·테스트 계정까지 티빙의 모든 계정이 유출됐습니다." 임정규 과학기술정보통신부 정보보호네트워크정책관이 3일 정부서울청사 브리핑에서 한 말입니다. 지금 티빙을 쓰지 않는 사람도, 몇 년 전에 계정을 지운 사람도 포함됩니다. 유출된 계정은 중복을 포함해 3,954만 개입니다.
과기정통부는 3일 민관합동조사단의 티빙 침해사고 조사 결과를 발표했습니다. 유출 계정 3,954만 개 가운데 지금 로그인이 가능한 활성화 계정은 2,206만 개입니다. 로그인이 안 되는 비활성화 계정도 1,737만 개가 함께 나갔습니다. 휴면 계정 850만 개, 탈퇴 계정 887만 개입니다. 개발자가 시험용으로 만든 테스트 계정 11만 개까지 포함됐습니다. 한 명이 최대 13개 계정을 갖고 있던 사례도 확인됐습니다. 계정 수가 이용자 수보다 많은 이유입니다.
빠져나간 정보에는 ID와 비밀번호, 성명, 휴대전화 번호, e메일 주소, 생년월일이 들어 있습니다. 연계정보(CI)도 포함됐습니다. 서로 다른 기관이나 서비스가 같은 사람인지 확인할 때 쓰는 암호화된 식별값입니다. 항목 수로는 20개, 세부 종류로는 70종입니다. 가입 경로별로 보면 네이버· 카카오 같은 SNS 간편가입 계정이 2,247만 개로 약 57%를 차지했습니다. CJ ONE 통합회원이 863만 개, 티빙 자체 가입이 726만 개였습니다.
공격은 5월 29일부터 31일까지 사흘간 이뤄졌습니다. 공격자는 개발용 시스템에 접속할 수 있는 열쇠를 먼저 확보했습니다. 그다음 내부에 들어와 개발 프로젝트 361건을 훑으며 실제 서비스 시스템에 접속할 수 있는 운영환경 접속키를 찾아냈습니다. 운영환경 접속키는 이용자 정보가 실제로 저장된 시스템의 출입증에 해당합니다. 이 열쇠로 클라우드 저장소에 접근해 이용자 정보를 가져갔습니다. 조사단은 정보가 국내가 아닌 해외 계정으로 빠져나간 사실까지 확인했습니다. 정확한 국가와 서버 소재지는 경찰 수사가 진행 중입니다.
접속키는 원칙적으로 별도 저장공간에 따로 보관합니다. 티빙은 그렇게 하지 않았습니다. 개발 편의를 이유로 프로그램 소스코드 안에 그대로 적어둔 채 사용했습니다. 더 눈여겨볼 지점은 시점입니다. 티빙은 2024년 모의해킹에서 이 문제를 이미 발견했습니다. 그러나 개선하지 않았습니다. 대책이 없었던 사고가 아니라, 지적을 받고도 고치지 않은 상태에서 벌어진 사고입니다. 한편 현재까지 다크웹 불법 거래 등 이용자 2차 피해 사례는 확인되지 않았습니다. 확인되지 않았다는 것이 없었다는 뜻은 아닙니다.
티빙은 3일 서울 중구 코리아나 호텔에서 설명회를 열었습니다. 2030년까지 정보보호 투자를 현재의 4배로 늘리고, 정보보호혁신 자문위원회를 새로 만들겠다고 밝혔습니다. 최주희 티빙 대표는 "민관합동조사단의 최종 조사 결과를 겸허히 받아들이며 지적된 사항에 대한 필요한 모든 시정 조치와 재발 방지 대책을 책임감을 가지고 끝까지 이행하겠다"고 말했습니다. 이어 "정보보호를 회사의 가장 중요한 책임이자 경쟁력으로 삼고 보안 체계 전반을 근본부터 재구축하겠다"고 했습니다. 투자 확대는 2030년까지의 계획이고, 유출은 이미 일어난 일입니다.
지금 티빙을 쓰지 않아도 대상일 수 있습니다. 휴면 850만 개, 탈퇴 887만 개가 유출 목록에 들어 있기 때문입니다. 티빙은 개인정보가 유출된 고객에게 안심 보험과 5,000원 상당의 티빙 포인트를 제공하기로 했습니다. 과거에 가입했던 기억이 있다면, 본인이 유출 대상인지 티빙 공지와 안내를 통해 확인해 볼 필요가 있습니다. 임정규 정책관의 말처럼, 이번에는 "모든 계정"이었습니다.
7월 3일 발표), 티빙 설명회
