티빙에서 발생한 개인정보 유출 사고는 개발자의 접속키 탈취에서 시작됐다. 공격자는 하나의 접속키를 발판으로 개발환경에서 운영환경, 데이터베이스(DB)까지 단계적으로 접근했다. 이 과정에서 접속키 관리와 접근권한 통제, 이상행위 탐지 등 보안체계의 허점이 연쇄적으로 작용했다.
3일 민관합동조사단에 따르면 공격자는 지난 5월 29일 티빙 개발자가 보유한 '개발환경 접속키'를 사전에 탈취해 개발환경에 침투했다.
정확한 접속키 탈취 경로는 확인되지 않았다. 공격자는 해당 키를 이용해 소스코드가 담긴 개발 프로젝트 361건 전체를 빼냈다. 문제는 유출된 소스코드 안에 실제 서비스가 운영되는 환경으로 진입할 수 있는 또 다른 열쇠가 들어 있었다는 점이다. 당시 개발 프로젝트에는 '운영환경 접속키' 43개가 포함돼 있었다. 이 가운데 41개는 소스코드 내부에 그대로 입력하는 '하드코딩' 방식으로 저장됐고 일부는 별도 암호화 없이 평문으로 보관됐다.
공격자는 이 가운데 2개 키를 활용해 티빙의 운영환경에 침투했다. 운영환경을 탐색하는 과정에서는 이용자 정보가 저장된 DB의 ID와 비밀번호까지 암호화되지 않은 상태로 발견해 확보했다. 개발환경 접속키 하나가 소스코드 유출로, 다시 운영환경과 이용자 DB 접근으로 이어진 셈이다.
공격자는 5월 30일 DB에 접속해 이용자 정보 유출을 처음 시도했다. 이 과정에서 DB 서버 중앙처리장치(CPU) 이용률이 100%까지 치솟으며 이상징후가 발생했고 티빙이 해당 작업을 차단했다. 공격자는 가상서버 생성 권한을 가진 별도의 운영환경 접속키를 이용, 내부 가상ㅇ서버를 만들고 첫 공격과 달리 CPU 이용률을 10% 이내로 유지하며 탐지를 피한 것으로 조사됐다. 이후 DB의 이용자 정보 24GB를 가상서버에 일괄 저장한 뒤 외부 서버로 빼냈고, 흔적을 지우기 위해 가상서버까지 삭제했다.
조사단은 접속키 관리뿐 아니라 탐지·대응체계에도 문제가 있었다고 판단했다. 티빙은 CPU 부하 등 단순 모니터링에 의존해 비정상적인 접속이나 대량 데이터 이동을 실시간 탐지·차단하지 못했다. 특히 2024년 모의해킹에서 접속키를 소스코드에 하드코딩하는 취약점을 이미 발견하고도 개선하지 않은 것으로 확인됐다.
티빙은 이날 사고 재발 방지와 고객 신뢰 회복을 위한 정보보안 강화 방안과 보상책도 공개했다. 정보보호 투자는 2030년까지 직전 5개년 대비 4배 확대하고 전문인력은 현재의 3배 수준으로 늘린다. 모든 접속 단계별로 검증하는 '제로 트러스트' 기반 보안체계를 구축하고 인공지능(AI) 기반 이상행위 탐지와 실시간 자동 대응체계도 강화한다. 최고경영자(CEO) 직속 '정보보호혁신 자문위원회'를 신설해 외부 전문가의 검증도 받는다.
고객에게는 해킹·피싱 안심 보험과 시청환경 업그레이드, 5000원 상당의 티빙 포인트, 웨이브 또는 CGV에서 사용 가능한 엔터테인먼트 쿠폰으로 구성된 보상 패키지를 제공한다.
최주희 티빙 대표이사는 “이번 침해 사고로 고객 여러분께 심려와 불안을 끼쳐드린 점 진심으로 사과드린다”며 “고객의 신뢰를 회복할 수 있도록 재발방지 대책을 책임 있게 이행하겠다”고 사과했다.
최다현 기자 da2109@etnews.com
