[속보]티빙 3954만개 계정 정보 유출…탈퇴·휴면 회원까지 털렸다

해커, 개발환경 접속키 탈취해 내부망 침투 이름-전화번호-이메일에 암호화 키까지 유출 2년전 모의해킹서 취약점 발견하고도 방치 온라인동영상서비스(OTT) 티빙이 개인정보 유출 사고 발생 3개월여 만인 3일 공식 사과에 나선다. 티빙은 이날 사이버 침해 사고 관련 공식 사과 및 설명회를 열고 정보보안 강화 계획과 고객 보상 방안 계획을 발표한다. 사진은 이날 서울 마포구에 위치한 티빙 사무실. 뉴시스 온라인동영상서비스(OTT) 티빙에서 활성·휴면·탈퇴 계정 등 총 3954만개 계정의 개인정보가 유출된 것으로 조사됐다. 이용자 맞춤형 콘텐츠 추천·검색 알고리즘 등 서비스 핵심 기술이 담긴 개발 프로젝트 361건도 함께 외부로 빠져나갔다.과학기술정보통신부는 3일 민관합동조사단의 티빙 침해사고 조사 결과를 발표했다. 유출 계정은 활성 계정 2206만 개, 휴면 850만 개, 탈퇴 887만 개, 테스트 11만 개 등이다. 다만 티빙은 동일인이 여러 계정을 보유할 수 있어 3954만 명이 피해를 봤다는 의미는 아니다. 조사 과정에서는 한 사람이 최대 13개 계정을 가진 사례도 확인됐다.가입 경로별로는 네이버·카카오·페이스북·애플·X(엑스) 등을 통한 SNS 간편가입 계정이 2247만 개로 가장 많았다. CJ ONE 통합회원은 863만 개, 티빙 자체가입은 726만 개였다.유출 정보에는 아이디와 성명, 휴대전화번호, 이메일주소, 생년월일, 연계정보(CI), 결제이력 등 총 20개 항목 70종이 포함됐다. 일부 휴대전화번호와 이메일 주소는 암호화돼 있었지만 암호화키까지 함께 유출돼 사실상 평문 유출과 같은 수준으로 조사됐다. 비밀번호는 일방향 암호화돼 복호화는 불가능한 것으로 파악됐다. 티빙. 사고 원인은 접속키 관리 부실에서 시작됐다. 공격자는 개발자의 ‘개발환경 접속키’를 탈취해 내부 시스템에 침투한 뒤 개발 프로젝트 361건, 30.35GB를 빼냈다. 이후 소스코드 안에 그대로 노출돼 있던 운영환경 접속키 43개를 추가로 확보해 실제 서비스 운영망까지 진입했다. 이용자 DB 접속 아이디와 비밀번호도 암호화되지 않은 상태로 저장돼 있었다.특히 티빙은 2024년 자체 모의해킹에서 접속키를 소스코드에 그대로 넣어두는 ‘하드코딩’ 취약점을 발견하고도 개선하지 않은 것으로 조사됐다. 전체 임직원 265명, 개발인력 149명에 비해 정보보호 전담인력은 외주를 제외하고 4명에 불과했다.침해사고 대응도 늦었다. 지난 5월 30일 이상...